4673(S, F) 特権サービスが呼び出されました。

4673(S, F): 特権サービスが呼び出されました。

サブカテゴリ: 機密特権使用の監査 および 非機密特権使用の監査

イベントの説明:

このイベントは、特権システムサービス操作を実行しようとした試みがあったときに生成されます。

例えば、SeSystemtimePrivilege、SeCreateGlobalPrivilege、または SeTcbPrivilege 特権が使用されたときにこのイベントが生成されます。

サービス呼び出しの試みが失敗した場合、失敗イベントが生成されます。

注  推奨事項については、このイベントの セキュリティ監視の推奨事項 を参照してください。

イベント XML:

- <Event xmlns="http://schemas.microsoft.com/win/2004/08/events/event">
- <System>
 <Provider Name="Microsoft-Windows-Security-Auditing" Guid="{54849625-5478-4994-A5BA-3E3B0328C30D}" /> 
 <EventID>4673</EventID> 
 <Version>0</Version> 
 <Level>0</Level> 
 <Task>13056</Task> 
 <Opcode>0</Opcode> 
 <Keywords>0x8020000000000000</Keywords> 
 <TimeCreated SystemTime="2015-10-09T00:37:36.434836600Z" /> 
 <EventRecordID>1099777</EventRecordID> 
 <Correlation /> 
 <Execution ProcessID="496" ThreadID="504" /> 
 <Channel>Security</Channel> 
 <Computer>DC01.contoso.local</Computer> 
 <Security /> 
 </System>
- <EventData>
 <Data Name="SubjectUserSid">S-1-5-18</Data> 
 <Data Name="SubjectUserName">DC01$</Data> 
 <Data Name="SubjectDomainName">CONTOSO</Data> 
 <Data Name="SubjectLogonId">0x3e7</Data> 
 <Data Name="ObjectServer">NT Local Security Authority / Authentication Service</Data> 
 <Data Name="Service">LsaRegisterLogonProcess()</Data> 
 <Data Name="PrivilegeList">SeTcbPrivilege</Data> 
 <Data Name="ProcessId">0x1f0</Data> 
 <Data Name="ProcessName">C:\\Windows\\System32\\lsass.exe</Data> 
 </EventData>
 </Event>

必要なサーバー ロール: なし。

最小 OS バージョン: Windows Server 2008、Windows Vista。

イベント バージョン: 0。

フィールドの説明:

サブジェクト:

• セキュリティ ID [タイプ = SID]: 特権操作を要求したアカウントの SID。イベント ビューアーは自動的に SID を解決してアカウント名を表示しようとします。SID を解決できない場合、イベントにソース データが表示されます。

注  セキュリティ識別子 (SID) は、信託者 (セキュリティ プリンシパル) を識別するために使用される可変長の一意の値です。各アカウントには、Active Directory ドメイン コントローラーなどの権限によって発行され、セキュリティ データベースに保存される一意の SID があります。ユーザーがログオンするたびに、システムはデータベースからそのユーザーの SID を取得し、そのユーザーのアクセス トークンに配置します。システムは、アクセス トークン内の SID を使用して、以降のすべての Windows セキュリティとのやり取りでユーザーを識別します。SID がユーザーまたはグループの一意の識別子として使用された場合、それが再び別のユーザーまたはグループを識別するために使用されることはありません。SID の詳細については、セキュリティ識別子 を参照してください。

• アカウント名 [タイプ = UnicodeString]: 特権操作を要求したアカウントの名前。

• アカウントドメイン [タイプ = UnicodeString]: サブジェクトのドメインまたはコンピュータ名。形式は以下のように異なります：

  • ドメインのNETBIOS名の例: CONTOSO

  • 小文字の完全なドメイン名: contoso.local

  • 大文字の完全なドメイン名: CONTOSO.LOCAL

  • 一部のよく知られたセキュリティプリンシパルの場合、例えばLOCAL SERVICEやANONYMOUS LOGON、このフィールドの値は「NT AUTHORITY」となります。

  • ローカルユーザーアカウントの場合、このフィールドにはこのアカウントが属するコンピュータまたはデバイスの名前が含まれます。例えば、「Win81」。

• ログオンID [タイプ = HexInt64]: 16進数の値で、同じログオンIDを含む最近のイベントとこのイベントを関連付けるのに役立ちます。例えば、「4624: アカウントが正常にログオンされました。」

サービス:

• サーバー [タイプ = UnicodeString]: ルーチンを呼び出しているWindowsサブシステムの名前を含みます。サブシステムの例は以下の通りです：

  • セキュリティ

  • セキュリティアカウントマネージャー

  • NTローカルセキュリティ機関 / 認証サービス

  • SCマネージャー

  • Win32システムシャットダウンモジュール

  • LSA

• サービス名 [タイプ = UnicodeString] [オプション]: 特権サブシステムサービスまたは機能の名前を提供します。例えば、「RESET RUNTIME LOCAL SECURITY」はローカルセキュリティポリシーデータベースを更新するために使用されるローカルセキュリティ機関サービスによって指定されるかもしれませんし、LsaRegisterLogonProcess()は新しいログオンプロセスを登録するために使用されるNTローカルセキュリティ機関 / 認証サービスによって指定されるかもしれません。

プロセス:

• プロセスID [タイプ = ポインタ]: 特権サービスを呼び出そうとしたプロセスの16進数のプロセスID。プロセスID（PID）は、オペレーティングシステムがアクティブなプロセスを一意に識別するために使用する番号です。特定のプロセスのPIDを確認するには、例えばタスクマネージャー（詳細タブ、PID列）を使用できます。

16進数の値を10進数に変換すると、タスクマネージャーの値と比較できます。

このプロセスIDを他のイベントのプロセスIDと関連付けることもできます。例えば、「4688: 新しいプロセスが作成されました」プロセス情報\新しいプロセスID。

• プロセス名 [タイプ = UnicodeString]: プロセスの実行可能ファイルのフルパスと名前。

サービス要求情報:

• 特権 [タイプ = UnicodeString]: 要求されたユーザー特権のリスト。可能な特権は、以下の2つのサブカテゴリに依存します。監査非機密特権使用または監査機密特権使用。以下の2つの表に示されています。

セキュリティ監視の推奨事項

4673(S, F): 特権サービスが呼び出されました。

重要  このイベントについては、付録A: 多くの監査イベントに対するセキュリティ監視の推奨事項も参照してください。

• 「Subject\Security ID」が以下のよく知られたセキュリティプリンシパルのいずれでもない場合、このイベントを監視します: LOCAL SYSTEM、NETWORK SERVICE、LOCAL SERVICE。また、「Subject\Security ID」がリストされたPrivilegesを持つことが期待される管理アカウントでない場合も監視します。詳細については、サブカテゴリ監査センシティブ特権の使用および監査非センシティブ特権の使用を参照してください。

• 特定のWindowsサブシステム（「Service\Server」）に関連するイベントを監視する必要がある場合、例えばNT Local Security Authority / Authentication ServiceやSecurity Account Manager、対応する「Service\Server」のこのイベントを監視します。

• 特定のWindowsセキュリティサービスや機能（「Service\Service Name」）に関連するイベントを監視する必要がある場合、例えばLsaRegisterLogonProcess()、対応する「Service\Service Name」のこのイベントを監視します。

• このイベントで報告されたプロセスの「Process Name」が事前に定義されたものである場合、定義された値と異なる「Process Name」のすべてのイベントを監視します。

• 「Process Name」が標準フォルダー（例えば、System32やProgram Files）にないか、制限されたフォルダー（例えば、Temporary Internet Files）にあるかを監視することができます。

• プロセス名に制限されたサブストリングや単語（例えば、「mimikatz」や「cain.exe」）の事前定義リストがある場合、「Process Name」にこれらのサブストリングが含まれているかを確認します。

• 特定の「Subject\Security ID」に対して、許可された特権の定義リストがある場合、その「Privileges」を使用できないはずのものを監視します。

• 特定のユーザー権限のリストがあり、それが決して使用されるべきでない、または少数のアカウントのみで使用されるべき場合（例：SeDebugPrivilege）、それらの「Privileges」に対してアラートをトリガーします。

• 特定のユーザー権限のリストがあり、そのすべての使用が報告または監視されるべき場合（例：SeRemoteShutdownPrivilege）、それらの「Privileges」に対してアラートをトリガーします。