4656(S, F) オブジェクトへのハンドルが要求されました。

4656(S, F): オブジェクトへのハンドルが要求されました。

サブカテゴリ: ファイルシステムの監査、カーネルオブジェクトの監査、レジストリの監査、および リムーバブルストレージの監査

イベントの説明:

このイベントは、オブジェクトに対して特定のアクセスが要求されたことを示します。オブジェクトはファイルシステム、カーネル、またはレジストリオブジェクト、またはリムーバブルストレージやデバイス上のファイルシステムオブジェクトである可能性があります。

アクセスが拒否された場合、失敗イベントが生成されます。

このイベントは、オブジェクトの SACL が特定のアクセス権の使用を処理するために必要な ACE を持っている場合にのみ生成されます。

このイベントはアクセスが要求されたことと要求の結果を示しますが、操作が実行されたことを示すものではありません。操作が実行されたことを確認するには、「4663(S): オブジェクトへのアクセスが試みられました」を確認してください。

注  推奨事項については、このイベントの セキュリティ監視の推奨事項 を参照してください。

イベント XML:

- <Event xmlns="http://schemas.microsoft.com/win/2004/08/events/event">
- <System>
 <Provider Name="Microsoft-Windows-Security-Auditing" Guid="{54849625-5478-4994-A5BA-3E3B0328C30D}" /> 
 <EventID>4656</EventID> 
 <Version>1</Version> 
 <Level>0</Level> 
 <Task>12800</Task> 
 <Opcode>0</Opcode> 
 <Keywords>0x8010000000000000</Keywords> 
 <TimeCreated SystemTime="2015-09-18T22:15:19.346776600Z" /> 
 <EventRecordID>274057</EventRecordID> 
 <Correlation /> 
 <Execution ProcessID="516" ThreadID="524" /> 
 <Channel>Security</Channel> 
 <Computer>DC01.contoso.local</Computer> 
 <Security /> 
 </System>
- <EventData>
 <Data Name="SubjectUserSid">S-1-5-21-3457937927-2839227994-823803824-1104</Data> 
 <Data Name="SubjectUserName">dadmin</Data> 
 <Data Name="SubjectDomainName">CONTOSO</Data> 
 <Data Name="SubjectLogonId">0x4367b</Data> 
 <Data Name="ObjectServer">Security</Data> 
 <Data Name="ObjectType">File</Data> 
 <Data Name="ObjectName">C:\\Documents\\HBI Data.txt</Data> 
 <Data Name="HandleId">0x0</Data> 
 <Data Name="TransactionId">{00000000-0000-0000-0000-000000000000}</Data> 
 <Data Name="AccessList">%%1538 %%1541 %%4416 %%4417 %%4418 %%4419 %%4420 %%4423 %%4424</Data> 
 <Data Name="AccessReason">%%1538: %%1804 %%1541: %%1809 %%4416: %%1809 %%4417: %%1809 %%4418: %%1802 D:(D;;LC;;;S-1-5-21-3457937927-2839227994-823803824-1104) %%4419: %%1809 %%4420: %%1809 %%4423: %%1811 D:(A;OICI;FA;;;S-1-5-21-3457937927-2839227994-823803824-1104) %%4424: %%1809</Data> 
 <Data Name="AccessMask">0x12019f</Data> 
 <Data Name="PrivilegeList">-</Data> 
 <Data Name="RestrictedSidCount">0</Data> 
 <Data Name="ProcessId">0x1074</Data> 
 <Data Name="ProcessName">C:\\Windows\\System32\\notepad.exe</Data> 
 <Data Name="ResourceAttributes">S:AI(RA;ID;;;;WD;("Impact\_MS",TI,0x10020,3000))</Data> 
 </EventData>
 </Event>

必要なサーバー役割: なし。

最小 OS バージョン: Windows Server 2008、Windows Vista。

イベントバージョン:

• 0 - Windows Server 2008、Windows Vista。

• 1 - Windows Server 2012、Windows 8。

  • 「リソース属性」フィールドが追加されました。

  • 「アクセス理由」フィールドが追加されました。

フィールドの説明:

サブジェクト:

• セキュリティ ID [タイプ = SID]: オブジェクトへのハンドルを要求したアカウントの SID。イベントビューアーは自動的に SID を解決してアカウント名を表示しようとします。SID を解決できない場合、イベントにソースデータが表示されます。

注  セキュリティ識別子 (SID) は、トラスティ (セキュリティプリンシパル) を識別するために使用される可変長の一意の値です。各アカウントには、Active Directory ドメイン コントローラーなどの権限によって発行され、セキュリティ データベースに保存される一意の SID があります。ユーザーがログオンするたびに、システムはデータベースからそのユーザーの SID を取得し、そのユーザーのアクセス トークンに配置します。システムは、アクセス トークン内の SID を使用して、以降のすべての Windows セキュリティとのやり取りでユーザーを識別します。SID がユーザーまたはグループの一意の識別子として使用された場合、それは他のユーザーまたはグループを識別するために再び使用されることはありません。SID の詳細については、セキュリティ識別子 を参照してください。

• アカウント名 [タイプ = UnicodeString]: オブジェクトへのハンドルを要求したアカウントの名前。

• アカウント ドメイン [タイプ = UnicodeString]: サブジェクトのドメインまたはコンピューター名。形式はさまざまで、次のようなものがあります。

  • ドメイン NETBIOS 名の例: CONTOSO

  • 小文字の完全なドメイン名: contoso.local

  • 大文字の完全なドメイン名: CONTOSO.LOCAL

  • LOCAL SERVICE や ANONYMOUS LOGON などの既知のセキュリティ プリンシパルの場合、このフィールドの値は「NT AUTHORITY」となります。

  • ローカル ユーザー アカウントの場合、このフィールドには、このアカウントが属するコンピューターまたはデバイスの名前が含まれます。例: 「Win81」。

• ログオン ID [タイプ = HexInt64]: このイベントを、同じログオン ID を含む可能性のある最近のイベントと関連付けるのに役立つ 16 進値。例: 「4624: アカウントのログオンに成功しました。」

オブジェクト:

• オブジェクト サーバー [タイプ = UnicodeString]: このイベントの「Security」値。

• オブジェクト タイプ [タイプ = UnicodeString]: 操作中にアクセスされたオブジェクトのタイプ。

  次の表には、最も一般的なオブジェクト タイプのリストが含まれています:

• オブジェクト名 [タイプ = UnicodeString]: アクセスが要求されたオブジェクトの名前およびその他の識別情報。例えば、ファイルの場合、パスが含まれます。

• ハンドルID [タイプ = ポインタ]: オブジェクト名へのハンドルの16進数値。このフィールドは、同じハンドルIDを含む可能性のある他のイベントとこのイベントを関連付けるのに役立ちます。例えば、「4663(S): オブジェクトへのアクセスが試みられました。」このパラメータはイベントでキャプチャされない場合があり、その場合は「0x0」と表示されます。

• リソース属性 [タイプ = UnicodeString] [バージョン 1]: オブジェクトに関連付けられた属性。一部のオブジェクトでは、このフィールドは適用されず、「-」が表示されます。

  例えば、ファイルの場合、次のように表示されることがあります: S:AI(RA;ID;;;;WD;(“Impact_MS”,TI,0x10020,3000))

  • Impact_MS: リソースプロパティ ID。

  • 3000: リソースプロパティ 値。

プロセス情報:

• プロセスID [タイプ = ポインタ]: アクセスが要求されたプロセスの16進数プロセスID。プロセスID (PID) は、オペレーティングシステムがアクティブなプロセスを一意に識別するために使用する番号です。特定のプロセスのPIDを確認するには、例えば、タスクマネージャー（詳細タブ、PID列）を使用できます:

  16進数の値を10進数に変換すると、タスクマネージャーの値と比較することができます。

  また、このプロセスIDを他のイベントのプロセスIDと関連付けることもできます。例えば、「4688: 新しいプロセスが作成されました」プロセス情報\新しいプロセスIDなどです。

• プロセス名 [タイプ = UnicodeString]: プロセスの実行ファイルのフルパスと名前。

アクセス要求情報:

• トランザクションID [タイプ = GUID]: トランザクションの一意のGUID。このフィールドは、同じトランザクションIDを含む可能性のある他のイベントとこのイベントを関連付けるのに役立ちます。例えば、「4660(S): オブジェクトが削除されました」などです。

  このパラメータはイベントでキャプチャされない場合があり、その場合は「{00000000-0000-0000-0000-000000000000}」として表示されます。

注  GUIDは「Globally Unique Identifier（グローバル一意識別子）」の略です。リソース、アクティビティ、またはインスタンスを識別するために使用される128ビットの整数です。

• アクセス [タイプ = UnicodeString]: サブジェクト\セキュリティIDによって要求されたアクセス権のリスト。これらのアクセス権はオブジェクトタイプに依存します。以下の表には、ファイルシステムオブジェクトの最も一般的なアクセス権に関する情報が含まれています。レジストリオブジェクトのアクセス権はファイルシステムオブジェクトと似ていることが多いですが、表にはそれらがどのように異なるかについてのいくつかの注釈が含まれています。

表14. ファイルシステムオブジェクトのアクセス権。

• アクセス理由 [タイプ = UnicodeString] [バージョン 1]: アクセスチェック結果のリスト。オブジェクトによって形式が異なります。カーネルオブジェクトの場合、このフィールドは適用されません。

• アクセスマスク [タイプ = HexInt32]: 要求または実行された操作のための16進マスク。詳細については、前の表を参照してください。

• アクセスチェックに使用された特権 [タイプ = UnicodeString]: 操作中に使用されたユーザー特権のリスト。例えば、SeBackupPrivilege。このパラメータはイベントにキャプチャされない場合があり、その場合は「-」として表示されます。ユーザー特権の完全なリストは以下の表を参照してください:

• 制限されたSIDの数 [型 = UInt32]: トークン内の制限されたSIDの数。特定のオブジェクトタイプにのみ適用されます。

セキュリティ監視の推奨事項

4656(S, F): オブジェクトへのハンドルが要求されました。

カーネルオブジェクトの場合、このイベントおよび他の監査イベントはセキュリティ関連性がほとんどなく、解析や分析が難しいです。カーネルオブジェクトレベルで監視する必要がある場合を除き、監査の推奨はありません。

他のタイプのオブジェクトについては、以下の推奨事項が適用されます。

重要  このイベントについては、付録A: 多くの監査イベントに対するセキュリティ監視の推奨事項も参照してください。

• このイベントで報告されたプロセスの「プロセス名」が事前に定義されたものである場合、定義された値と異なる「プロセス名」のすべてのイベントを監視します。

• 「プロセス名」が標準フォルダー（例：System32やProgram Files）にない、または制限されたフォルダー（例：Temporary Internet Files）にあるかどうかを監視できます。

• プロセス名に制限された部分文字列や単語（例：「mimikatz」や「cain.exe」）のリストが事前に定義されている場合、「プロセス名」にこれらの部分文字列が含まれているかどうかを確認します。

• オブジェクト名がアクセス試行を監視する必要がある機密または重要なオブジェクトである場合、すべての4656イベントを監視します。

• オブジェクト名が特定のアクセス試行（例：書き込みアクションのみ）を監視する必要がある機密または重要なオブジェクトである場合、対応するアクセス要求情報\アクセス値を持つすべての4656イベントを監視します。

• 特定のリソース属性値を持つファイルやフォルダーを監視する必要がある場合、特定のリソース属性フィールド値を持つすべての4656イベントを監視します。

  ファイルシステムオブジェクトについては、これらのアクセス要求情報\アクセス権（特に失敗イベントの場合）を監視することをお勧めします:

  • データの書き込み (またはファイルの追加)

  • データの追加 (またはサブディレクトリの追加、パイプインスタンスの作成)

  • 拡張属性の書き込み

  • 子の削除

  • 属性の書き込み

  • 削除

  • DACの書き込み

  • 所有者の書き込み