Windows-Sicherheitsereignis-IDs, die wirklich zählen

Windows protokolliert Hunderte Ereignis-IDs. Einige Dutzend beantworten fast jede Frage einer Untersuchung. Diese Referenz listet sie auf, erklärt ihre Bedeutung, die relevanten Felder und die Fallstricke, über die Analysten stolpern. Sie ergänzt die Baseline für Überwachungsrichtlinie und Sysmon, die beschreibt, welche Überwachungsunterkategorien Sie einschalten sollten. Hier geht es darum, das Ergebnis zu lesen und zu nutzen.

Sofern nicht anders angegeben, stehen die Ereignisse im Security-Log. Ereignisse von Domänencontrollern sind mit DC markiert.

Anmeldetypen

Ereignis 4624 (und 4625) enthält einen Logon Type, der angibt, wie sich jemand angemeldet hat. Lernen Sie diese Typen vor allem anderen:

Anmeldungen vom Typ 3 durch Admin-Konten an Arbeitsplätzen, vom Typ 10 an Servern von Nicht-Admin-Hosts und vom Typ 9 irgendwo außerhalb von Admin-Arbeitsplätzen verdienen alle einen zweiten Blick.

Authentifizierung und Sitzungen

Korrelieren Sie 4624 und 4672 über die Logon ID: So sehen Sie, welche Anmeldungen privilegiert waren. Authentication Package NTLM mit Package Name NTLM V1 sollte es in einem modernen Netzwerk nicht geben. Überwachen Sie es und bauen Sie es im Rahmen Ihrer NTLM-Einschränkung ab.

Bei 4625 verrät der Sub Status den Grund:

Viele 0xC0000064-Fehler von einer Quelle bedeuten, dass jemand Kontonamen rät. Viele 0xC000006A-Fehler über verschiedene Konten von einer Quelle bedeuten Password Spraying. Wiederholte 0xC000015B für Admin-Konten an Arbeitsplätzen sind oft Ihre Tiering-Einschränkungen, die wie vorgesehen greifen.

Domänencontroller: Kerberos und NTLM

Verschlüsselungstypen in 4768/4769: 0x11 ist AES128, 0x12 ist AES256, 0x17 ist RC4. Während Domänen sich von RC4 verabschieden, verweisen verbleibende 0x17-Tickets auf Konten oder Dienste, die korrigiert werden müssen. Unter Windows Server 2019 und neuer sowie unter Server 2016 seit dem kumulativen Update vom Januar 2025 enthalten 4768 und 4769 außerdem MSDS-SupportedEncryptionTypes, Available Keys, Advertized Etypes (was der Client angeboten hat) und Session Encryption Type. Diese Felder zeigen, ob ein Konto oder Client AES beherrscht, bevor Sie RC4 abschalten.

Verzeichnis- und Kontoänderungen

Alarmieren Sie bei 4728, 4732 und 4756, wenn die Gruppe privilegiert ist: Domain Admins, Enterprise Admins, Administrators, Account Operators, Backup Operators, DnsAdmins, Group Policy Creator Owners und Ihre eigenen Tier-0-Gruppen.

DCSync erscheint als 4662 auf einem DC, wenn die Eigenschaften die GUIDs der Replikationsrechte 1131f6aa-9c07-11d1-f79f-00c04fc2dcd2 (Get-Changes) und 1131f6ad-9c07-11d1-f79f-00c04fc2dcd2 (Get-Changes-All) enthalten und das anfordernde Konto kein Domänencontroller ist.

Ausführung und Persistenz

Das Aufgaben-XML in 4698 enthält den Befehl, den die Aufgabe ausführt: Lesen Sie es, statt nur Ereignisse zu zählen. Für Details auf Prozessebene über 4688 hinaus siehe Sysmon verteilen und optimieren.

Manipulation und Richtlinienänderungen

Jedes dieser Ereignisse sollte selten sein. 1102, 104 und 4719 außerhalb eines Änderungsfensters sind für sich genommen starke Indikatoren. Defender-Ereignisse werden in Microsoft Defender Antivirus härten ausführlicher behandelt.

Remotezugriff und PowerShell

RDP hinterlässt Spuren an drei Stellen (Security 4624 Typ 10, 1149 und 21). Fehlt eine, haben Sie noch die anderen. Härten Sie den Dienst selbst mit dem Leitfaden zur RDP-Härtung. Hunting-Muster für PowerShell finden Sie unter Bösartiges PowerShell erkennen.

Ereignisse abfragen

Get-WinEvent mit einer Filter-Hashtable ist schnell, weil die Filterung im Ereignisprotokolldienst stattfindet:

# Fehlgeschlagene Anmeldungen der letzten 24 Stunden, gruppiert nach Konto, Quelle und Grund
Get-WinEvent -FilterHashtable @{ LogName = 'Security'; Id = 4625; StartTime = (Get-Date).AddDays(-1) } |
  ForEach-Object {
    $d = @{}; ([xml]$_.ToXml()).Event.EventData.Data | ForEach-Object { $d[$_.Name] = $_.'#text' }
    [pscustomobject]@{ Account = $d.TargetUserName; Source = $d.IpAddress; SubStatus = $d.SubStatus }
  } | Group-Object Account, Source, SubStatus | Sort-Object Count -Descending | Select-Object -First 20 Count, Name

Um nach Feldern der Ereignisdaten zu filtern, verwenden Sie XPath:

# RDP-Anmeldungen
Get-WinEvent -LogName Security -MaxEvents 50 `
  -FilterXPath "*[System[EventID=4624] and EventData[Data[@Name='LogonType']='10']]"

# RC4-Diensttickets auf einem DC
Get-WinEvent -LogName Security -MaxEvents 100 `
  -FilterXPath "*[System[EventID=4769] and EventData[Data[@Name='TicketEncryptionType']='0x17']]"

Lokale Abfragen dienen der Untersuchung und dem Testen. Für die Erkennung senden Sie diese Ereignisse per Windows Event Forwarding oder Agent an einen zentralen Speicher.

Was kaputtgeht

• Fehlende Ereignisse bedeuten meist, dass die Unterkategorie deaktiviert ist, das Log übergelaufen ist oder eine SACL fehlt. auditpol /get /category:* zeigt die effektive Richtlinie.
• Volumen: 4624, 4634, 4688, 4769 und 5140 sind auf Servern und DCs sehr häufig. Erfassen Sie sie, aber alarmieren Sie auf Aggregate und Anomalien statt auf Einzelereignisse.
• Falsch gelesene Felder: 4624 auf einem Server zeigt die Sicht des Servers; die Quelladresse kann ein NAT, ein Proxy oder bei lokalen Anmeldungen leer sein. 4740 erscheint auf Domänencontrollern, nicht auf dem Client.
• Lokalisierte Meldungen: Werten Sie Felder aus dem Ereignis-XML aus, nicht aus dem gerenderten Meldungstext, der sich mit der Sprache des Betriebssystems ändert.

Überprüfung

Erzeugen Sie auf einem Testrechner und einem Test-DC einige Ereignisse und bestätigen Sie, dass sie protokolliert und weitergeleitet werden: eine fehlgeschlagene Anmeldung mit falschem Kennwort (4625, 0xC000006A), ein Testbenutzer, der einer Testgruppe hinzugefügt wird (4732 oder 4728), eine mit Register-ScheduledTask erstellte geplante Aufgabe (4698) und ein mit New-Service erstellter Dienst (7045, 4697). Entfernen Sie die Testobjekte anschließend. Erscheint ein Ereignis nicht, korrigieren Sie die Überwachungsrichtlinie, bevor Sie Erkennungen darauf aufbauen. Mehr zum Logging-Stack auf der Themenseite Überwachung und Protokollierung.

Checkliste

• Anmeldetypen und Unterstatuscodes von 4625 jedem Analysten bekannt
• Überwachungsunterkategorien und SACLs vorhanden, damit jedes aufgeführte Ereignis tatsächlich ausgelöst werden kann
• Alarme für 1102, 104, 4719, 7045/4697, Änderungen privilegierter Gruppen und Defender 5001/5013
• Kerberos-Überwachung auf DCs: RC4-Tickets, deaktivierte Vorauthentifizierung, Spitzen bei 4771
• DCSync-Erkennung über 4662 mit Replikations-GUIDs von Konten ohne DC-Rolle
• Task-Scheduler-Operational-Log aktiviert; RDP-Logs erfasst
• Abfragen werten XML-Felder der Ereignisse aus, nicht gerenderte Meldungen
• Testereignisse nach jeder Richtlinienänderung erzeugt und durchgängig bestätigt