Búsqueda de sitios web

Id. de evento 4670: se cambiaron los permisos de un objeto

El evento con ID de evento 4670 se genera cuando se cambiaron los permisos de un objeto. Un objeto puede ser un sistema de archivos, una clave, una carpeta, un registro, un servicio o un objeto de token de seguridad. Este evento identifica el objeto, los permisos antiguos y nuevos, y quién cambia la lista de control de acceso (ACL) de un objeto.

El Id. de evento 4670 se genera cuando se habilita la auditoría en un objeto. La auditoría debe habilitarse en la política de auditoría de objetos para "Cambiar permisos" o "Tomar posesión".

Por ejemplo, para registrar el evento 4670 para el cambio de objeto del sistema de archivos, la subcategoría Sistema de archivos debe estar habilitada. Para registrar un evento para la clave de registro, se deben configurar "Escribir DAC" y "Escribir propietario" en el objeto de registro SACL.

En este artículo, analizaremos el ID de evento 4670, información sobre su categoría de cambio de política de autorización, el token de tipo de objeto ID de evento 4670 y su seguridad. descriptor.

ID de evento 4670 Información

Entendamos el evento ID 4634 en detalle con sus campos.

Formato XML del identificador de evento 4670

- <Event xmlns="http://schemas.microsoft.com/win/2004/08/events/event">
- <System>
 <Provider Name="Microsoft-Windows-Security-Auditing" Guid="{62736363-7623-8273-B5CA-2E3C0352D30E}" /> 
 <EventID>4670</EventID> 
 <Version>0</Version> 
 <Level>0</Level> 
 <Task>13570</Task> 
 <Opcode>0</Opcode> 
 <Keywords>0x8020000000000000</Keywords> 
 <TimeCreated SystemTime="2022-01-25T18:10:21.495462300Z" /> 
 <EventRecordID>19764011</EventRecordID> 
 <Correlation /> 
 <Execution ProcessID="4" ThreadID="14664" /> 
 <Channel>Security</Channel> 
 <Computer>DC01.ShellGeek.local</Computer> 
 <Security /> 
 </System>
- <EventData>
 <Data Name="SubjectUserSid">S-1-4-21</Data> 
 <Data Name="SubjectUserName">admin</Data> 
 <Data Name="SubjectDomainName">SHELLGEEK</Data> 
 <Data Name="SubjectLogonId">0x1c3bac</Data> 
 <Data Name="ObjectServer">Security</Data> 
 <Data Name="ObjectType">Token</Data> 
 <Data Name="ObjectName"></Data> 
 <Data Name="HandleId">0xc610</Data> 
 <Data Name="OldSd">D:(A;;GA;;;S-1-4-21-2315242433-2456252518-732456124-235535)(A;;GA;;;SY)(A;;GXGR;;;S-1-3-2-0-3452119)</Data> 
 <Data Name="NewSd">D:(A;;GA;;;S-1-4-21-2315242433-2456252518-732456124-235535)(A;;GA;;;SY)</Data> 
 <Data Name="ProcessId">0xb304</Data> 
 <Data Name="ProcessName">C:\Users\admin\AppData\Local\Microsoft\Teams\current\Teams.exe</Data> 
 </EventData>
 </Event>

Consejo interesante: ¡Cómo convertir un archivo XML a CSV en PowerShell!

Descripción de campos:

Información del asunto

  • Id. de seguridad: ID de seguridad de una cuenta que solicitó la operación "cambiar los permisos del objeto".
  • Nombre de cuenta: el nombre de la cuenta que solicitó la operación de cambio de permisos del objeto.
  • Dominio de la cuenta: nombre de dominio
  • ID de inicio de sesión: Es de tipo HexInt64. Contiene el valor hexadecimal que puede utilizar para correlacionar este evento con eventos recientes que pueden contener el mismo ID de inicio de sesión. Por ejemplo, Id. de evento 4634: “Se cerró la sesión de una cuenta. "

Objeto

  • Object Server: Tiene valor de Seguridad para el código de evento 4670.
  • Tipo de objeto:Tiene un valor de tipo Cadena Unicode. Representa el tipo de evento al que se accedió durante la operación.

Nombre del objeto:Es de tipo Cadena Unicode. Contiene el nombre de un objeto para el cual se cambiaron los permisos. Para el objeto del sistema de archivos, muestra el nombre del objeto como una ruta de archivo y para los objetos Token, muestra "-".

ID del identificador: contiene un valor hexadecimal para el identificador del nombre del objeto. Handle Id le ayuda a correlacionar este evento con otros eventos que puedan tener el mismo identificador de identificador.

Proceso

  • ID de proceso: Contiene el valor hexadecimal para el ID del proceso a través del cual se cambió el permiso. El ID de proceso en el sistema operativo identifica de forma única un proceso activo. Puede utilizar esta identificación de proceso para correlacionar este evento con otros eventos que puedan tener la misma identificación de proceso.
  • Nombre del proceso: Contiene la ruta completa del ejecutable del proceso.

Cambio de permisos

  • Descriptor de seguridad original: contiene el valor antiguo del lenguaje de definición del descriptor de seguridad (SDDL) para el objeto.
  • Nuevo descriptor de seguridad: contiene el nuevo valor del lenguaje de definición del descriptor de seguridad (SDDL) para el objeto.

Consejo interesante: Id. de evento 4776 Código 0xc0000234 - ¡Corrección para encontrar la fuente del intento!

Tipo de objeto ID de evento 4670

El tipo de objeto para este evento representa el tipo de evento al que se accedió durante la operación.

En el ejemplo anterior, el tipo de objeto es Token.

Consulte la lista de los valores posibles más utilizados para el tipo de objeto según el artículo de Microsoft KB.

DirectoryEventTimerDevice
MutantTypeFileToken
ThreadSectionWindowStationDebugObject
FilterCommunicationPortEventPairDriverIoCompletion
ControllerSymbolicLinkWmiGuidProcess
ProfileDesktopKeyedEventAdapter
KeyWaitablePortCallbackSemaphore
JobPortFilterConnectionPortALPC Port

Consejo interesante: ID de evento 4625 Código de estado 0xc000006a - ¡Corrección para encontrar la fuente del intento!

Id. de evento 4670 Descriptor de seguridad

Este cambio de permiso de registro de eventos para un objeto, como el permiso antiguo y los permisos nuevos y su descriptor de seguridad.

Asigna un lenguaje de definición de descriptores de seguridad (SDDL) para campos de descriptores de seguridad nuevos y antiguos.

Consulte la lista de valores posibles más utilizados para el descriptor de seguridad del identificador de evento 4670.

ValueDescriptionValueDescription
“AO”Account operators“PA”Group Policy administrators
“RU”Alias to allow previous Windows 2000“IU”Interactively logged-on user
“AN”Anonymous logon“LA”Local administrator
“AU”Authenticated users“LG”Local guest
“BA”Built-in administrators“LS”Local service account
“BG”Built-in guests“SY”Local system
“BO”Backup operators“NU”Network logon user
“BU”Built-in users“NO”Network configuration operators
“CA”Certificate server administrators“NS”Network service account
“CG”Creator group“PO”Printer operators
“CO”Creator owner“PS”Personal self
“DA”Domain administrators“PU”Power users
“DC”Domain computers“RS”RAS servers group
“DD”Domain controllers“RD”Terminal server users
“DG”Domain guests“RE”Replicator
“DU”Domain users“RC”Restricted code
“EA”Enterprise administrators“SA”Schema administrators
“ED”Enterprise domain controllers“SO”Server operators
“WD”Everyone“SU”Service logon user

Consejo interesante: ¡Cómo manipular los indicadores UserAccountControl de Active Directory en PowerShell!

Conclusión

Espero que el artículo anterior sobre seguridad de Windows, Id. de evento 4670, le resulte útil.

Le ayuda a monitorear los eventos relacionados con el permiso de un objeto que fue modificado.

Puede monitorear objetos de archivo, objetos de clave de registro o todos los demás objetos específicos que se cambiaron en la computadora usando EventId 4670.

Consejo interesante: Id. de evento 4771: ¡falló la autenticación previa de Kerberos!

Los tipos de objetos y la tabla de descriptores de seguridad provienen del artículo de Microsoft KB. Consulte el artículo oficial de Microsoft KB para obtener más detalles sobre este tipo de objeto con ID de evento 4670 y descriptor de seguridad con ID de evento 4670.

Puede encontrar más temas sobre los comandos de PowerShell Active Directory y los conceptos básicos de PowerShell en la página de inicio de ShellGeek.

Puede leer más sobre otros registros de eventos del sistema y de seguridad de Windows como se indica:

  • Id. de evento 4670: reinicio o apagado del sistema
  • Id. de evento 4624: se inició sesión correctamente en una cuenta.

Artículos relacionados