Windows2008系统安全日志分析

Windows2008系统安全日志分析

1、IPC连接成功后会生成一个事件ID为4624的安全事件，示例如下：

已成功登录帐户。

主题:

    安全 ID:        NULL SID

    帐户名:        -

    帐户域:        -

    登录 ID:        0x0

登录类型:            3

新登录:

    安全 ID:        WIN-XXX\Administrator

    帐户名:        Administrator

    帐户域:        WIN-XXX

    登录 ID:        0x1012a1

    登录 GUID:        {00000000-0000-0000-0000-000000000000}

进程信息:

    进程 ID:        0x0

    进程名:        -

网络信息:

    工作站名:    CORP-XXX                                 \\这是来访者的主机名

    源网络地址:    192.168.0.110

    源端口:        3745

详细身份验证信息:

    登录进程:        NtLmSsp 

    身份验证数据包:    NTLM

    传递服务:    -

    数据包名(仅限 NTLM):    NTLM V1

    密钥长度:        0

 

2、IPC连接失败后会生成一个事件ID为4625的安全事件，示例如下：

帐户登录失败。

主题:

    安全 ID:        NULL SID

    帐户名:        -

    帐户域:        -

    登录 ID:        0x0

登录类型:            3

登录失败的帐户:

    安全 ID:        NULL SID

    帐户名:        admin                            \\尝试错误的密码

    帐户域:        CORP-XXX

失败信息:

    失败原因:        未知用户名或密码错误。

    状态:            0xc000006d

    子状态:        0xc0000064

进程信息:

    调用方进程 ID:    0x0

    调用方进程名:    -

网络信息:

    工作站名:    CORP-XXX          \\会记录来访者的主机名及IP地址

    源网络地址:    192.168.0.110

    源端口:        3737

详细身份验证信息:

    登录进程:        NtLmSsp 

    身份验证数据包:    NTLM

    传递服务:    -

    数据包名(仅限 NTLM):    -

    密钥长度:        0

 

3、远程3389登陆机器成功后会生成一个事件ID为4648的安全事件，同时也会生成4624事件，示例如下：

试图使用显式凭据登录。

主题:

    安全 ID:        SYSTEM

    帐户名:        WIN-XXX$

    帐户域:        WORKGROUP

    登录 ID:        0x3e7

    登录 GUID:        {00000000-0000-0000-0000-000000000000}

使用了哪个帐户的凭据:

    帐户名:        Administrator

    帐户域:        WIN-XXX

    登录 GUID:        {00000000-0000-0000-0000-000000000000}

目标服务器:

    目标服务器名:    localhost

    附加信息:    localhost

进程信息:

    进程 ID:        0xa50

    进程名:        C:\Windows\System32\winlogon.exe

网络信息:

    网络地址:    192.168.0.110                                                    \\会记录来访者的IP，但不记录其主机名

    端口:            3753                                                              \\同时生成的4624事件在此也不会记录来访者的主机名

 

4、远程3389登陆失败会生成事件ID为4625的安全事件，示例如下：

帐户登录失败。

主题:

    安全 ID:        SYSTEM

    帐户名:        WIN-XXX$

    帐户域:        WORKGROUP

    登录 ID:        0x3e7

登录类型:            10

登录失败的帐户:

    安全 ID:        NULL SID

    帐户名:        admin

    帐户域:        WIN-XXX

失败信息:

    失败原因:        未知用户名或密码错误。

    状态:            0xc000006d

    子状态:        0xc0000064

进程信息:

    调用方进程 ID:    0x714

    调用方进程名:    C:\Windows\System32\winlogon.exe

网络信息:

    工作站名:    WIN-XXX                                    \\记录的是服务器的主机名，不会记录来访者的主机名

    源网络地址:    192.168.0.110

    源端口:        3759

详细身份验证信息:

    登录进程:        User32 

    身份验证数据包:    Negotiate

    传递服务:    -

    数据包名(仅限 NTLM):    -

    密钥长度:        0