4770(S) Kerberos サービス チケットが更新されました。

4770(S): Kerberos サービス チケットが更新されました。

サブカテゴリ: Kerberos サービス チケット操作の監査

イベントの説明:

このイベントは、チケット グランティング サービス (TGS) チケットの更新ごとに生成されます。

このイベントは、ドメイン コントローラーでのみ生成されます。

注  推奨事項については、このイベントのセキュリティ監視の推奨事項を参照してください。

イベント XML:

- <Event xmlns="http://schemas.microsoft.com/win/2004/08/events/event">
- <System>
 <Provider Name="Microsoft-Windows-Security-Auditing" Guid="{54849625-5478-4994-A5BA-3E3B0328C30D}" /> 
 <EventID>4770</EventID> 
 <Version>0</Version> 
 <Level>0</Level> 
 <Task>14337</Task> 
 <Opcode>0</Opcode> 
 <Keywords>0x8020000000000000</Keywords> 
 <TimeCreated SystemTime="2015-08-07T03:26:23.466552900Z" /> 
 <EventRecordID>166481</EventRecordID> 
 <Correlation /> 
 <Execution ProcessID="520" ThreadID="1084" /> 
 <Channel>Security</Channel> 
 <Computer>DC01.contoso.local</Computer> 
 <Security /> 
 </System>
- <EventData>
 <Data Name="TargetUserName">WIN2008R2$@CONTOSO.LOCAL</Data> 
 <Data Name="TargetDomainName">CONTOSO.LOCAL</Data> 
 <Data Name="ServiceName">krbtgt</Data> 
 <Data Name="ServiceSid">S-1-5-21-3457937927-2839227994-823803824-502</Data> 
 <Data Name="TicketOptions">0x2</Data> 
 <Data Name="TicketEncryptionType">0x12</Data> 
 <Data Name="IpAddress">::ffff:10.0.0.12</Data> 
 <Data Name="IpPort">49964</Data> 
 </EventData>
 </Event>

必要なサーバー ロール: Active Directory ドメイン コントローラー。

最小 OS バージョン: Windows Server 2008。

イベント バージョン: 0。

フィールドの説明:

アカウント情報:

• アカウント名 [タイプ = UnicodeString]: チケットの更新を要求したアカウントのユーザー プリンシパル名 (UPN)。コンピューター アカウント名は UPN で $ 文字で終わります。このフィールドは通常、次の形式の値を持ちます: user_account_name@FULL_DOMAIN_NAME。

  • ユーザー アカウントの例: dadmin@CONTOSO.LOCAL

  • コンピューター アカウントの例: WIN81$@CONTOSO.LOCAL

    このイベントのこのパラメーターはオプションであり、場合によっては空であることがあります。

• アカウント ドメイン [タイプ = UnicodeString]: アカウント名 が属する Kerberos 領域の名前。これは、次のようなさまざまな形式で表示されることがあります:

  • ドメイン NETBIOS 名の例: CONTOSO

  • 小文字の完全なドメイン名: contoso.local

  • 大文字の完全なドメイン名: CONTOSO.LOCAL

    このイベントのこのパラメーターはオプションであり、場合によっては空であることがあります。

サービス情報:

• サービス名 [タイプ = UnicodeString]: TGSチケットが更新されたアカウントまたはコンピュータの名前。

  • このイベントのこのパラメータはオプションであり、場合によっては空であることがあります。

• サービスID [タイプ = SID]: TGSチケットが更新されたアカウントまたはコンピュータオブジェクトのSID。イベントビューアは自動的にSIDを解決し、アカウント名を表示しようとします。SIDが解決できない場合、イベントにはソースデータが表示されます。

注  セキュリティ識別子 (SID) は、信託者（セキュリティプリンシパル）を識別するために使用される可変長の一意の値です。各アカウントには、Active Directoryドメインコントローラなどの権限によって発行され、セキュリティデータベースに保存される一意のSIDがあります。ユーザーがログオンするたびに、システムはデータベースからそのユーザーのSIDを取得し、そのユーザーのアクセス トークンに配置します。システムは、以降のすべてのWindowsセキュリティとのやり取りでユーザーを識別するために、アクセス トークン内のSIDを使用します。ユーザーまたはグループの一意の識別子としてSIDが使用された場合、それは他のユーザーまたはグループを識別するために再利用されることはありません。SIDの詳細については、セキュリティ識別子を参照してください。

ネットワーク情報:

• クライアントアドレス [タイプ = UnicodeString]: TGS更新要求が受信されたコンピュータのIPアドレス。形式はさまざまで、以下を含みます:

  • IPv6 または IPv4 アドレス。

  • ::ffff:IPv4_address。

  • ::1 - ローカルホスト。

• クライアントポート [タイプ = UnicodeString]: クライアントネットワーク接続（TGS更新要求接続）のソースポート番号。

  • ローカル（ローカルホスト）要求の場合は0。

追加情報:

• チケットオプション: [タイプ = HexInt32]: これは16進数形式のさまざまなチケットフラグのセットです。

  例:

  • チケットオプション: 0x40810010

  • バイナリビュー: 01000000100000010000000000010000

  • MSB 0 ビット番号付けを使用すると、ビット1、8、15、および27が設定されます = Forwardable、Renewable、Canonicalize、Renewable-ok。

Note  以下の表では、RFC文書がこのスタイルを使用しているため、**「MSB 0」**ビット番号付けが使用されています。「MSB 0」スタイルでは、ビット番号付けは左から始まります。

最も一般的な値:

• 0x40810010 - 転送可能、更新可能、正規化、更新可能-ok

• 0x40810000 - 転送可能、更新可能、正規化

• 0x60810010 - 転送可能、転送済み、更新可能、正規化、更新可能-ok

• チケット暗号化タイプ: [Type = HexInt32]: 更新されたTGSで使用された暗号スイート。

セキュリティ監視の推奨事項

4770(S): Kerberosサービスチケットが更新されました。

• このイベントは通常、情報提供のみを目的としています。