Кибербезопасность и информационная безопасность

Active Directory Logs: Важные источники информации для расследования

6 мин чтенияОпубликовано: 5 августа 2026 г.

Профессиональная визуализация по теме Active Directory Logs в области Windows и Identity

Быстрый ответ

Active Directory Logs требуют прочтения полного события, а не только Event ID: время, компьютер, пользователь, Logon ID, процесс, источник сети и организационный контекст. Вывод формируется на основе корреляции нескольких источников.

Расследование Windows и Identity основано на сочетании событий аутентификации, создания процессов, изменений разрешений, телеметрии Sysmon и организационного контекста. Одно событие почти никогда не дает полного вывода. Данная статья посвящена Active Directory Logs и предназначена для аналитиков SOC и студентов Windows Server. Цель — предоставить метод работы, который можно применять на практике, на профессиональном собеседовании и в рабочей среде, не ограничиваясь словарным определением.

Основная проблема заключается в том, что данные почти всегда неполные. Ошибки 4768/4769 Kerberos, 4771 failures, 4740 lockout могут указывать на направление, но их значение зависит от времени, актива, пользователя и ожидаемой активности. Поэтому мы будем строить проверку вокруг вопроса расследования, необходимых доказательств и четкого критерия завершения.

Практический сценарий в статье: таблица "Варианты использования" vs "Event ID" и "Источник". Все примеры являются лабораторными данными или описаниями процессов. При работе с Penetration Testing, Web или Cloud следует работать только с явным разрешением, определенным Scope и возможностью остановить проверку.

Какие системы генерируют телеметрию

Тема "Какие системы генерируют телеметрию" является центральной частью работы с Active Directory Logs. Рекомендуется разбить ее на три вопроса: что является входными данными, какое решение нужно принять и какое доказательство достаточно, чтобы его обосновать. Эти вопросы предотвращают автоматическое использование инструмента без понимания цели.

На практике запишите 4768/4769 Kerberos, 4771 failures, 4740 lockout, 4728/4732 group changes, Directory Service log, сравните с ожидаемым поведением и определите как минимум один Pivot. Результат должен быть проверяем другим аналитиком, включая ограничения и дальнейшие шаги.

Authentication и Kerberos

В Active Directory Logs, идентификация и авторизация – это два разных вопроса: кто клиент и что ему разрешено выполнять с ресурсом. Проверяются Roles, Claims, Session, Object ownership и изменения в течение жизненного цикла, а не только то, что пользователь 'подключен'.

Матрица тестирования включает анонимного пользователя, обычного пользователя, владельца объекта, другого пользователя и администратора. Для каждой операции сравнивается Response и влияние на стороне сервера. Изменение идентификатора или заголовка — это только средство проверки; доказательство состоит в том, что сервер подтвердил или отклонил операцию вопреки политике.

Account и Group changes

Тема "Account и Group changes" является центральной частью работы с Active Directory Logs. Рекомендуется разбить ее на три вопроса: что является входными данными, какое решение нужно принять и какое доказательство достаточно, чтобы его обосновать. Эти вопросы предотвращают автоматическое использование инструмента без понимания цели.

Directory Service и DNS

Тема "Directory Service и DNS" является центральной частью работы с Active Directory Logs. Рекомендуется разбить ее на три вопроса: что является входными данными, какое решение нужно принять и какое доказательство достаточно, чтобы его обосновать. Эти вопросы предотвращают автоматическое использование инструмента без понимания цели.

Correlation между DC и Endpoint

Тема "Correlation между DC и Endpoint" является центральной частью работы с Active Directory Logs. Рекомендуется разбить ее на три вопроса: что является входными данными, какое решение нужно принять и какое доказательство достаточно, чтобы его обосновать. Эти вопросы предотвращают автоматическое использование инструмента без понимания цели.

Особые точки проверки

В этом разделе рекомендуется заранее создать целенаправленную карту доказательств. Основные точки проверки: 4768/4769 Kerberos, 4771 failures, 4740 lockout, 4728/4732 group changes, Directory Service log. Список не является автоматическим чек-листом; каждый элемент выбран потому, что он может связать сущность, действие и время или объяснить легитимное поведение.

4768/4769 Kerberos: Определите ожидаемое значение, что будет считаться аномалией и какой дополнительный источник подтвердит находку.
4771 failures: Определите ожидаемое значение, что будет считаться аномалией и какой дополнительный источник подтвердит находку.
4740 lockout: Определите ожидаемое значение, что будет считаться аномалией и какой дополнительный источник подтвердит находку.
4728/4732 group changes: Определите ожидаемое значение, что будет считаться аномалией и какой дополнительный источник подтвердит находку.
Directory Service log: Определите ожидаемое значение, что будет считаться аномалией и какой дополнительный источник подтвердит находку.

Если одна из точек недоступна, следует задокументировать пробел и выбрать альтернативу. Например, если Process identifier нестабилен, можно использовать время, Host, User и Parent; если Payload зашифрован, используются Metadata, объем, частота и TLS/DNS context.

Практический сценарий

Выбранный сценарий представляет собой таблицу "Варианты использования" vs "Event ID" и "Источник". Цель упражнения – не доказать способность к атаке, а безопасно отработать сбор, сравнение и документирование. Перед началом работы определяются фиктивные данные, временное окно и ожидаемый результат.

По завершении упражнения должен быть представлен продукт, который может быть проверен другим аналитиком или тестировщиком: снимок экрана или экспорт доказательства, краткая Timeline, первоначальная гипотеза, подтверждающее доказательство, ограничение и рекомендация. Если доказательств недостаточно, правильный вывод заключается в том, что сценарий не доказан.

Этап	Что выполняется	Результат
Подготовка	Определите Scope, время и цель. Запишите, какие поля или доказательства из 4768/4769 Kerberos, 4771 failures, 4740 lockout ожидаются.	Краткий план тестирования
Создание данных	Выполните безопасное и имитируемое действие, связанное с Active Directory Logs, без реальной информации или воздействия на производственную систему.	Контролируемое событие/запрос/поток
Сбор	Соберите необработанные доказательства и контекст из дополнительного источника. Убедитесь в правильности часового пояса, идентификаторов и целостности.	Два связанных доказательства
Анализ	Напишите, что каждое доказательство доказывает, что оно не доказывает, и каково возможное законное объяснение.	Промежуточный вывод
Завершение	Выберите закрытие, эскалацию, Finding или Tuning; добавьте рекомендацию и Retest.	Задокументированный результат

Практический чек-лист

Проверьте и задокументируйте: Event ID и Provider.
Проверьте и задокументируйте: Computer, User и Logon ID.
Проверьте и задокументируйте: Process, Parent и Command Line.
Проверьте и задокументируйте: Source IP, Workstation и Logon Type.
Проверьте и задокументируйте: Group/Privilege changes.
Проверьте и задокументируйте: Sysmon ProcessGuid или SessionGuid.
Укажите Time zone, версию инструмента и время сбора.
Сохраните необработанные данные перед фильтрацией или изменением.
Напишите, что находка доказывает и что еще неизвестно.
Определите владельца и следующее действие с датой.

Распространенные ошибки

Полагаться на Event ID без полей.
Путать Logon с источником атаки.
Игнорировать Logon Type.
Связывать Processes только по PID.
Предполагать, что весь PowerShell является вредоносным.
Закрывать событие без проверки Domain Controller.

Заключение и CTA

Active Directory Logs: Важные источники информации для расследования – это тема, которая связывает технические знания с рабочей дисциплиной. Начните с вопроса, соберите только релевантные доказательства, сохраняйте контекст и время, и выберите действие, которое можно обосновать и перепроверить.

В программе Cybersecurity & AI от HPI эти принципы отрабатываются с использованием систем, логов и лабораторий. Естественным продолжением является переход к связанным статьям, выполнение лабораторного упражнения и сохранение результата как части профессионального портфолио.

Вопросы и ответы

Доказывает ли Active Directory Logs сам по себе атаку или уязвимость?

Нет. Он предоставляет сигнал или находку, которая требует контекста, проверки и дополнительного источника. Профессиональное заключение основано на последовательности доказательств и соответствии ожидаемому поведению.

Что делать, если часть данных отсутствует?

Задокументируйте отсутствие, проверьте альтернативный источник и снизьте уровень уверенности. Не дополняйте поля предположениями и не представляйте Unknown как нормальное.

Как долго нужно хранить доказательства?

Время зависит от политики, регулирования, стоимости и типа события. Важно заранее определить Retention, Legal hold и возможность экспорта доказательств в проверяемом формате.

Как тренироваться, не рискуя реальной системой?

Используйте виртуальные машины, фиктивные данные, CTF или выделенную лабораторию. При авторизованных проверках определите Scope, Stop conditions и резервное копирование перед началом работы.