《windows 2008系统安全日志样本分析[技巧]》由会员分享，可在线阅读，更多相关《windows 2008系统安全日志样本分析[技巧]（7页珍藏版）》请在金锄头文库上搜索。
1、Windows 2008系统安全日志样本分析Windows Event Log:file:WEV:4688&已创建新进程Attackdate P 9 11 + P 12 13 AttackTime P 2 3 Attacktype C 4688 已创建新进程 + K 进程信息: 令牌提升类型:SourceName KP 帐户名: 1 severity C 2Windows Event Log:file:WEV:4689&已退出进程Attackdate P 9 11 + P 12 13 AttackTime P 2 3 Attacktype C 4689 已退出进程 + K 进程信息: 退出状态
2、:SourceName KP 帐户名: 1 severity C 2Windows Event Log:FILE:WEV:4624&已成功登录帐户Attackdate P 9 11 + P 12 13 AttackTime P 2 3 Attacktype C 4624 已成功登录帐户 + K 帐户名: 新登录:Sourceip KP 源网络地址: 1 SourceName C 进程名: + KP 进程名: 1 SourcePort KP 源端口: 1 severity C 2Windows Event Log:FILE:WEV:4647&用户发起的注销Attackdate P 9 11 +
3、P 12 13 AttackTime P 9 10 Attacktype C 4647 用户发起的注销 + K 主题: 帐户域:severity C 2Windows Event Log:file:WEV:4648&试图使用显式凭据登录Attackdate P 9 11 + P 12 13 AttackTime P 2 3 Attacktype C 4648 试图使用显式凭据登录Sourceip KP 网络地址: 1 SourceName c 使用了哪个帐户的凭据: + K 使用了哪个帐户的凭据: 登录 GUID:SourcePort KP 端口: 1 Targetname c 目标服务器名:
4、 + KP 目标服务器名: 1 severity C 2Windows Event Log:FILE:WEV:4672&为新登录分配了特殊权限Attackdate P 9 11 + P 12 13 AttackTime P 2 3 Attacktype C 4672 为新登录分配了特殊权限 SourceName P 帐户名: 1 特权: 1 severity C 2Windows Event Log:FILE:WEV:4673&已调用特权服务Attackdate P 9 11 + P 12 13 AttackTime P 2 3 Attacktype C 4673 已调用特权服务 Source
5、Name k 主题: 登录 ID: severity C 2Windows Event Log:FILE:WEV:4674&试图对特权对象进行操作Attackdate P 9 11 + P 12 13 AttackTime P 2 3 Attacktype C 4674 试图对特权对象进行操作 + K 请求的操作: 特权:SourceName kp 帐户名: 1 Targetname K 进程信息: 请求的操作: severity C 2Windows Event Log:FILE:WEV:4719&已更改系统审核策略Attackdate P 9 11 + P 12 13 AttackTime
6、 P 2 3 Attacktype C 4719 已更改系统审核策略 + K 审核策略更改: 子类别 GUID:SourceName kp 帐户名: 1 severity C 2Windows Event Log:FILE:WEV:4720&已创建用户帐户Attackdate P 9 11 + P 12 13 AttackTime P 2 3 Attacktype C 4720 已创建用户帐户 SourceName kp 帐户名: 1 Targetname KP SAM 帐户名: 1 severity C 2Windows Event Log:FILE:WEV:4722&已启用用户帐户Atta
7、ckdate P 9 11 + P 12 13 AttackTime P 2 3 Attacktype C 4722 已启用用户帐户 SourceName P 帐户名: 1 登录 ID 1Targetname p 帐户名: 2 帐户域: 2severity C 2Windows Event Log:FILE:WEV:4724&试图重置帐户密码Attackdate P 9 11 + P 12 13 AttackTime P 2 3 Attacktype C 4724 试图重置帐户密码 SourceName P 帐户名: 1 登录 ID 1 Targetname P 帐户名: 2 帐户域: 2se
8、verity C 2Windows Event Log:FILE:WEV:4725&已禁用用户帐户Attackdate P 9 11 + P 12 13 AttackTime P 2 3 Attacktype C 4725 已禁用用户帐户 SourceName P 帐户名: 1 登录 ID 1 Targetname p 帐户名: 2 帐户域: 2severity C 2Windows Event Log:FILE:WEV:4726&已删除用户帐户Attackdate P 9 11 + P 12 13 AttackTime P 2 3 Attacktype C 4726 已删除用户帐户 Sour
9、ceName P 帐户名: 1 登录 ID 1 Targetname p 帐户名: 2 附加信息: 1severity C 2Windows Event Log:FILE:WEV:4728&已向启用了安全性的全局组中添加某个成员Attackdate P 9 11 + P 12 13 AttackTime P 2 3 Attacktype C 4728 已向启用了安全性的全局组中添加某个成员 组名: + K 组名: 附加信息:SourceName kp 帐户名: 1 severity C 2Windows Event Log:FILE:WEV:4729&已从启用了安全性的全局组中删除某个成员At
10、tackdate P 9 11 + P 12 13 AttackTime P 2 3 Attacktype C 4729 已从启用了安全性的全局组中删除某个成员 SourceName P 帐户名: 1 登录 ID 1Targetname p 帐户名: 2 帐户域: 2severity C 2Windows Event Log:file:WEV:4731&已创建启用了安全性的本地组Attackdate P 9 11 + P 12 13 AttackTime P 2 3 Attacktype C 4731 已创建启用了安全性的本地组 + K 组名: 属性: SourceName KP 帐户名: 1
11、severity C 2Windows Event Log:FILE:WEV:4732&已向启用了安全性的本地组中添加某个成员Attackdate P 9 11 + P 12 13 AttackTime P 2 3 Attacktype C 4732 已向启用了安全性的本地组中添加某个成员 组名: + K 组名: 附加信息:SourceName kp 帐户名: 1 severity C 2Windows Event Log:FILE:WEV:4733&已从启用了安全性的本地组中删除某个成员Attackdate P 9 11 + P 12 13 AttackTime P 2 3 Attacktype C 4733 本地组中删除某个成员 + K 组: 组域:SourceName P 帐户名: 1 登录 ID 1Ta
