| Microsoft-Windows-Sysmon/Operational |
1 |
Process Create |
Process Create
- UtcTime: [発生日時(UTC)]
- ProcessId: [実行プロセスID]
- Image: [実行ファイルのパス]
- FileVersion・Description・Product・Company・OriginalFileName: [実行ファイルのメタデータ]
- CommandLine: [実行ファイルのパス] -l
- CurrentDirectory: [作業ディレクトリ]
- User: [ドメイン名]\[ユーザー名]
- LogonId: [ログオンID]
- Hashes: [実行ファイルのハッシュ値]
- ParentProcessId: [親プロセスID]
- ParentImage: [親実行ファイルのパス]
- ParentCommandLine: [親プロセスのコマンドライン]
- ParentUser: [親プロセスの実行ユーザ]
-l オプションはハッシュ取得 |
| Security |
4688 |
Process Creation |
新しいプロセスが作成されました。
- 作成元サブジェクト > セキュリティ ID: [実行ユーザーSID]
- 作成元サブジェクト > アカウント名: [ユーザー名]
- 作成元サブジェクト > アカウント ドメイン: [ドメイン名]
- 作成元サブジェクト > ログオン ID: [プロセスを実行したユーザーのセッションID]
- プロセス情報 > 新しいプロセス ID: [プロセスID]
- プロセス情報 > 新しいプロセス名: [実行ファイルのパス]
- プロセス情報 > トークン昇格の種類: TokenElevationTypeFull(2)
- プロセス情報 > 作成元プロセス ID: [新プロセスを作成した親プロセスのプロセスID]
- プロセス情報 > 作成元プロセス名: [新プロセスを作成した親プロセスのパス]
|
| Microsoft-Windows-Sysmon/Operational |
10 |
Process accessed |
Process accessed.
- SourceProcessId: [アクセス元プロセスID]
- SourceThreadId: [アクセス元スレッドID]
- SourceImage: [実行ファイルのパス]
- TargetProcessId: [アクセス先プロセスID]
- TargetImage: C:\Windows\system32\lsass.exe
- GrantedAccess: 0x1FFFFF
|
| Microsoft-Windows-Sysmon/Operational |
8 |
CreateRemoteThread detected |
CreateRemoteThread detected
- UtcTime: [発生日時(UTC)]
- SourceProcessId: [作成元プロセスID]
- SourceImage: [実行ファイルのパス]
- TargeProcessId: [作成先プロセスID]
- TargetImage: C:\Windows\System32\lsass.exe
- NewThreadId: [新規スレッドのスレッドID]
|
| Microsoft-Windows-Sysmon/Operational |
5 |
Process terminated |
Process terminated.
- UtcTime: [発生日時(UTC)]
- ProcessId: [実行プロセスID]
- Image: [実行ファイルのパス]
- User: [ドメイン名]\[ユーザー名]
|
| Security |
4689 |
Process Termination |
プロセスが終了しました。
- サブジェクト > セキュリティ ID: [ユーザーSID]
- サブジェクト > アカウント名: [ユーザー名]
- サブジェクト > アカウント ドメイン: [ドメイン名]
- サブジェクト > ログオン ID: [ログオンID]
- プロセス情報 > 終了状態: 0x1
- プロセス情報 > プロセス ID: [実行プロセスID]
- プロセス情報 > プロセス名: [実行ファイルのパス]
|
| Microsoft-Windows-Sysmon/Operational |
11 |
File created |
File created
- UtcTime: [発生日時(UTC)]
- ProcessId: [プロセスID]
- Image: C:\WINDOWS\system32\svchost.exe
- TargetFilename: C:\Windows\Prefetch\[実行ファイル名]-[文字列].pf
- CreationUtcTime: [ファイル作成日時(UTC)]
|
| Security |
4656 |
File System |
オブジェクトに対するハンドルが要求されました。
- オブジェクト > オブジェクト名: C:\Windows\Prefetch\[実行ファイル名]-[文字列].pf
- オブジェクト > ハンドル ID: [ハンドルID]
- アクセス要求情報 > アクセス: WriteDataまたはAddFile, AppendData
- プロセス情報 > プロセス ID: [プロセスID]
- プロセス情報 > プロセス名: C:\WINDOWS\system32\svchost.exe
|
| Security |
4663 |
File System |
オブジェクトへのアクセスが試行されました。
- オブジェクト > オブジェクト名: C:\Windows\Prefetch\[実行ファイル名]-[文字列].pf
- オブジェクト > ハンドル ID: [直前のイベント4656で取得されたハンドル]
- アクセス要求情報 > アクセス: WriteDataまたはAddFile, AppendData
- プロセス情報 > プロセス ID: [プロセスID]
- プロセス情報 > プロセス名: C:\WINDOWS\system32\svchost.exe
|
| Security |
4658 |
File System |
オブジェクトに対するハンドルが閉じました。
- オブジェクト > ハンドル ID: [直前のイベント4656で取得されたハンドル]
- プロセス情報 > プロセス ID: [プロセスID]
- プロセス情報 > プロセス名: C:\WINDOWS\system32\svchost.exe
|
| Microsoft-Windows-Sysmon/Operational |
1 |
Process Create |
Process Create
- UtcTime: [発生日時(UTC)]
- ProcessId: [実行プロセスID]
- Image: [実行ファイルのパス]
- FileVersion・Description・Product・Company・OriginalFileName: [実行ファイルのメタデータ]
- CommandLine: [実行ファイルのパス] -s [ユーザー名]:[ドメイン名]:[ハッシュ] [リモート実行コマンドライン]
- CurrentDirectory: [作業ディレクトリ]
- User: [ドメイン名]\[ユーザー名]
- LogonId: [ログオンID]
- IntegrityLevel: High
- Hashes: [実行ファイルのハッシュ値]
- ParentProcessId: [親プロセスID]
- ParentImage: [親実行ファイルのパス]
- ParentCommandLine: [親プロセスのコマンドライン]
- ParentUser: [親プロセスの実行ユーザ]
-s オプションはログオン |
| Security |
4688 |
Process Creation |
新しいプロセスが作成されました。
- 作成元サブジェクト > セキュリティ ID: [ユーザーSID]
- 作成元サブジェクト > アカウント名: [ユーザー名]
- 作成元サブジェクト > アカウント ドメイン: [ドメイン名]
- 作成元サブジェクト > ログオン ID: [ログオンID]
- プロセス情報 > 新しいプロセス ID: [新しく実行されたプロセスのプロセスID]
- プロセス情報 > 新しいプロセス名: [実行ファイルのパス]
- プロセス情報 > トークン昇格の種類: TokenElevationTypeFull(2)
- プロセス情報 > 作成元プロセス ID: [親プロセスID]
- プロセス情報 > プロセスのコマンド ライン: [実行ファイルのパス] -s [ユーザー名]:[ドメイン名]:[ハッシュ] [リモート実行コマンドライン]
- プロセス情報 > 作成元プロセス名: [親プロセス名]
|
| Microsoft-Windows-Sysmon/Operational |
1 |
Process Create |
Process Create
- UtcTime: [発生日時(UTC)]
- ProcessId: [プロセスID]
- Image: C:\Windows\System32\cmd.exe
- FileVersion・Description・Product・Company・OriginalFileName: [リモート実行ファイルのメタデータ]
- CommandLine: [リモート実行コマンドライン]
- CurrentDirectory: [作業ディレクトリ]
- User: [ドメイン名]\[ユーザー名]
- LogonId: [ログオンセッションのID]
- IntegrityLevel: High
- Hashes: [実行ファイルのハッシュ値]
- ParentProcessId: [親プロセスID]
- ParentImage: [実行ファイルのパス]
- ParentCommandLine: [実行ファイルのパス] -s [ユーザー名]:[ドメイン名]:[ハッシュ] [リモート実行コマンドライン]
- ParentUser: [ドメイン名]\[ユーザー名]
|
| Security |
4688 |
Process Creation |
新しいプロセスが作成されました。
- 作成元サブジェクト > セキュリティ ID: [ユーザーSID]
- 作成元サブジェクト > アカウント名: [ユーザー名]
- 作成元サブジェクト > アカウント ドメイン: [ドメイン名]
- 作成元サブジェクト > ログオン ID: [ログオンID]
- プロセス情報 > 新しいプロセス ID: [新しく実行されたプロセスのプロセスID]
- プロセス情報 > 新しいプロセス名: [リモート実行ファイルのパス]
- プロセス情報 > トークン昇格の種類: TokenElevationTypeFull(2)
- プロセス情報 > 作成元プロセス ID: [親プロセスID]
- プロセス情報 > プロセスのコマンド ライン: [実行ファイルのパス] -s [ユーザー名]:[ドメイン名]:[ハッシュ] [リモート実行コマンドライン]
- プロセス情報 > 作成元プロセス名: [親プロセス名]
|
| Microsoft-Windows-Sysmon/Operational |
10 |
Process accessed |
Process accessed.
- SourceProcessId: [プロセスID]
- SourceThreadId: [アクセス元スレッドID]
- SourceImage: [実行ファイルのパス]
- TargetProcessId: [アクセス先プロセスID]
- TargetImage: C:\Windows\system32\lsass.exe
- GrantedAccess: 0x1FFFFF
|
| Microsoft-Windows-Sysmon/Operational |
8 |
CreateRemoteThread detected |
CreateRemoteThread detected
- UtcTime: [発生日時(UTC)]
- SourceImage: [実行ファイルのパス]
- TargetImage: C:\Windows\system32\lsass.exe
|
| Microsoft-Windows-Sysmon/Operational |
3 |
Network connection detected |
Network connection detected
- ProcessId: [プロセスID]
- Image: System
- User: NT AUTHORITY\SYSTEM
- Protocol: tcp
- SourceIp: [接続先IPアドレス]
- SourceHostname: [接続先ホスト名]
- SourcePort: [接続先ポート番号]
- DestinationIp: [接続元IPアドレス]
- DestinationHostname: [接続元スト名]
- DestinationPort: 445
|
| Security |
5156 |
Filtering Platform Connection |
Windows フィルターリング プラットフォームで、接続が許可されました。
- アプリケーション情報 > プロセス ID: 4
- アプリケーション情報 > アプリケーション名: System
- ネットワーク情報 > 方向: 送信
- ネットワーク情報 > 送信元アドレス: [接続元IPアドレス]
- ネットワーク情報 > ソース ポート: [接続元ポート番号]
- ネットワーク情報 > 宛先アドレス: [ドメインコントローラーIPアドレス]
- ネットワーク情報 > 宛先ポート: 445
- ネットワーク情報 > プロトコル: 6 (TCP)
|
| Microsoft-Windows-Sysmon/Operational |
5 |
Process terminated |
Process terminated.
- UtcTime: [発生日時(UTC)]
- ProcessId: [プロセスID]
- Image: [リモート実行ファイルパス]
- User: [ドメイン名]\[ユーザー名]
|
| Security |
4689 |
Process Termination |
プロセスが終了しました。
- サブジェクト > セキュリティ ID: [ユーザーのSID]
- サブジェクト > アカウント名: [ユーザー名]
- サブジェクト > アカウント ドメイン: [ドメイン名]
- サブジェクト > ログオン ID: [ログオンID]
- プロセス情報 > 終了状態: 0x0
- プロセス情報 > プロセス ID: [プロセスID]
- プロセス情報 > プロセス名: [リモート実行ファイルパス]
|
| Microsoft-Windows-Sysmon/Operational |
5 |
Process terminated |
Process terminated.
- UtcTime: [発生日時(UTC)]
- ProcessId: [プロセスID]
- Image: [実行ファイルパス]
- User: [ドメイン名]\[ユーザー名]
|
| Security |
4689 |
Process Termination |
プロセスが終了しました。
- サブジェクト > セキュリティ ID: [ユーザーのSID]
- サブジェクト > アカウント名: [ユーザー名]
- サブジェクト > アカウント ドメイン: [ドメイン名]
- サブジェクト > ログオン ID: [ログオンID]
- プロセス情報 > 終了状態: 0xFFFFFFFF
- プロセス情報 > プロセス ID: [実行プロセスID]
- プロセス情報 > プロセス名: [実行ファイルパス]
|
| Security |
4656 |
File System |
オブジェクトに対するハンドルが要求されました。
- サブジェクト > セキュリティ ID: [実行ユーザーのSID]
- サブジェクト > アカウント名: [ユーザー名]
- サブジェクト > アカウント ドメイン: [ドメイン名]
- サブジェクト > ログオン ID: [ログオンID]
- オブジェクト > オブジェクトの種類: File
- オブジェクト > オブジェクト名: C:\Windows\Prefetch\[実行ファイル名]-[文字列].pf
- オブジェクト > ハンドル ID: [当該ハンドルの識別ID]
- アクセス要求情報 > アクセス: WriteDataまたはAddFile, AppendData, WriteAttributesを含む
- プロセス情報 > プロセス ID: [プロセスID]
- プロセス情報 > プロセス名: C:\Windows\System32\svchost.exe
|
| Security |
4663 |
File System |
オブジェクトへのアクセスが試行されました。
- サブジェクト > セキュリティ ID: [実行ユーザーのSID]
- サブジェクト > アカウント名: [ユーザー名]
- サブジェクト > アカウント ドメイン: [ドメイン名]
- サブジェクト > ログオン ID: [ログオンID]
- オブジェクト > オブジェクトの種類: File
- オブジェクト > オブジェクト名: C:\Windows\Prefetch\[実行ファイル名]-[文字列].pf
- オブジェクト > ハンドル ID: [直前のイベント4656で取得されたハンドル]
- アクセス要求情報 > アクセス: WriteDataまたはAddFile, AppendData, WriteAttributes
- プロセス情報 > プロセス ID: [プロセスID]
- プロセス情報 > プロセス名: C:\Windows\System32\svchost.exe
|
| Security |
4658 |
File System |
オブジェクトに対するハンドルが閉じました。
- サブジェクト > セキュリティ ID: [実行ユーザーのSID]
- サブジェクト > アカウント名: [ユーザー名]
- サブジェクト > アカウント ドメイン: [ドメイン名]
- サブジェクト > ログオン ID: [ログオンID]
- オブジェクト > オブジェクト サーバー: Security
- オブジェクト > ハンドル ID: [直前のイベント4656で取得されたハンドル]
- プロセス情報 > プロセス ID: [プロセスID]
- プロセス情報 > プロセス名: C:\Windows\System32\svchost.exe
|