Имя журнала: Security
Источник: Microsoft-Windows-Security-Auditing
Дата: 08.11.2018 17:22:59
Код события: 4656
Категория задачи:Файловая система
Уровень: Сведения
Ключевые слова:Аудит отказа
Пользователь: Н/Д
Компьютер: sudo.ks.local
Описание:
Запрошен дескриптор объекта.
Субъект:
Код безопасности: KS\sudo
Имя учетной записи: sudo
Домен учетной записи: KS
Код входа: 0x35c8b
Объект:
Сервер объекта: Security
Тип объекта: File
Имя объекта: D:\Мои документы\ТЗ\тест_проверка_запии_файла.docx
Код дескриптора: 0x0
Сведения о процессе:
Код процесса: 0x20d0
Имя процесса: C:\Program Files (x86)\Microsoft Office\Office12\WINWORD.EXE
Сведения о запросе на доступ:
Код транзакции: {00000000-0000-0000-0000-000000000000}
Доступ: DELETE
READ_CONTROL
SYNCHRONIZE
ACCESS_SYS_SEC
Чтение данных (или перечисление каталогов)
ReadEA
ReadAttributes
Причины доступа: DELETE: Предоставлено элементом управления доступом в родительской папке D
A;OICIID;FA;;;S-1-5-21-2775029825-3046930828-2218010792-1384)
READ_CONTROL: Предоставлено владельцем
SYNCHRONIZE: Неизвестно или не проверялось
ACCESS_SYS_SEC: Не предоставлено, так как не найдено SeSecurityPrivilege
Чтение данных (или перечисление каталогов): Неизвестно или не проверялось
ReadEA: Неизвестно или не проверялось
ReadAttributes: Предоставлено элементом управления доступом в родительской папке D
A;OICIID;FA;;;S-1-5-21-2775029825-3046930828-2218010792-1384)
Маска доступа: 0x1130089
Привилегии, используемые для проверки доступа: -
Число ограниченных ИД безопасности: 0
Xml события:
<Event xmlns="http://schemas.microsoft.com/win/2004/08/events/event">
<System>
<Provider Name="Microsoft-Windows-Security-Auditing" Guid="{54849625-5478-4994-A5BA-3E3B0328C30D}" />
<EventID>4656</EventID>
<Version>1</Version>
<Level>0</Level>
<Task>12800</Task>
<Opcode>0</Opcode>
<Keywords>0x8010000000000000</Keywords>
<TimeCreated SystemTime="2018-11-08T11:22:59.860347500Z" />
<EventRecordID>38477851</EventRecordID>
<Correlation />
<Execution ProcessID="992" ThreadID="1008" />
<Channel>Security</Channel>
<Computer>sudo.ks.local</Computer>
<Security />
</System>
<EventData>
<Data Name="SubjectUserSid">S-1-5-21-2775029825-3046930828-2218010792-1384</Data>
<Data Name="SubjectUserName">sudo</Data>
<Data Name="SubjectDomainName">KS</Data>
<Data Name="SubjectLogonId">0x35c8b</Data>
<Data Name="ObjectServer">Security</Data>
<Data Name="ObjectType">File</Data>
<Data Name="ObjectName">D:\Мои документы\ТЗ\тест_проверка_запии_файла.docx</Data>
<Data Name="HandleId">0x0</Data>
<Data Name="TransactionId">{00000000-0000-0000-0000-000000000000}</Data>
<Data Name="AccessList">%%1537
%%1538
%%1541
%%1542
%%4416
%%4419
%%4423
</Data>
<Data Name="AccessReason">%%1537: %%1811 D
A;OICIID;FA;;;S-1-5-21-2775029825-3046930828-2218010792-1384)
%%1538: %%1804
%%1541: %%1809
%%1542: %%1810 SeSecurityPrivilege
%%4416: %%1809
%%4419: %%1809
%%4423: %%1811 D
A;OICIID;FA;;;S-1-5-21-2775029825-3046930828-2218010792-1384)
</Data>
<Data Name="AccessMask">0x1130089</Data>
<Data Name="PrivilegeList">-</Data>
<Data Name="RestrictedSidCount">0</Data>
<Data Name="ProcessId">0x20d0</Data>
<Data Name="ProcessName">C:\Program Files (x86)\Microsoft Office\Office12\WINWORD.EXE</Data>
</EventData>
</Event>
