Event ID 4688: Анализ создания процессов в Windows

Что документируется в 4688

Тема «Что документируется в 4688» является центральной частью работы с Event ID 4688. Рекомендуется разбить ее на три вопроса: что является вводом, какое решение вы хотите принять и какое доказательство достаточно, чтобы его обосновать. Эти вопросы предотвращают автоматическое использование инструмента без понимания цели.

На практике запишите New Process Name, Creator Process ID, Process Command Line, Token Elevation Type, Subject Logon ID, сравните с ожидаемым поведением и определите как минимум один Pivot. Результат должен быть проверен другим аналитиком, включая ограничения и дальнейшие шаги.

Включение аудита командной строки

Тема «Включение аудита командной строки» является центральной частью работы с Event ID 4688. Рекомендуется разбить ее на три вопроса: что является вводом, какое решение вы хотите принять и какое доказательство достаточно, чтобы его обосновать. Эти вопросы предотвращают автоматическое использование инструмента без понимания цели.

На практике запишите New Process Name, Creator Process ID, Process Command Line, Token Elevation Type, Subject Logon ID, сравните с ожидаемым поведением и определите как минимум один Pivot. Результат должен быть проверен другим аналитиком, включая ограничения и дальнейшие шаги.

Родительский и новый процесс

Тема «Родительский и новый процесс» является центральной частью работы с Event ID 4688. Рекомендуется разбить ее на три вопроса: что является вводом, какое решение вы хотите принять и какое доказательство достаточно, чтобы его обосновать. Эти вопросы предотвращают автоматическое использование инструмента без понимания цели.

На практике запишите New Process Name, Creator Process ID, Process Command Line, Token Elevation Type, Subject Logon ID, сравните с ожидаемым поведением и определите как минимум один Pivot. Результат должен быть проверен другим аналитиком, включая ограничения и дальнейшие шаги.

Выявление аномальных паттернов

Расследование Event ID 4688 начинается с формулирования гипотезы: какое поведение объясняет находку, и какие доказательства подтвердят или опровергнут ее. Затем расширяется временное окно, проверяются сущности и ищется последовательность до и после события.

Хорошая корреляция объединяет как минимум два типа информации из New Process Name, Creator Process ID, Process Command Line, Token Elevation Type, Subject Logon ID. Для каждой находки указывается, что она доказывает, что она не доказывает и каков следующий шаг. Если данных недостаточно, помечается Unknown и отсутствие доказательств не превращается в доказательство отсутствия.

4688 против Sysmon 1

Чтобы понять разницу в контексте Event ID 4688, важно сравнивать цели, а не только инструменты. Одна опция обеспечивает ширину или скорость, а другая – глубокую проверку или контекст. Правильный выбор зависит от вопроса: требуется ли обнаружение, расследование, доказательство воздействия, сдерживание или отчетность.

Профессиональная таблица сравнения должна включать как минимум: тип ввода, уровень достоверности, операционные затраты, возможное воздействие, ограничения и требуемое продолжение. В случае сомнений используется менее инвазивный подход и добавляется дополнительный источник вместо того, чтобы делать слишком широкие выводы.

Уникальные точки проверки

В этой теме рекомендуется заранее построить сфокусированную карту доказательств. Основные точки проверки: New Process Name, Creator Process ID, Process Command Line, Token Elevation Type, Subject Logon ID. Список не является автоматическим контрольным списком; каждый элемент выбран потому, что он может связать сущность, действие и время или объяснить легитимное поведение.

• New Process Name: Определите ожидаемое значение, что будет считаться аномальным, и какой дополнительный источник подтвердит находку.
• Creator Process ID: Определите ожидаемое значение, что будет считаться аномальным, и какой дополнительный источник подтвердит находку.
• Process Command Line: Определите ожидаемое значение, что будет считаться аномальным, и какой дополнительный источник подтвердит находку.
• Token Elevation Type: Определите ожидаемое значение, что будет считаться аномальным, и какой дополнительный источник подтвердит находку.
• Subject Logon ID: Определите ожидаемое значение, что будет считаться аномальным, и какой дополнительный источник подтвердит находку.

Если одна из точек недоступна, необходимо задокументировать пробел и выбрать альтернативу. Например, если идентификатор процесса нестабилен, можно использовать время, Host, User и Parent; если Payload зашифрован, используются Metadata, объем, частота и контекст TLS/DNS.

Рекомендуемый рабочий процесс

1. Определите Scope и один рабочий вопрос по Event ID 4688.
2. Запишите источники данных и необходимые доказательства: New Process Name, Creator Process ID, Process Command Line, Token Elevation Type.
3. Создайте краткую базовую линию нормального поведения или ожидаемого результата.
4. Выполните минимальную проверку в лабораторной среде и сохраните время, входные и выходные данные.
5. Создайте Timeline или сравнительную таблицу и разделите факты от интерпретации.
6. Выполните Pivot к дополнительному источнику, чтобы подтвердить или опровергнуть первоначальное объяснение.
7. Сформулируйте решение, ограничения, рекомендуемое действие и критерий повторного тестирования.

Практический сценарий

Выбранный сценарий — построение дерева процессов из трех событий. Цель упражнения не в демонстрации способности атаковать, а в отработке сбора, сравнения и документирования безопасным способом. Перед началом работы определяются фиктивные данные, временное окно и ожидаемый результат.

По завершении упражнения необходимо предоставить результат, который может быть проверен другим аналитиком или тестировщиком: скриншот или экспорт доказательств, короткий Timeline, первоначальное предположение, подтверждающее доказательство, ограничение и рекомендация. Если доказательств недостаточно, правильный вывод заключается в том, что сценарий не был доказан.

Практический контрольный список

• ✓Проверьте и задокументируйте: Event ID и Provider.
• ✓Проверьте и задокументируйте: Computer, User и Logon ID.
• ✓Проверьте и задокументируйте: Process, Parent и Command Line.
• ✓Проверьте и задокументируйте: Source IP, Workstation и Logon Type.
• ✓Проверьте и задокументируйте: Group/Privilege changes.
• ✓Проверьте и задокументируйте: Sysmon ProcessGuid или SessionGuid.
• ✓Укажите Time zone, версию инструмента и время сбора.
• ✓Сохраните необработанные данные перед фильтрацией или изменением.
• ✓Напишите, что доказывает находка и что еще неизвестно.
• ✓Определите владельца и дальнейшее действие с датой.

Распространенные ошибки

• Полагаться на Event ID без полей.
• Путать Logon с источником атаки.
• Игнорировать Logon Type.
• Связывать процессы только по PID.
• Предполагать, что любой PowerShell вредоносен.
• Закрывать событие, не проверив Domain Controller.

Резюме и CTA

Event ID 4688: Анализ создания процессов в Windows – это тема, которая связывает технические знания с рабочей дисциплиной. Начните с вопроса, соберите только релевантные доказательства, сохраняйте контекст и время, и выберите действие, которое можно обосновать и перепроверить.

В рамках программы Cybersecurity & AI от HPI эти принципы отрабатываются с использованием систем, логов и лабораторий. Естественное продолжение — перейти к связанным статьям, выполнить лабораторное упражнение и сохранить результат как часть профессионального портфолио.

Вопросы и ответы