Mokhoa oa ho fetolela Windows Security Event ID 4688 ho Patlisiso
Selelekela
Ho latela Microsoft, li-ID tsa ketsahalo (tseo hape li bitsoang li-identifiers tsa ketsahalo) li khetholla ketsahalo e itseng ka ho khetheha. Ke sesupo sa linomoro se hokeletsoeng ketsahalong e 'ngoe le e 'ngoe e kentsoeng ke sistimi e sebetsang ea Windows. Identifi e fana ka boitsebiso bo mabapi le ketsahalo e etsahetseng mme e ka sebelisoa ho tseba le ho rarolla mathata a amanang le ts'ebetso ea sistimi. Ketsahalo, moelelong ona, e bolela ketso efe kapa efe e etsoang ke sistimi kapa mosebelisi ho sistimi. Liketsahalo tsena li ka bonoa ho Windows ho sebelisoa Sebono sa Ketsahalo
Ketsahalo ea ID 4688 e kenngoa neng kapa neng ha ho etsoa ts'ebetso e ncha. E ngola lenaneo le leng le le leng le entsoeng ke mochini le lintlha tsa eona tse khethollang, ho kenyeletsoa moetsi, sepheo le ts'ebetso e e qalileng. Liketsahalo tse 'maloa li kentsoe tlas'a ID ea ketsahalo 4688. Ha u kena, Session Manager Subsystem (SMSS.exe) e qalisoa, 'me ketsahalo ea 4688 e kentsoe. Haeba sistimi e tšoaelitsoe ke malware, malware a kanna a theha lits'ebetso tse ncha ho sebetsa. Mekhoa e joalo e ne e tla ngoloa tlas'a ID 4688.
Ho toloka Ketsahalo ea ID 4688
Bakeng sa ho toloka ID ea ketsahalo 4688, ho bohlokoa ho utloisisa likarolo tse fapaneng tse kenyellelitsoeng lethathamong la liketsahalo. Likarolo tsena li ka sebelisoa ho bona mefokolo leha e le efe le ho lekola tšimoloho ea ts'ebetso ho khutlela mohloling oa eona.
- Taba ea Moetsi: sebaka sena se fana ka tlhahisoleseling mabapi le ak'haonte ea mosebelisi e neng e kopile hore ho thehoe ts'ebetso e ncha. Sebaka sena se fana ka moelelo oa litaba 'me se ka thusa bafuputsi ba forensic ho fumana liphapang. E kenyelletsa li-subfields tse 'maloa, ho kenyelletsa:
- Security Identifier (SID)” Ho latela Microsoft, SID ke boleng bo ikhethang bo sebelisetsoang ho khetholla trustee. E sebelisoa ho khetholla basebelisi mochining oa Windows.
- Lebitso la Ak'haonte: SID e ikemiselitse ho bonts'a lebitso la ak'haonte e qalileng ho theha ts'ebetso e ncha.
- Account Domain: sebaka seo komporo e leng ho sona.
- Logon ID: boleng bo ikhethang ba hexadecimal bo sebelisetsoang ho tsebahatsa karolo ea mosebelisi. E ka sebelisoa ho hokahanya liketsahalo tse nang le ID ea ketsahalo e tšoanang.
- Sehlooho se reriloeng: Sebaka sena se fana ka tlhahisoleseling mabapi le ak'haonte ea mosebelisi eo ts'ebetso e ntseng e sebetsa tlas'a eona. Taba e boletsoeng ketsahalong ea ts'ebetso ea ts'ebetso, maemong a mang, e ka fapana le taba e boletsoeng ketsahalong ea ho felisoa ha ts'ebetso. Kahoo, ha moetsi le sepheo ba se na logon e tšoanang, ho bohlokoa ho kenyelletsa taba eo ho shebiloeng ho eona le hoja ka bobeli ba bua ka ID ea ts'ebetso e tšoanang. Libaka tse nyane li tšoana le tsa sehlooho sa moetsi ka holimo.
- Tlhahisoleseding ea Ts'ebetso: Sebaka sena se fana ka lintlha tse qaqileng mabapi le ts'ebetso e entsoeng. E kenyelletsa li-subfields tse 'maloa, ho kenyelletsa:
- New Process ID (PID): boleng bo ikhethang ba hexadecimal bo abetsoeng tšebetsong e ncha. Sistimi ea ts'ebetso ea Windows e e sebelisa ho boloka tlaleho ea lits'ebetso tse sebetsang.
- Lebitso le Lecha la Ts'ebetso: tsela e felletseng le lebitso la faele e sebetsang e ileng ea hlahisoa ho theha ts'ebetso e ncha.
- Mofuta oa Tlhahlobo ea Letšoao: tlhahlobo ea token ke mokhoa oa ts'ireletso o sebelisoang ke Windows ho fumana hore na ak'haonte ea mosebelisi e lumelletsoe ho etsa ketso e itseng. Mofuta oa tokeneng oo mokhoa o tla o sebelisa ho kopa litokelo tse phahameng o bitsoa "mofuta oa tlhahlobo ea token." Ho na le litekanyetso tse tharo tse ka khonehang bakeng sa sebaka sena. Mofuta oa 1 (%%1936) o bolela hore ts'ebetso e sebelisa tokene ea mosebelisi mme ha e so kope tumello efe kapa efe e khethehileng. Bakeng sa tšimo ena, ke boleng bo tloaelehileng ka ho fetisisa. Mofuta oa 2 (%%1937) o bolela hore ts'ebetso e kopile litokelo tse felletseng tsa batsamaisi ho sebetsa mme e atlehile ho li fumana. Ha mosebelisi a etsa kopo kapa ts'ebetso joalo ka molaoli, e ea lumelloa. Mofuta oa 3 (%%1938) o bolela hore ts'ebetso e fumane feela litokelo tse hlokahalang ho etsa ketso e kopiloeng, leha e ne e kopa litokelo tse phahameng.
- Mandatory Label: Leibole ea botšepehi e abetsoeng tšebetso.
- Moetsi oa ID ea Ts'ebetso: boleng bo ikhethileng ba hexadecimal bo abetsoeng tšebetsong e qalileng ts'ebetso e ncha.
- Lebitso la Ts'ebetso ea Moetsi: tsela e felletseng le lebitso la ts'ebetso e entseng ts'ebetso e ncha.
- Process Command Line: e fana ka lintlha tse mabapi le likhang tse fetisitsoeng ho taelo ea ho qala ts'ebetso e ncha. E kenyelletsa libaka tse nyane tse kenyelletsang bukana ea hajoale le li-hashes.
fihlela qeto e
Ha ho hlahlojoa mokhoa o itseng, ke habohlokoa ho fumana hore na o nepahetse kapa o lonya. Ts'ebetso e nepahetseng e ka tsejoa habonolo ka ho sheba sehlooho sa moetsi le ho sebetsa likarolo tsa tlhahisoleseling. ID ea Ts'ebetso e ka sebelisoa ho supa liphoso, joalo ka ts'ebetso e ncha e hlahisoang ke ts'ebetso e sa tloaelehang ea motsoali. Mohala oa taelo o ka boela oa sebelisoa ho netefatsa bonnete ba ts'ebetso. Mohlala, ts'ebetso e nang le likhang tse kenyelletsang tsela ea faele e lebisang data ea bohlokoa e ka bonts'a sepheo se sebe. Karolo ea Sehlooho sa 'Mōpi e ka sebelisoa ho fumana hore na ak'haonte ea mosebelisi e amahanngoa le lintho tse belaetsang kapa e na le litokelo tse phahameng.
Ho feta moo, ho bohlokoa ho hokahanya ID 4688 ea ketsahalo le liketsahalo tse ling tse amehang tsamaisong ho fumana moelelo mabapi le ts'ebetso e sa tsoa etsoa. Ketsahalo ea ID 4688 e ka amahanngoa le 5156 ho fumana hore na ts'ebetso e ncha e amahanngoa le likhokahano tsa marang-rang. Haeba ts'ebetso e ncha e amahanngoa le ts'ebeletso e sa tsoa kenngoa, ketsahalo ea 4697 (ts'ebetso ea ts'ebeletso) e ka amahanngoa le 4688 ho fana ka tlhahisoleseding e eketsehileng. Ketsahalo ea ID 5140 (tlhahiso ea lifaele) e ka boela ea sebelisoa ho khetholla lifaele tse ncha tse entsoeng ke mokhoa o mocha.
Qetellong, ho utloisisa moelelo oa tsamaiso ke ho fumana bokhoni tšusumetso ea tšebetso. Ts'ebetso e qaliloeng ho seva ea bohlokoa e kanna ea ba le tšusumetso e kholo ho feta e qaliloeng mochining o ikemetseng. Moelelo o thusa ho tsamaisa lipatlisiso, ho beha karabelo pele le ho laola lisebelisoa. Ka ho sekaseka likarolo tse fapaneng ho logi ea liketsahalo le ho etsa khokahano le liketsahalo tse ling, lits'ebetso tse makatsang li ka saloa morao ho latela tšimoloho ea tsona le sesosa se khethiloeng.
