schtasks

- 目次

全てのセクションを開く | 全てのセクションを閉じる

- ツール概要

カテゴリ
コマンド実行
説明
指定した時刻にタスクを実行する。
攻撃時における想定利用例
ユーザに気付かれないように実行ファイルやスクリプトを、任意のタイミングで実行する。

- ツール動作概要

項目 接続元 接続先
OS Windows
ドメインへの所属 不要
通信プロトコル 445/tcp
サービス Task Scheduler
権限 標準ユーザー 管理者ユーザー

- ログから得られる情報

標準設定
  • 接続元
    • 実行履歴 (Prefetch)
  • 接続先
    • タスクの作成・実行履歴 (タスクスケジューラ ログ)
追加設定
  • 接続元
    • 実行履歴 (監査ポリシー, Sysmon)

- 実行成功時に確認できる痕跡

- 実行時に記録される主要な情報

- 接続元

イベントログ

# ログ イベントID タスクのカテゴリ イベント内容
1 Microsoft-Windows-Sysmon/Operational 1 Process Create (rule: ProcessCreate) Process Create.
  • UtcTime: プロセス実行日時 (UTC)
  • ProcessGuid/ProcessId: プロセスID
  • Image: 実行ファイルのパス (C:\Windows\System32\schtasks.exe)
  • CommandLine: 実行コマンドのコマンドライン (C:\Windows\System32\schtasks.exe /Create /S [ターゲット] /U [ユーザー] /P [パスワード] /SC [実行タイミング] /TN [タスク名] /TR [実行コマンド])
  • User: 実行ユーザー
2 Microsoft-Windows-Sysmon/Operational 3 Network connection detected (rule: NetworkConnect) Network connection detected.
  • ProcessGuid/ProcessId: プロセスID (schtasks.exeのプロセスID)
  • Image: 実行ファイルのパス
  • User: 実行ユーザー
  • Protocol: プロトコル (tcp)
  • SourceIp/SourceHostname/SourcePort: 送信元IPアドレス/ホスト名/ポート番号 (接続元)
  • DestinationIp/DestinationHostname/DestinationPort: 宛先IPアドレス/ホスト名/ポート番号 (接続先 ポート135, ハイポート)
3 セキュリティ 4648 ログオン 明示的な資格情報を使用してログオンが試行された。
  • サブジェクト > セキュリティID: 実行したユーザーSID
  • サブジェクト > アカウント名: 実行したアカウント名
  • サブジェクト > アカウント ドメイン: 実行したアカウントの所属ドメイン
  • 資格情報が使用されたアカウント > アカウント名: 指定されたアカウント名 (schtasks.exeのコマンドラインで指定されたユーザー)
  • 資格情報が使用されたアカウント > アカウント ドメイン: 指定されたアカウントの所属ドメイン (schtasks.exeのコマンドラインで指定されたユーザーのドメイン)
  • ターゲット サーバー > ターゲット サーバー名: ログオン先ホスト名 (ターゲットホスト)
  • ターゲット サーバー > 追加情報: ログオン先ホストの追加情報 (ターゲットホスト)
  • プロセス情報 > プロセス名: ログオンを試行したプロセス名 (C:\Windows\System32\schtasks.exe)
4 セキュリティ 4689 プロセス終了 プロセスが終了しました。
  • ログの日時: プロセス終了日時 (ローカル時刻)
  • サブジェクト > セキュリティID/アカウント名/アカウント ドメイン: 実行したユーザーSID/アカウント名/ドメイン
  • プロセス情報 > プロセスID: プロセスID (16進数)
  • プロセス情報 > プロセス名: 実行ファイルのパス (C:\Windows\System32\schtasks.exe)
  • プロセス情報 > 終了状態: プロセスの戻り値 (0x0)
5 Microsoft-Windows-Sysmon/Operational 1 Process Create (rule: ProcessCreate) Process Create.
  • UtcTime: プロセス実行日時 (UTC)
  • ProcessGuid/ProcessId: プロセスID
  • Image: 実行ファイルのパス (C:\Windows\System32\schtasks.exe)
  • CommandLine: 実行コマンドのコマンドライン (C:\Windows\System32\schtasks.exe /Run /S [ターゲット] /U [ユーザー] /P [パスワード] /TN [タスク名])
  • User: 実行ユーザー
6 Microsoft-Windows-Sysmon/Operational 3 Network connection detected (rule: NetworkConnect) Network connection detected.
  • ProcessGuid/ProcessId: プロセスID (schtasks.exeのプロセスID)
  • Image: 実行ファイルのパス
  • User: 実行ユーザー
  • Protocol: プロトコル (tcp)
  • SourceIp/SourceHostname/SourcePort: 送信元IPアドレス/ホスト名/ポート番号 (接続元)
  • DestinationIp/DestinationHostname/DestinationPort: 宛先IPアドレス/ホスト名/ポート番号 (接続先 ポート135, ハイポート)
7 セキュリティ 4648 ログオン 明示的な資格情報を使用してログオンが試行された。
  • サブジェクト > セキュリティID: 実行したユーザーSID
  • サブジェクト > アカウント名: 実行したアカウント名
  • サブジェクト > アカウント ドメイン: 実行したアカウントの所属ドメイン
  • 資格情報が使用されたアカウント > アカウント名: 指定されたアカウント名 (schtasks.exeのコマンドラインで指定されたユーザー)
  • 資格情報が使用されたアカウント > アカウント ドメイン: 指定されたアカウントの所属ドメイン (schtasks.exeのコマンドラインで指定されたユーザーのドメイン)
  • ターゲット サーバー > ターゲット サーバー名: ログオン先ホスト名 (接続先ホスト)
  • ターゲット サーバー > 追加情報: ログオン先ホストの追加情報 (接続先ホスト)
  • プロセス情報 > プロセス名: ログオンを試行したプロセス名 (C:\Windows\System32\schtasks.exe)

Prefetch

- 接続先

イベントログ

# ログ イベントID タスクのカテゴリ イベント内容
1 Microsoft-Windows-Sysmon/Operational 3 Network connection detected (rule: NetworkConnect) Network connection detected.
  • ProcessGuid/ProcessId: プロセスID
  • Protocol: プロトコル (tcp)
  • SourceIp/SourceHostname/SourcePort: 送信元IPアドレス/ホスト名/ポート番号 (接続先 ポート135, ハイポート)
  • DestinationIp/DestinationHostname/DestinationPort: 宛先IPアドレス/ホスト名/ポート番号 (接続元)
2 Microsoft-Windows-Sysmon/Operational 1 Process Create (rule: ProcessCreate) Process Create.
  • UtcTime: プロセス実行日時 (UTC)
  • ProcessGuid/ProcessId: プロセスID
  • Image: 実行ファイルのパス (C:\Windows\System32\taskeng.exe)
  • CommandLine: 実行コマンドのコマンドライン (taskeng.exe {[タスクGUID]} [ユーザーSID]:[ドメイン]\[ユーザー名]:Interactive:[1])
  • User: 実行ユーザー (実行側で指定されたユーザー)
3 Microsoft-Windows-Sysmon/Operational 1 Process Create (rule: ProcessCreate) Process Create.
  • UtcTime: プロセス実行日時 (UTC)
  • ProcessGuid/ProcessId: プロセスID
  • Image: 実行ファイルのパス (タスクで指定された実行ファイルのパス)
  • CommandLine: 実行コマンドのコマンドライン (タスクで指定されたコマンドライン)
  • ParentProcessGuid/ParentProcessId: 親プロセスのプロセスID
  • ParentImage: 親プロセスの実行ファイル (C:\Windows\System32\taskeng.exe)
  • ParentCommandLine: 親プロセスのコマンドライン (taskeng.exe {[タスクGUID]} [ユーザーSID]:[ドメイン]\[ユーザー名]:Interactive:[1])
4 Microsoft-Windows-Sysmon/Operational 13 Registry value set (rule: RegistryEvent) Registry value set.
  • EventType: 処理の種類 (SetValue)
  • Image: 実行ファイルのパス (C:\Windows\System32\svchost.exe)
  • TargetObject: 書き込み先のレジストリ値 (\REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{[タスクGUID]}\DynamicInfo)
  • Details: レジストリに書き込まれた設定値 (Binary Data)

Prefetch

レジストリエントリ

# パス 値
1 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{[GUID]} 配下 (複数のレジストリエントリ)
2 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\[タスク名] 配下 (複数のレジストリエントリ)

- 詳細：接続元

- イベントログ

# イベントログ イベントID タスクのカテゴリ イベント内容
1 Microsoft-Windows-Sysmon/Operational 1 Process Create (rule: ProcessCreate) Process Create.
  • UtcTime: プロセス実行日時 (UTC)
  • ProcessGuid/ProcessId: プロセスID
  • Image: 実行ファイルのパス (C:\Windows\System32\schtasks.exe)
  • CommandLine: 実行コマンドのコマンドライン (C:\Windows\System32\schtasks.exe /Create /S [ターゲット] /U [ユーザー] /P [パスワード] /SC [実行タイミング] /TN [タスク名] /TR [実行コマンド])
  • CurrentDirectory: 作業ディレクトリ
  • User: 実行ユーザー
  • LogonGuid/LogonId: ログオンセッションのID
  • IntegrityLevel: 特権レベル
  • Hashes: 実行ファイルのハッシュ値
  • ParentProcessGuid/ParentProcessId: 親プロセスのプロセスID
  • ParentImage: 親プロセスの実行ファイル
  • ParentCommandLine: 親プロセスのコマンドライン
セキュリティ 4688 プロセス作成 新しいプロセスが作成されました。
  • サブジェクト > セキュリティID/アカウント名/アカウント ドメイン: 実行したユーザーSID/アカウント名/ドメイン
  • サブジェクト > ログオンID: プロセスを実行したユーザーのセッションID
  • プロセス情報 > 新しいプロセスID: プロセスID (16進数)
  • プロセス情報 > 新しいプロセス名: 実行ファイルのパス (C:\Windows\System32\schtasks.exe)
  • プロセス情報 > トークン昇格の種類: 権限昇格の有無 (1)
  • プロセス情報 > 必須ラベル: 権限昇格の要否 (Mandatory Label\Medium Mandatory Level)
  • プロセス情報 > 作成元プロセスID: 新プロセスを作成した親プロセスのプロセスID。Windows 7では「クリエイター プロセスID」
  • プロセス情報 > 作成元プロセス名: 新プロセスを作成した親プロセスのパス
  • ログの日時: プロセス実行日時 (ローカル時刻)
2 Microsoft-Windows-Sysmon/Operational 12 Registry object added or deleted (rule: RegistryEvent) Registry object added or deleted.
  • EventType: 処理の種類 (CreateKey)
  • Image: 実行ファイルのパス (C:\Windows\System32\schtasks.exe)
  • ProcessGuid/ProcessId: プロセスID
  • TargetObject: 作成・削除されたレジストリキー・値 (\REGISTRY\MACHINE\SYSTEM\ControlSet001\Services\Tcpip\Parameters)
3 Microsoft-Windows-Sysmon/Operational 3 Network connection detected (rule: NetworkConnect) Network connection detected.
  • ProcessGuid/ProcessId: プロセスID (schtasks.exeのプロセスID)
  • Image: 実行ファイルのパス
  • User: 実行ユーザー
  • Protocol: プロトコル (tcp)
  • SourceIp: 送信元IPアドレス (接続元IPアドレス)
  • SourceHostname: 送信元ホスト名 (接続元ホスト名)
  • SourcePort: 送信元ポート番号 (ハイポート)
  • DestinationIp: 宛先IPアドレス (接続先IPアドレス)
  • DestinationHostname: 宛先ホスト名 (接続先ホスト名)
  • DestinationPort: 宛先ポート番号 (135)
セキュリティ 5158 フィルタリング プラットフォームの接続 Windows フィルターリング プラットフォームで、ローカル ポートへのバインドが許可されました。
  • アプリケーション情報 > プロセスID: プロセスID
  • アプリケーション情報 > アプリケーション名: 実行プロセス (\device\harddiskvolume2\windows\system32\schtasks.exe)
  • ネットワーク情報 > ソース ポート: バインドしたローカルポート (ハイポート)
  • ネットワーク情報 > プロトコル: 使用したプロトコル (6=TCP)
セキュリティ 5156 フィルタリング プラットフォームの接続 Windows フィルターリング プラットフォームで、接続が許可されました。
  • アプリケーション情報 > プロセスID: プロセスID
  • アプリケーション情報 > アプリケーション名: 実行プロセス (\device\harddiskvolume2\windows\system32\schtasks.exe)
  • ネットワーク情報 > 方向: 通信方向 (送信)
  • ネットワーク情報 > 送信元アドレス: 送信元IPアドレス (接続元ホスト)
  • ネットワーク情報 > ソース ポート: 送信元ポート番号 (ハイポート)
  • ネットワーク情報 > 宛先アドレス: 宛先IPアドレス (接続先ホスト)
  • ネットワーク情報 > 宛先ポート: 宛先ポート番号 (135)
  • ネットワーク情報 > プロトコル: 使用されたプロトコル (6=TCP)
4 Microsoft-Windows-Sysmon/Operational 3 Network connection detected (rule: NetworkConnect) Network connection detected.
  • ProcessGuid/ProcessId: プロセスID (schtasks.exeのプロセスID)
  • Image: 実行ファイルのパス
  • User: 実行ユーザー
  • Protocol: プロトコル (tcp)
  • SourceIp: 送信元IPアドレス (接続元IPアドレス)
  • SourceHostname: 送信元ホスト名 (接続元ホスト名)
  • SourcePort: 送信元ポート番号 (ハイポート)
  • DestinationIp: 宛先IPアドレス (接続先IPアドレス)
  • DestinationHostname: 宛先ホスト名 (接続先ホスト名)
  • DestinationPort: 宛先ポート番号 (ハイポート)
セキュリティ 5158 フィルタリング プラットフォームの接続 Windows フィルターリング プラットフォームで、ローカル ポートへのバインドが許可されました。
  • アプリケーション情報 > プロセスID: プロセスID
  • アプリケーション情報 > アプリケーション名: 実行プロセス (\device\harddiskvolume2\windows\system32\schtasks.exe)
  • ネットワーク情報 > ソース ポート: バインドしたローカルポート (ハイポート)
  • ネットワーク情報 > プロトコル: 使用したプロトコル (6=TCP)
セキュリティ 5156 フィルタリング プラットフォームの接続 Windows フィルターリング プラットフォームで、接続が許可されました。
  • アプリケーション情報 > プロセスID: プロセスID
  • アプリケーション情報 > アプリケーション名: 実行プロセス (\device\harddiskvolume2\windows\system32\schtasks.exe)
  • ネットワーク情報 > 方向: 通信方向 (送信)
  • ネットワーク情報 > 送信元アドレス: 送信元IPアドレス (接続元ホスト)
  • ネットワーク情報 > ソース ポート: 送信元ポート番号 (ハイポート)
  • ネットワーク情報 > 宛先アドレス: 宛先IPアドレス (接続先ホスト)
  • ネットワーク情報 > 宛先ポート: 宛先ポート番号 (ハイポート)
  • ネットワーク情報 > プロトコル: 使用されたプロトコル (6=TCP)
6 セキュリティ 4648 ログオン 明示的な資格情報を使用してログオンが試行された。
  • サブジェクト > セキュリティID: 実行したユーザーSID
  • サブジェクト > アカウント名: 実行したアカウント名
  • サブジェクト > アカウント ドメイン: 実行したアカウントの所属ドメイン
  • サブジェクト > ログオンID/ログオンGUID: 認証を実行したユーザーのセッションID
  • 資格情報が使用されたアカウント > アカウント名: 指定されたアカウント名 (schtasks.exeのコマンドラインで指定されたユーザー)
  • 資格情報が使用されたアカウント > アカウント ドメイン: 指定されたアカウントの所属ドメイン (schtasks.exeのコマンドラインで指定されたユーザーのドメイン)
  • ターゲット サーバー > ターゲット サーバー名: ログオン先ホスト名 (ターゲットホスト)
  • ターゲット サーバー > 追加情報: ログオン先ホストの追加情報 (ターゲットホスト)
  • プロセス情報 > プロセスID: ログオンを試行したプロセスID
  • プロセス情報 > プロセス名: ログオンを試行したプロセス名 (C:\Windows\System32\schtasks.exe)
7 Microsoft-Windows-Sysmon/Operational 5 Process terminated (rule: ProcessTerminate) Process terminated.
  • UtcTime: プロセス終了日時 (UTC)
  • ProcessGuid/ProcessId: プロセスID
  • Image: 実行ファイルのパス (C:\Windows\System32\schtasks.exe)
セキュリティ 4689 プロセス終了 プロセスが終了しました。
  • ログの日時: プロセス終了日時 (ローカル時刻)
  • サブジェクト > セキュリティID/アカウント名/アカウント ドメイン: 実行したユーザーSID/アカウント名/ドメイン
  • サブジェクト > ログオンID: プロセスを実行したユーザーのセッションID
  • プロセス情報 > プロセスID: プロセスID (16進数)
  • プロセス情報 > プロセス名: 実行ファイルのパス (C:\Windows\System32\schtasks.exe)
  • プロセス情報 > 終了状態: プロセスの戻り値 (0x0)
8 Microsoft-Windows-Sysmon/Operational 11 File created (rule: FileCreate) File created.
  • ProcessGuid/ProcessId: プロセスID
  • Image: 実行ファイルのパス (C:\Windows\System32\svchost.exe)
  • TargetFilename: 作成されたファイル (C:\Windows\Prefetch\SCHTASKS.EXE-[文字列].pf)
  • CreationUtcTime: ファイル作成日時 (UTC)
セキュリティ 4656 ファイル システム / その他のオブジェクト アクセス イベント オブジェクトに対するハンドルが要求されました。
  • サブジェクト > セキュリティID/アカウント名/アカウント ドメイン: 実行したユーザーSID/アカウント名/ドメイン
  • サブジェクト > ログオンID: プロセスを実行したユーザーのセッションID
  • オブジェクト > オブジェクトの種類: ファイルの種類
  • オブジェクト > オブジェクト名: 対象のファイル名 (C:\Windows\Prefetch\SCHTASKS.EXE-[文字列].pf)
  • オブジェクト > ハンドルID: 当該ハンドルの識別ID
  • プロセス情報 > プロセスID: プロセスID (16進数)
  • プロセス情報 > プロセス名: ハンドルを閉じたプロセス名 (C:\Windows\System32\svchost.exe)
  • アクセス要求情報 > アクセス/アクセス理由/アクセス マスク: 要求された権限 (WriteDataまたはAddFile, AppendDataを含む)
セキュリティ 4663 ファイル システム オブジェクトへのアクセスが試行されました。
  • サブジェクト > セキュリティID/アカウント名/アカウント ドメイン: 実行したユーザーSID/アカウント名/ドメイン
  • サブジェクト > ログオンID: プロセスを実行したユーザーのセッションID
  • オブジェクト > オブジェクトの種類: 対象の区分 (File)
  • オブジェクト > オブジェクト名: 対象のファイル名 (C:\Windows\Prefetch\SCHTASKS.EXE-[文字列].pf)
  • オブジェクト > ハンドルID: 当該ハンドルの識別ID (イベントID: 4656で取得されたハンドル)
  • プロセス情報 > プロセスID: プロセスID (16進数)
  • プロセス情報 > プロセス名: ハンドルを閉じたプロセス名 (C:\Windows\System32\svchost.exe)
  • アクセス要求情報 > アクセス/アクセス理由/アクセス マスク: 要求された権限 (WriteDataまたはAddFile, AppendDataを含む)
  • 成功の監査: 成否 (アクセス成功)
セキュリティ 4658 ファイル システム オブジェクトに対するハンドルが閉じました。
  • サブジェクト > セキュリティID/アカウント名/アカウント ドメイン: 実行したユーザーSID/アカウント名/ドメイン
  • サブジェクト > ログオンID: プロセスを実行したユーザーのセッションID
  • オブジェクト > ハンドルID: 当該ハンドルの識別ID (イベントID: 4656で取得されたハンドル)
  • プロセス情報 > プロセスID: プロセスID (16進数)
  • プロセス情報 > プロセス名: オブジェクトを要求したプロセス名 (C:\Windows\System32\svchost.exe)
9 Microsoft-Windows-Sysmon/Operational 1 Process Create (rule: ProcessCreate) Process Create.
  • UtcTime: プロセス実行日時 (UTC)
  • ProcessGuid/ProcessId: プロセスID
  • Image: 実行ファイルのパス (C:\Windows\System32\schtasks.exe)
  • CommandLine: 実行コマンドのコマンドライン (C:\Windows\System32\schtasks.exe /Run /S [ターゲット] /U [ユーザー] /P [パスワード] /TN [タスク名])
  • CurrentDirectory: 作業ディレクトリ
  • User: 実行ユーザー
  • LogonGuid/LogonId: ログオンセッションのID
  • IntegrityLevel: 特権レベル
  • Hashes: 実行ファイルのハッシュ値
  • ParentProcessGuid/ParentProcessId: 親プロセスのプロセスID
  • ParentImage: 親プロセスの実行ファイル
  • ParentCommandLine: 親プロセスのコマンドライン
セキュリティ 4688 プロセス作成 新しいプロセスが作成されました。
  • サブジェクト > セキュリティID/アカウント名/アカウント ドメイン: 実行したユーザーSID/アカウント名/ドメイン
  • サブジェクト > ログオンID: プロセスを実行したユーザーのセッションID
  • プロセス情報 > 新しいプロセスID: プロセスID (16進数)
  • プロセス情報 > 新しいプロセス名: 実行ファイルのパス (C:\Windows\System32\schtasks.exe)
  • プロセス情報 > トークン昇格の種類: 権限昇格の有無 (1)
  • プロセス情報 > 必須ラベル: 権限昇格の要否 (Mandatory Label\Medium Mandatory Level)
  • プロセス情報 > 作成元プロセスID: 新プロセスを作成した親プロセスのプロセスID。Windows 7では「クリエイター プロセスID」
  • プロセス情報 > 作成元プロセス名: 新プロセスを作成した親プロセスのパス
  • ログの日時: プロセス実行日時 (ローカル時刻)
10 Microsoft-Windows-Sysmon/Operational 12 Registry object added or deleted (rule: RegistryEvent) Registry object added or deleted.
  • EventType: 処理の種類 (CreateKey)
  • Image: 実行ファイルのパス (C:\Windows\System32\schtasks.exe)
  • ProcessGuid/ProcessId: プロセスID
  • TargetObject: 作成・削除されたレジストリキー・値 (\REGISTRY\MACHINE\SYSTEM\ControlSet001\Services\Tcpip\Parameters)
11 Microsoft-Windows-Sysmon/Operational 3 Network connection detected (rule: NetworkConnect) Network connection detected.
  • ProcessGuid/ProcessId: プロセスID (schtasks.exeのプロセスID)
  • Image: 実行ファイルのパス
  • User: 実行ユーザー
  • Protocol: プロトコル (tcp)
  • SourceIp: 送信元IPアドレス (接続元IPアドレス)
  • SourceHostname: 送信元ホスト名 (接続元ホスト名)
  • SourcePort: 送信元ポート番号 (ハイポート)
  • DestinationIp: 宛先IPアドレス (接続先IPアドレス)
  • DestinationHostname: 宛先ホスト名 (接続先ホスト名)
  • DestinationPort: 宛先ポート番号 (135)
セキュリティ 5158 フィルタリング プラットフォームの接続 Windows フィルターリング プラットフォームで、ローカル ポートへのバインドが許可されました。
  • アプリケーション情報 > プロセスID: プロセスID
  • アプリケーション情報 > アプリケーション名: 実行プロセス (\device\harddiskvolume2\windows\system32\schtasks.exe)
  • ネットワーク情報 > ソース ポート: バインドしたローカルポート (ハイポート)
  • ネットワーク情報 > プロトコル: 使用したプロトコル (6=TCP)
セキュリティ 5156 フィルタリング プラットフォームの接続 Windows フィルターリング プラットフォームで、接続が許可されました。
  • アプリケーション情報 > プロセスID: プロセスID
  • アプリケーション情報 > アプリケーション名: 実行プロセス (\device\harddiskvolume2\windows\system32\schtasks.exe)
  • ネットワーク情報 > 方向: 通信方向 (送信)
  • ネットワーク情報 > 送信元アドレス: 送信元IPアドレス (接続元ホスト)
  • ネットワーク情報 > ソース ポート: 送信元ポート番号 (ハイポート)
  • ネットワーク情報 > 宛先アドレス: 宛先IPアドレス (接続先ホスト)
  • ネットワーク情報 > 宛先ポート: 宛先ポート番号 (135)
  • ネットワーク情報 > プロトコル: 使用されたプロトコル (6=TCP)
12 Microsoft-Windows-Sysmon/Operational 3 Network connection detected (rule: NetworkConnect) Network connection detected.
  • ProcessGuid/ProcessId: プロセスID (schtasks.exeのプロセスID)
  • Image: 実行ファイルのパス
  • User: 実行ユーザー
  • Protocol: プロトコル (tcp)
  • SourceIp: 送信元IPアドレス (接続元IPアドレス)
  • SourceHostname: 送信元ホスト名 (接続元ホスト名)
  • SourcePort: 送信元ポート番号 (ハイポート)
  • DestinationIp: 宛先IPアドレス (接続先IPアドレス)
  • DestinationHostname: 宛先ホスト名 (接続先ホスト名)
  • DestinationPort: 宛先ポート番号 (ハイポート)
セキュリティ 5158 フィルタリング プラットフォームの接続 Windows フィルターリング プラットフォームで、ローカル ポートへのバインドが許可されました。
  • アプリケーション情報 > プロセスID: プロセスID
  • アプリケーション情報 > アプリケーション名: 実行プロセス (\device\harddiskvolume2\windows\system32\schtasks.exe)
  • ネットワーク情報 > ソース ポート: バインドしたローカルポート (ハイポート)
  • ネットワーク情報 > プロトコル: 使用したプロトコル (6=TCP)
セキュリティ 5156 フィルタリング プラットフォームの接続 Windows フィルターリング プラットフォームで、接続が許可されました。
  • アプリケーション情報 > プロセスID: プロセスID
  • アプリケーション情報 > アプリケーション名: 実行プロセス (\device\harddiskvolume2\windows\system32\schtasks.exe)
  • ネットワーク情報 > 方向: 通信方向 (送信)
  • ネットワーク情報 > 送信元アドレス: 送信元IPアドレス (接続元ホスト)
  • ネットワーク情報 > ソース ポート: 送信元ポート番号 (ハイポート)
  • ネットワーク情報 > 宛先アドレス: 宛先IPアドレス (接続先ホスト)
  • ネットワーク情報 > 宛先ポート: 宛先ポート番号 (ハイポート)
  • ネットワーク情報 > プロトコル: 使用されたプロトコル (6=TCP)
13 セキュリティ 4648 ログオン 明示的な資格情報を使用してログオンが試行された。
  • サブジェクト > セキュリティID: 実行したユーザーSID
  • サブジェクト > アカウント名: 実行したアカウント名
  • サブジェクト > アカウント ドメイン: 実行したアカウントの所属ドメイン
  • サブジェクト > ログオンID/ログオンGUID: 認証を実行したユーザーのセッションID
  • 資格情報が使用されたアカウント > アカウント名: 指定されたアカウント名 (schtasks.exeのコマンドラインで指定されたユーザー)
  • 資格情報が使用されたアカウント > アカウント ドメイン: 指定されたアカウントの所属ドメイン (schtasks.exeのコマンドラインで指定されたユーザーのドメイン)
  • ターゲット サーバー > ターゲット サーバー名: ログオン先ホスト名 (接続先ホスト)
  • ターゲット サーバー > 追加情報: ログオン先ホストの追加情報 (接続先ホスト)
  • プロセス情報 > プロセスID: ログオンを試行したプロセスID
  • プロセス情報 > プロセス名: ログオンを試行したプロセス名 (C:\Windows\System32\schtasks.exe)
14 Microsoft-Windows-Sysmon/Operational 5 Process terminated (rule: ProcessTerminate) Process terminated.
  • UtcTime: プロセス終了日時 (UTC)
  • ProcessGuid/ProcessId: プロセスID
  • Image: 実行ファイルのパス (C:\Windows\System32\schtasks.exe)
セキュリティ 4689 プロセス終了 プロセスが終了しました。
  • ログの日時: プロセス終了日時 (ローカル時刻)
  • サブジェクト > セキュリティID/アカウント名/アカウント ドメイン: 実行したユーザーSID/アカウント名/ドメイン
  • サブジェクト > ログオンID: プロセスを実行したユーザーのセッションID
  • プロセス情報 > プロセスID: プロセスID (16進数)
  • プロセス情報 > プロセス名: 実行ファイルのパス (C:\Windows\System32\schtasks.exe)
  • プロセス情報 > 終了状態: プロセスの戻り値 (0x0)

- MFT

# パス ヘッダフラグ 有効
1 [ドライブ名]:\Windows\Prefetch\SCHTASKS.EXE-[文字列].pf FILE ALLOCATED

- Prefetch

# Prefetchファイル プロセス名 プロセスパス ログから得られる情報
1 C:\Windows\Prefetch\SCHTASKS.EXE-[文字列].pf SCHTASKS.EXE C:\WINDOWS\SYSTEM32\SCHTASKS.EXE Last Run Time (最終実行日時)

- USNジャーナル

# ファイル名 処理 属性
1 SCHTASKS.EXE-[文字列].pf FILE_CREATE archive+not_indexed
SCHTASKS.EXE-[文字列].pf DATA_EXTEND+FILE_CREATE archive+not_indexed
SCHTASKS.EXE-[文字列].pf CLOSE+DATA_EXTEND+FILE_CREATE archive+not_indexed
SCHTASKS.EXE-[文字列].pf DATA_TRUNCATION archive+not_indexed
SCHTASKS.EXE-[文字列].pf DATA_EXTEND+DATA_TRUNCATION archive+not_indexed
SCHTASKS.EXE-[文字列].pf CLOSE+DATA_EXTEND+DATA_TRUNCATION archive+not_indexed

- 詳細：接続先

- イベントログ

# イベントログ イベントID タスクのカテゴリ イベント内容
1 Microsoft-Windows-Sysmon/Operational 3 Network connection detected (rule: NetworkConnect) Network connection detected.
  • ProcessGuid/ProcessId: プロセスID
  • Image: 実行ファイルのパス (C:\Windows\System32\svchost.exe)
  • User: 実行ユーザー (NT AUTHORITY\NETWORK SERVICE)
  • Protocol: プロトコル (tcp)
  • SourceIp: 送信元IPアドレス (接続先IPアドレス)
  • SourceHostname: 送信元ホスト名 (接続先ホスト)
  • SourcePort: 送信元ポート番号 (135)
  • DestinationIp: 宛先IPアドレス (接続元IPアドレス)
  • DestinationHostname: 宛先ホスト名 (接続元ホスト)
  • DestinationPort: 宛先ポート番号 (ハイポート)
セキュリティ 5156 フィルタリング プラットフォームの接続 Windows フィルターリング プラットフォームで、接続が許可されました。
  • アプリケーション情報 > プロセスID: プロセスID
  • アプリケーション情報 > アプリケーション名: 実行プロセス (\device\harddiskvolume2\windows\system32\svchost.exe)
  • ネットワーク情報 > 方向: 通信方向 (着信)
  • ネットワーク情報 > 送信元アドレス: 送信元IPアドレス (接続先ホスト)
  • ネットワーク情報 > ソース ポート: 送信元ポート番号 (135)
  • ネットワーク情報 > 宛先アドレス: 宛先IPアドレス (接続元ホスト)
  • ネットワーク情報 > 宛先ポート: 宛先ポート番号 (ハイポート)
  • ネットワーク情報 > プロトコル: 使用されたプロトコル (6=TCP)
2 Microsoft-Windows-Sysmon/Operational 3 Network connection detected (rule: NetworkConnect) Network connection detected.
  • ProcessGuid/ProcessId: プロセスID
  • Image: 実行ファイルのパス (C:\Windows\System32\svchost.exe)
  • User: 実行ユーザー (NT AUTHORITY\NETWORK SERVICE)
  • Protocol: プロトコル (tcp)
  • SourceIp: 送信元IPアドレス (接続先IPアドレス)
  • SourceHostname: 送信元ホスト名 (接続先ホスト)
  • SourcePort: 送信元ポート番号 (ハイポート)
  • DestinationIp: 宛先IPアドレス (接続元IPアドレス)
  • DestinationHostname: 宛先ホスト名 (接続元ホスト)
  • DestinationPort: 宛先ポート番号 (ハイポート)
セキュリティ 5156 フィルタリング プラットフォームの接続 Windows フィルターリング プラットフォームで、接続が許可されました。
  • アプリケーション情報 > プロセスID: プロセスID
  • アプリケーション情報 > アプリケーション名: 実行プロセス (\device\harddiskvolume2\windows\system32\svchost.exe)
  • ネットワーク情報 > 方向: 通信方向 (着信)
  • ネットワーク情報 > 送信元アドレス: 送信元IPアドレス (接続先ホスト)
  • ネットワーク情報 > ソース ポート: 送信元ポート番号 (ハイポート)
  • ネットワーク情報 > 宛先アドレス: 宛先IPアドレス (接続元ホスト)
  • ネットワーク情報 > 宛先ポート: 宛先ポート番号 (ハイポート)
  • ネットワーク情報 > プロトコル: 使用されたプロトコル (6=TCP)
3 Microsoft-Windows-Sysmon/Operational 3 Network connection detected (rule: NetworkConnect) Network connection detected.
  • ProcessGuid/ProcessId: プロセスID
  • Image: 実行ファイルのパス (C:\Windows\System32\lsass.exe)
  • User: 実行ユーザー (NT AUTHORITY\SYSTEM)
  • Protocol: プロトコル (tcp)
  • SourceIp: 送信元IPアドレス (接続先IPアドレス)
  • SourceHostname: 送信元ホスト名 (接続先ホスト)
  • SourcePort: 送信元ポート番号 (ハイポート)
  • DestinationIp: 宛先IPアドレス (ドメインコントローラーIPアドレス)
  • DestinationHostname: 宛先ホスト名 (ドメインコントローラーホスト名)
  • DestinationPort: 宛先ポート番号 (ハイポート)
セキュリティ 5156 フィルタリング プラットフォームの接続 Windows フィルターリング プラットフォームで、接続が許可されました。
  • アプリケーション情報 > プロセスID: プロセスID
  • アプリケーション情報 > アプリケーション名: 実行プロセス (\device\harddiskvolume2\windows\system32\lsass.exe)
  • ネットワーク情報 > 方向: 通信方向 (送信)
  • ネットワーク情報 > 送信元アドレス: 送信元IPアドレス (接続先ホスト)
  • ネットワーク情報 > ソース ポート: 送信元ポート番号 (ハイポート)
  • ネットワーク情報 > 宛先アドレス: 宛先IPアドレス (ドメインコントローラー)
  • ネットワーク情報 > 宛先ポート: 宛先ポート番号 (ハイポート)
  • ネットワーク情報 > プロトコル: 使用されたプロトコル (6=TCP)
4 セキュリティ 4672 特殊なログオン 新しいログオンに特権が割り当てられました。
  • サブジェクト > セキュリティID/アカウント名/アカウント ドメイン: 実行したユーザーSID/アカウント名/ドメイン
  • サブジェクト > ログオンID: プロセスを実行したユーザーのセッションID
  • 特権: 割り当てられた特権SeSecurityPrivilege, SeBackupPrivilege, SeRestorePrivilege, SeTakeOwnershipPrivilege, SeDebugPrivilege, SeSystemEnvironmentPrivilege, SeLoadDriverPrivilege, SeImpersonatePrivilege
セキュリティ 4624 ログオン アカウントが正常にログオンしました。
  • サブジェクト > セキュリティID/アカウント名/アカウント ドメイン: 実行したユーザーSID/アカウント名/ドメイン
  • サブジェクト > ログオンID: 認証を実行したユーザーのセッションID
  • ログオンの種類: ログオンの経路・方式など (3=ネットワーク)
  • 新しいログオン > セキュリティID/アカウント名/アカウント ドメイン: ログオンされたユーザーSID/アカウント名/ドメイン
  • 新しいログオン > ログオンID/ログオンGUID: ログオンされたユーザーのセッションID
  • プロセス情報 > プロセスID: プロセスID (16進数)
  • プロセス情報 > プロセス名: 実行ファイルのパス
  • ネットワーク情報 > ワークステーション名: ログオンを要求したホスト名 (接続元ホスト名)
  • ネットワーク情報 > ソース ネットワーク アドレス: ログオンを要求したIPアドレス (接続元IPアドレス)
  • ネットワーク情報 > ソース ポート: 接続元ポート番号 (ハイポート)
  • 詳細な認証情報 > ログオン プロセス: ログオンに使用されたプロセス (NtLmSsp)
  • 詳細な認証情報 > 認証パッケージ: 使用された認証パッケージ (NTLM)
  • 詳細な認証情報 > パッケージ名 (NTLMのみ): NTLMのバージョン (NTLM V2)
  • 詳細な認証情報 > キーの長さ: 認証に使用したキーの長さ (128)
セキュリティ 4634 ログオフ アカウントがログオフしました。
  • サブジェクト > セキュリティID/アカウント名/アカウント ドメイン: 実行したユーザーSID/アカウント名/ドメイン
  • サブジェクト > ログオンID: 認証を実行したユーザーのセッションID
  • ログオン タイプ: ログオンの経路・方式など (3=ネットワーク)
5 Microsoft-Windows-Sysmon/Operational 1 Process Create (rule: ProcessCreate) Process Create.
  • UtcTime: プロセス実行日時 (UTC)
  • ProcessGuid/ProcessId: プロセスID
  • Image: 実行ファイルのパス (C:\Windows\System32\taskeng.exe)
  • CommandLine: 実行コマンドのコマンドライン (taskeng.exe {[タスクGUID]} [ユーザーSID]:[ドメイン]\[ユーザー名]:Interactive:[1])
  • CurrentDirectory: 作業ディレクトリ (C:\Windows\system32)
  • User: 実行ユーザー (実行側で指定されたユーザー)
  • LogonGuid/LogonId: ログオンセッションのID
  • IntegrityLevel: 特権レベル (High)
  • Hashes: 実行ファイルのハッシュ値
  • ParentProcessGuid/ParentProcessId: 親プロセスのプロセスID
  • ParentImage: 親プロセスの実行ファイル (C:\Windows\System32\svchost.exe)
  • ParentCommandLine: 親プロセスのコマンドライン (C:\Windows\system32\svchost.exe -k netsvcs)
セキュリティ 4688 プロセス作成 新しいプロセスが作成されました。
  • サブジェクト > セキュリティID: 実行したユーザーSID (SYSTEM)
  • サブジェクト > アカウント名: 実行したアカウント名 ([ホスト名]$)
  • サブジェクト > アカウント ドメイン: 実行したアカウントの所属ドメイン (端末の所属ドメイン)
  • サブジェクト > ログオンID: プロセスを実行したユーザーのセッションID
  • プロセス情報 > 新しいプロセスID: プロセスID (16進数)
  • プロセス情報 > 新しいプロセス名: 実行ファイルのパス (C:\Windows\System32\taskeng.exe)
  • プロセス情報 > トークン昇格の種類: 権限昇格の有無 (1)
  • プロセス情報 > 作成元プロセスID: 新プロセスを作成した親プロセスのプロセスID。Windows 7では「クリエイター プロセスID」
  • ログの日時: プロセス実行日時 (ローカル時刻)
6 Microsoft-Windows-Sysmon/Operational 1 Process Create (rule: ProcessCreate) Process Create.
  • UtcTime: プロセス実行日時 (UTC)
  • ProcessGuid/ProcessId: プロセスID
  • Image: 実行ファイルのパス (タスクで指定された実行ファイルのパス)
  • CommandLine: 実行コマンドのコマンドライン (タスクで指定されたコマンドライン)
  • CurrentDirectory: 作業ディレクトリ
  • User: 実行ユーザー
  • LogonGuid/LogonId: ログオンセッションのID
  • IntegrityLevel: 特権レベル
  • Hashes: 実行ファイルのハッシュ値
  • ParentProcessGuid/ParentProcessId: 親プロセスのプロセスID
  • ParentImage: 親プロセスの実行ファイル (C:\Windows\System32\taskeng.exe)
  • ParentCommandLine: 親プロセスのコマンドライン (taskeng.exe {[タスクGUID]} [ユーザーSID]:[ドメイン]\[ユーザー名]:Interactive:[1])
セキュリティ 4688 プロセス作成 新しいプロセスが作成されました。
  • サブジェクト > セキュリティID: 実行したユーザーSID
  • サブジェクト > アカウント名: 実行したアカウント名
  • サブジェクト > アカウント ドメイン: 実行したアカウントの所属ドメイン
  • サブジェクト > ログオンID: プロセスを実行したユーザーのセッションID
  • プロセス情報 > 新しいプロセスID: プロセスID (16進数)
  • プロセス情報 > 新しいプロセス名: 実行ファイルのパス (タスクで指定された実行ファイルのパス)
  • プロセス情報 > トークン昇格の種類: 権限昇格の有無 (1)
  • プロセス情報 > 作成元プロセスID: 新プロセスを作成した親プロセスのプロセスID。Windows 7では「クリエイター プロセスID」
  • ログの日時: プロセス実行日時 (ローカル時刻)
7 Microsoft-Windows-Sysmon/Operational 10 Process accessed (rule: ProcessAccess) Process accessed.
  • SourceProcessGUID/SourceProcessId/SourceThreadId: アクセス元プロセスのプロセス/スレッドID
  • SourceImage: アクセス元プロセスのパス (C:\Windows\system32\taskeng.exe)
  • TargetProcessGUID/TargetProcessId: アクセス先プロセスのプロセスID
  • TargetImage: アクセス先プロセスのパス (タスクで指定された実行ファイルのパス)
  • GrantedAccess: 許可されたアクセスの内容 (0x1FFFFF)
8 Microsoft-Windows-Sysmon/Operational 5 Process terminated (rule: ProcessTerminate) Process terminated.
  • UtcTime: プロセス終了日時 (UTC)
  • ProcessGuid/ProcessId: プロセスID
  • Image: 実行ファイルのパス (タスクで指定された実行ファイルのパス)
セキュリティ 4689 プロセス終了 プロセスが終了しました。
  • ログの日時: プロセス終了日時 (ローカル時刻)
  • サブジェクト > セキュリティID/アカウント名/アカウント ドメイン: 実行したユーザーSID/アカウント名/ドメイン
  • サブジェクト > ログオンID: プロセスを実行したユーザーのセッションID
  • プロセス情報 > プロセスID: プロセスID (16進数)
  • プロセス情報 > プロセス名: 実行ファイルのパス (タスクで指定された実行ファイルのパス)
  • プロセス情報 > 終了状態: プロセスの戻り値
9 Microsoft-Windows-Sysmon/Operational 13 Registry value set (rule: RegistryEvent) Registry value set.
  • EventType: 処理の種類 (SetValue)
  • Image: 実行ファイルのパス (C:\Windows\System32\svchost.exe)
  • ProcessGuid/ProcessId: プロセスID
  • TargetObject: 書き込み先のレジストリ値 (\REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{[タスクGUID]}\DynamicInfo)
  • Details: レジストリに書き込まれた設定値 (Binary Data)
10 Microsoft-Windows-Sysmon/Operational 11 File created (rule: FileCreate) File created.
  • ProcessGuid/ProcessId: プロセスID
  • Image: 実行ファイルのパス (C:\Windows\System32\svchost.exe)
  • TargetFilename: 作成されたファイル (C:\Windows\Prefetch\TASKENG.EXE-[文字列].pf)
  • CreationUtcTime: ファイル作成日時 (UTC)
セキュリティ 4656 ファイル システム / その他のオブジェクト アクセス イベント オブジェクトに対するハンドルが要求されました。
  • サブジェクト > セキュリティID/アカウント名/アカウント ドメイン: 実行したユーザーSID/アカウント名/ドメイン
  • サブジェクト > ログオンID: プロセスを実行したユーザーのセッションID
  • オブジェクト > オブジェクトの種類: ファイルの種類
  • オブジェクト > オブジェクト名: 対象のファイル名 (C:\Windows\Prefetch\TASKENG.EXE-[文字列].pf)
  • オブジェクト > ハンドルID: 当該ハンドルの識別ID
  • プロセス情報 > プロセスID: プロセスID (16進数)
  • プロセス情報 > プロセス名: ハンドルを閉じたプロセス名 (C:\Windows\System32\svchost.exe)
  • アクセス要求情報 > アクセス/アクセス理由/アクセス マスク: 要求された権限 (WriteDataまたはAddFile、AppendDataを含む)
セキュリティ 4663 ファイル システム オブジェクトへのアクセスが試行されました。
  • サブジェクト > セキュリティID/アカウント名/アカウント ドメイン: 実行したユーザーSID/アカウント名/ドメイン
  • サブジェクト > ログオンID: プロセスを実行したユーザーのセッションID
  • オブジェクト > オブジェクトの種類: 対象の区分 (File)
  • オブジェクト > オブジェクト名: 対象のファイル名 (C:\Windows\Prefetch\TASKENG.EXE-[文字列].pf)
  • オブジェクト > ハンドルID: 当該ハンドルの識別ID (イベントID: 4656で取得されたハンドル)
  • プロセス情報 > プロセスID: プロセスID (16進数)
  • プロセス情報 > プロセス名: ハンドルを閉じたプロセス名 (C:\Windows\System32\svchost.exe)
  • アクセス要求情報 > アクセス/アクセス理由/アクセス マスク: 要求された権限 (WriteDataまたはAddFile、AppendDataを含む)
  • 成功の監査: 成否 (アクセス成功)
セキュリティ 4658 ファイル システム オブジェクトに対するハンドルが閉じました。
  • サブジェクト > セキュリティID/アカウント名/アカウント ドメイン: 実行したユーザーSID/アカウント名/ドメイン
  • サブジェクト > ログオンID: プロセスを実行したユーザーのセッションID
  • オブジェクト > ハンドルID: 当該ハンドルの識別ID (イベントID: 4656で取得されたハンドル)
  • プロセス情報 > プロセスID: プロセスID (16進数)
  • プロセス情報 > プロセス名: オブジェクトを要求したプロセス名 (C:\Windows\System32\svchost.exe)

- MFT

# パス ヘッダフラグ 有効
1 [ドライブ名]:\Windows\Prefetch\TASKENG.EXE-[文字列].pf FILE ALLOCATED

- Prefetch

# Prefetchファイル プロセス名 プロセスパス ログから得られる情報
1 C:\Windows\Prefetch\TASKENG.EXE-[文字列].pf TASKENG.EXE C:\WINDOWS\SYSTEM32\TASKENG.EXE Last Run Time (最終実行日時)

- レジストリエントリ

# パス 種類 値
1 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Plain\{[GUID]} Key (値の設定無し)
2 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{[GUID]}\Path String \[タスク名]
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{[GUID]}\Hash String [ハッシュ値]
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{[GUID]}\Triggers String [タスク起動タイミング (トリガー)]
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{[GUID]}\DynamicInfo String [データ]
3 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\[タスク名]\Id String {[GUID]}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\[タスク名]\Index DWORD [インデックス番号]

- USNジャーナル

# ファイル名 処理 属性
1 TASKENG.EXE-[文字列].pf FILE_CREATE archive+not_indexed
TASKENG.EXE-[文字列].pf DATA_EXTEND+FILE_CREATE archive+not_indexed
TASKENG.EXE-[文字列].pf CLOSE+DATA_EXTEND+FILE_CREATE archive+not_indexed

- パケットキャプチャ

# 処理 送信元ホスト 送信元ポート番号 宛先ホスト 宛先ポート番号 プロトコル/アプリケーション
1 Bind: call_id: 2, Fragment: Single, 3 context items: 86d35949-83c9-4044-b424-db363231fd0c V1.0 (32bit NDR), 86d35949-83c9-4044-b424-db363231fd0c V1.0 (64bit NDR), 86d35949-83c9-4044-b424-db363231fd0c V1.0 (6cb71c2c-9812-4540-0300-000000000000), NTLMSSP_NEGOTIATE [接続元] [ハイポート] [接続先] [ハイポート] DCERPC
Bind_ack: call_id: 2, Fragment: Single, max_xmit: 5840 max_recv: 5840, 3 results: Provider rejection, Acceptance, Negotiate ACK, NTLMSSP_CHALLENGE [接続先] [ハイポート] [接続元] [ハイポート] DCERPC
2 AUTH3: call_id: 2, Fragment: Single, NTLMSSP_AUTH, User: [ユーザー名] [接続元] [ハイポート] [接続先] [ハイポート] DCERPC
Request: call_id: 2, Fragment: Single, opnum: 0, Ctx: 1 86d35949-83c9-4044-b424-db363231fd0c V1 [接続先] [ハイポート] [接続元] [ハイポート] DCERPC
Response: call_id: 2, Fragment: Single, Ctx: 1 86d35949-83c9-4044-b424-db363231fd0c V1 [接続先] [ハイポート] [接続元] [ハイポート] DCERPC
3 Request: call_id: 3, Fragment: Single, opnum: 7, Ctx: 1 86d35949-83c9-4044-b424-db363231fd0c V1 [接続元] [ハイポート] [接続先] [ハイポート] DCERPC
Response: call_id: 3, Fragment: Single, Ctx: 1 86d35949-83c9-4044-b424-db363231fd0c V1 [接続先] [ハイポート] [接続元] [ハイポート] DCERPC
4 Request: call_id: 4, Fragment: Single, opnum: 1, Ctx: 1 86d35949-83c9-4044-b424-db363231fd0c V1 [接続元] [ハイポート] [接続先] [ハイポート] DCERPC
Response: call_id: 4, Fragment: Single, Ctx: 1 86d35949-83c9-4044-b424-db363231fd0c V1 [接続先] [ハイポート] [接続元] [ハイポート] DCERPC
5 Bind: call_id: 2, Fragment: Single, 3 context items: 86d35949-83c9-4044-b424-db363231fd0c V1.0 (32bit NDR), 86d35949-83c9-4044-b424-db363231fd0c V1.0 (64bit NDR), 86d35949-83c9-4044-b424-db363231fd0c V1.0 (6cb71c2c-9812-4540-0300-000000000000), NTLMSSP_NEGOTIATE [接続元] [ハイポート] [接続先] [ハイポート] DCERPC
Bind_ack: call_id: 2, Fragment: Single, max_xmit: 5840 max_recv: 5840, 3 results: Provider rejection, Acceptance, Negotiate ACK, NTLMSSP_CHALLENGE [接続先] [ハイポート] [接続元] [ハイポート] DCERPC
6 AUTH3: call_id: 2, Fragment: Single, NTLMSSP_AUTH, User: [ユーザー名] [接続元] [ハイポート] [接続先] [ハイポート] DCERPC
Request: call_id: 2, Fragment: Single, opnum: 0, Ctx: 1 86d35949-83c9-4044-b424-db363231fd0c V1 [接続元] [ハイポート] [接続先] [ハイポート] DCERPC
Response: call_id: 2, Fragment: Single, Ctx: 1 86d35949-83c9-4044-b424-db363231fd0c V1 [接続先] [ハイポート] [接続元] [ハイポート] DCERPC
7 Request: call_id: 3, Fragment: Single, opnum: 7, Ctx: 1 86d35949-83c9-4044-b424-db363231fd0c V1 [接続元] [ハイポート] [接続先] [ハイポート] DCERPC
Response: call_id: 3, Fragment: Single, Ctx: 1 86d35949-83c9-4044-b424-db363231fd0c V1 [接続先] [ハイポート] [接続元] [ハイポート] DCERPC
8 Request: call_id: 4, Fragment: Single, opnum: 2, Ctx: 1 86d35949-83c9-4044-b424-db363231fd0c V1 [接続元] [ハイポート] [接続先] [ハイポート] DCERPC
Response: call_id: 4, Fragment: Single, Ctx: 1 86d35949-83c9-4044-b424-db363231fd0c V1 [接続先] [ハイポート] [接続元] [ハイポート] DCERPC
9 Request: call_id: 5, Fragment: Single, opnum: 17, Ctx: 1 86d35949-83c9-4044-b424-db363231fd0c V1 [接続元] [ハイポート] [接続先] [ハイポート] DCERPC
Response: call_id: 5, Fragment: Single, Ctx: 1 86d35949-83c9-4044-b424-db363231fd0c V1 [接続先] [ハイポート] [接続元] [ハイポート] DCERPC
10 Request: call_id: 6, Fragment: Single, opnum: 12, Ctx: 1 86d35949-83c9-4044-b424-db363231fd0c V1 [接続元] [ハイポート] [接続先] [ハイポート] DCERPC
Response: call_id: 6, Fragment: Single, Ctx: 1 86d35949-83c9-4044-b424-db363231fd0c V1 [接続先] [ハイポート] [接続元] [ハイポート] DCERPC

- 備考