U-SERVER

Идентификатор события 4688

Event ID 4688
БезопасностьWindowsМониторингСредний

Идентификатор события 4688 — запись журнала безопасности Windows о создании нового процесса, формируемая при аудите успешных событий Audit Process Creation.

Идентификатор события 4688 — событие журнала безопасности Windows, фиксирующее создание нового процесса. Оно формируется при включённом аудите успешных событий в подкатегории расширенной политики аудита Audit Process Creation и содержит сведения о новом процессе, процессе-создателе, учётной записи и контексте безопасности. Поле командной строки записывается только при отдельном включении политики Include command line in process creation events; без неё событие не даёт полный набор аргументов запуска. Полезность расследования также зависит от размера журнала, сроков хранения, синхронизации времени и централизованного сбора событий. Событие 4688 используют для мониторинга запуска программ, расследования инцидентов и выявления подозрительных цепочек процессов. Оно отличается от Sysmon Event ID 1: оба могут сообщать о создании процесса, но относятся к разным журналам и имеют различный состав полей и требования к настройке.

Синонимы и варианты написания:

Windows Event 4688событие 4688
Просмотров: 147

Где встречается

Статьи, в которых используется термин «Идентификатор события 4688»

Связанные термины

AMSI(Antimalware Scan Interface)

AMSI — интерфейс Windows, через который интегрированные приложения передают содержимое скриптов, макросов и другие данные зарегистрированному средству защиты для проверки.

БезопасностьWindowsМониторинг

AppLocker

AppLocker — встроенный механизм контроля запуска в Windows, разрешающий или запрещающий файлы по данным издателя, пути или хешу, а упакованные приложения — по атрибутам пакета.

БезопасностьWindowsУправление

ASLR(Address Space Layout Randomization)

ASLR — механизм случайного размещения областей адресного пространства процесса, затрудняющий эксплуатацию уязвимостей с заранее известными адресами кода и данных.

БезопасностьLinuxWindows

Attack Surface Reduction(Attack surface reduction rules)

Правила Attack Surface Reduction (ASR) — набор правил Microsoft Defender Antivirus для Windows, блокирующих или аудирующих рискованные действия приложений, документов и сценариев.

БезопасностьWindowsМониторинг

BitLocker(BitLocker Drive Encryption)

BitLocker — технология шифрования томов Windows, защищающая данные от автономного доступа при выключенном устройстве или извлечении накопителя.

БезопасностьWindowsДиск
Вернуться к глоссариюВсе термины на букву «И»