Event ID quan trọng nhất trong Log Windows

Để nắm bắt toàn diện các nhật ký hệ thống quan trọng, đặc biệt là những sự kiện liên quan đến Process Creation (4688), Scheduled Tasks (4698), Object Access (4663) và nhiều hơn nữa, bạn phải kích hoạt ngay Chính sách Kiểm tra (Audit Policy) nâng cao trên các máy Windows qua Local Security Policy hoặc Group Policy. Đây là bước then chốt giúp SOC của bạn phát hiện kịp thời mọi mối đe dọa, biến dữ liệu thô thành lá chắn bảo vệ vững chắc!

🚨 Các Event Log Windows Thiết Yếu Cho SOC

(Chủ yếu từ Security Log, kèm theo System và Application Log)

1. Hoạt động Đăng nhập/Đăng xuất (Logon/Logoff)

• Log Source: Security
• Event ID(s):
  • 4624: Đăng nhập thành công – Chi tiết vàng để theo dõi!
  • 4625: Đăng nhập thất bại – Dấu hiệu tấn công brute-force rõ rệt!
  • 4634/4647: Đăng xuất – Kết thúc phiên một cách an toàn.
  • 4672: Đăng nhập đặc biệt – Cảnh báo quyền admin cao cấp!
• Mô tả: Những sự kiện này ghi chép chi tiết mọi phiên đăng nhập/xuất, bao gồm loại (Interactive, RemoteInteractive, Network, Batch, Service), tài khoản, địa chỉ IP nguồn và hơn thế nữa. Đừng bỏ lỡ – chúng là mắt xích đầu tiên trong chuỗi tấn công!
• Ý nghĩa cho SOC:
  • Phát hiện xâm nhập ngay lập tức: Hàng loạt 4625 từ một IP hoặc nhiều tài khoản chính là tín hiệu brute-force hoặc dò mật khẩu – hành động ngay để chặn đứng!
  • Theo dõi chặt chẽ người dùng: 4624 tiết lộ chính xác ai, khi nào, từ đâu truy cập; 4672 báo động đặc quyền cao – bảo vệ tài nguyên quý giá!
  • Lật tẩy hành vi bất thường: Đăng nhập giờ lạ, vị trí lạ, hoặc loại bất thường (như tài khoản thường dùng “Service/Batch”) – đây là dấu hiệu hacker đang lẩn trốn!
• Tác động tiềm tàng:
  • Truy cập trái phép lan rộng vào hệ thống/dữ liệu nhạy cảm.
  • Initial Access – Cửa ngõ đầu tiên cho kẻ xấu.
  • Privilege Escalation qua đăng nhập đặc quyền bất ngờ.
  • Phá vỡ nỗ lực tấn công trước khi quá muộn!

2. Quản lý Tài khoản Người dùng và Nhóm (Account Management)

• Log Source: Security
• Event ID(s):
  • 4720: Tạo tài khoản người dùng mới.
  • 4726: Xóa tài khoản người dùng.
  • 4722: Kích hoạt tài khoản người dùng.
  • 4723: Thử thay đổi mật khẩu tài khoản.
  • 4724: Reset mật khẩu tài khoản.
  • 4738: Thay đổi tài khoản người dùng (tên, trạng thái, mô tả…).
  • 4756: Thêm thành viên vào nhóm bảo mật toàn cục (như Administrators!).
  • 4757: Xóa thành viên khỏi nhóm bảo mật toàn cục.
  • 4767: Mở khóa tài khoản người dùng.
• Mô tả: Theo dõi mọi thay đổi tài khoản và nhóm bảo mật trên Active Directory hoặc máy cục bộ – dữ liệu sống còn để phát hiện backdoor!
• Ý nghĩa cho SOC:
  • Tiêu diệt tài khoản giả mạo/backdoor: Tạo/kích hoạt tài khoản lạ, tên đáng ngờ hoặc thêm vào nhóm quyền cao – hành động ngay để khóa chặt!
  • Cảnh báo tăng quyền chết người: Thêm user vào Administrators/Domain Admins là tín hiệu đỏ rực – ngăn chặn escalation triệt để!
  • Giám sát quản trị viên 24/7: Xác minh mọi thay đổi từ đúng nguồn, đúng quyền – duy trì kiểm soát tuyệt đối!
• Tác động tiềm tàng:
• Tạo tài khoản bền vững để duy trì sự hiện diện (Persistence): Kẻ tấn công thường thiết lập các tài khoản mới nhằm bám trụ lâu dài trong hệ thống, giúp chúng quay lại bất cứ lúc nào mà không cần xâm nhập lại từ đầu.
• Nâng cao đặc quyền truy cập trái phép (Privilege Escalation): Sau khi có chỗ đứng ban đầu, chúng nhanh chóng leo thang quyền hạn để kiểm soát toàn bộ hệ thống, mở ra cánh cửa cho những hành động nguy hiểm hơn.
• Ngụy trang hoạt động qua tài khoản giả mạo: Bằng cách sử dụng tài khoản mới, kẻ xấu dễ dàng che đậy dấu vết, khiến việc phát hiện trở nên khó khăn hơn bao giờ hết – bạn không thể để điều này xảy ra với hệ thống của mình!

3. Thực thi Quy trình (Process Creation)

• Nguồn Log: Security
• Event ID(s):
  • 4688: Một tiến trình mới được khởi chạy. (CỰC KỲ QUAN TRỌNG – Hãy kích hoạt ngay Audit Process Creation để nắm bắt kịp thời!)
  • 4689: Một tiến trình đã kết thúc.
• Mô tả: Sự kiện 4688 lưu chi tiết về tiến trình mới, từ tên tiến trình cha/con, đường dẫn file thực thi đầy đủ, đến dòng lệnh cụ thể (command line arguments – yếu tố then chốt để phát hiện mối đe dọa).
• Giá trị chiến lược cho SOC:
  • Bắt quả tang malware và exploit: Những tiến trình đáng ngờ từ thư mục tạm thời hoặc lệnh lạ chính là dấu hiệu rõ ràng của phần mềm độc hại – đừng bỏ lỡ cơ hội chặn đứng chúng!
  • Phát hiện thủ thuật tinh vi: Kỹ thuật LOLBAS (sử dụng công cụ hệ thống hợp pháp như powershell.exe, cmd.exe, certutil.exe cho mục đích xấu), chạy mã từ bộ nhớ hay script độc hại đều lộ rõ qua command line.
  • Xây dựng timeline tấn công: Theo dõi chuỗi sự kiện, từ file độc tải bởi trình duyệt dẫn đến cmd/powershell rồi malware – giúp bạn tái hiện toàn bộ vụ việc một cách chính xác.
• Rủi ro nghiêm trọng:
  • Chạy mã độc hại lan rộng.
  • Khám phá thông tin hệ thống (Discovery).
  • Thực hiện mục tiêu tấn công (Actions on Objectives).
  • Củng cố sự tồn tại lâu dài (Persistence).

4. Thay đổi Chính sách Kiểm toán/Bảo mật (Audit Policy/Security Policy Changes)

• Nguồn Log: Security
• Event ID(s):
  • 4719: Chính sách kiểm toán hệ thống bị chỉnh sửa.
  • 4816: Bộ đệm đăng nhập Security object bị xóa sạch. (Liên quan chặt chẽ đến Kerberoasting hoặc tấn công vé – cảnh giác cao độ!)
• Mô tả: Theo dõi mọi thay đổi trong cấu hình Audit Policy của hệ thống.
• Giá trị chiến lược cho SOC:
  • Phát hiện nỗ lực xóa dấu vết: Kẻ tấn công thường tắt hoặc sửa Audit Policy để hoạt động trong bóng tối – phát hiện sớm để bảo vệ bằng chứng quý giá!
• Rủi ro nghiêm trọng:
  • Tạo kẽ hở cho các hành vi độc hại không bị ghi nhận.
  • Xóa sạch dấu vết tấn công, khiến điều tra trở nên bất khả thi.

5. Xóa Sổ Log Bảo mật (Security Log Clearing)

• Nguồn Log: Security
• Event ID: 1102: Log kiểm toán bị xóa hoàn toàn.
• Mô tả: Ghi nhận chính xác thời điểm Security Log bị thanh trừng.
• Giá trị chiến lược cho SOC:
  • Dấu hiệu đỏ rực của che giấu: Xóa log là chiêu bài quen thuộc của kẻ xấu và nội gián – đây là lúc bạn phải hành động ngay lập tức để bảo vệ hệ thống!
• Rủi ro nghiêm trọng:
  • Mất toàn bộ bằng chứng sự cố bảo mật.
  • Cản trở hoàn toàn quá trình điều tra pháp y (forensics).

6. Thay đổi Cấu hình Hệ thống then chốt

• Nguồn Log: System, Security
• Event ID(s):
  • System Log:
    • 7036: Dịch vụ chuyển sang trạng thái chạy / dừng. (Theo dõi sát sao dịch vụ quan trọng hoặc mới xuất hiện – đây là chìa khóa ngăn chặn thảm họa!)
• 7045: Hệ thống ghi nhận việc cài đặt một dịch vụ mới – dấu hiệu rõ ràng của Persistence mà kẻ tấn công sử dụng để duy trì quyền kiểm soát lâu dài.
• 1074: Quy trình nào đó đã kích hoạt việc tắt hoặc khởi động lại máy tính – cảnh báo cao về hoạt động bất thường.
• Security Log:
  • 4697: Phiên bản Security Log của 7045, ghi nhận dịch vụ mới được cài đặt (yêu cầu kích hoạt Audit Policy để theo dõi chặt chẽ).
  • 4698: Tác vụ theo lịch được tạo ra – chiến thuật Persistence kinh điển để mã độc tự động chạy lại.
  • 4702: Tác vụ theo lịch bị cập nhật, có thể che giấu thay đổi độc hại.
  • 4896: Tác vụ theo lịch bị xóa, thường là bước dọn dẹp dấu vết sau khi khai thác.
  • 4946: Quy tắc mới được thêm vào danh sách ngoại lệ Windows Firewall (hoặc chỉnh sửa quy tắc hiện có) – mở cửa cho giao tiếp outbound.
  • 4947: Quy tắc bị xóa khỏi danh sách ngoại lệ Firewall, có thể nhằm che đậy hành vi.

Bạn không thể bỏ lỡ những sự kiện này! Chúng ghi chép chính xác mọi thay đổi về dịch vụ, việc thiết lập tác vụ tự động và điều chỉnh tường lửa – chìa khóa để phát hiện kẻ tấn công ngay từ sớm.

Tại sao SOC của bạn cần ưu tiên ngay lập tức?

• Chặn Persistence triệt để: Kẻ xấu luôn cài dịch vụ giả mạo hoặc lập lịch task để mã độc “sống sót” qua reboot – giám sát 24/7 để cắt đứt chúng.
• Bảo vệ lớp phòng thủ cuối cùng: Thay đổi Firewall chính là cách chúng mở đường thoát dữ liệu hoặc lan sang máy khác – phát hiện kịp thời cứu toàn mạng.
• Ngăn chặn gián đoạn lớn: Dịch vụ core bị tắt đột ngột hoặc máy tự restart? Đó là DoS có chủ đích – hành động ngay để tránh thiệt hại khôn lường.

Tác động thực tế không thể xem thường:

• Duy trì quyền truy cập vĩnh viễn cho hacker.
• Phá vỡ tường lửa, mở lối cho exfiltration.
• Gây tê liệt hệ thống qua shutdown bất ngờ.

7. Truy cập Đối tượng (Object Access) – File, Registry, v.v.

• Log Source: Security
• Event ID(s):
  • 4656: Yêu cầu handle tới một đối tượng (khi truy cập ban đầu).
  • 4663: Thử truy cập đối tượng cụ thể (đọc/ghi/xóa) – SIÊU QUAN TRỌNG, cần cấu hình SACLs trên file/registry nhạy cảm và bật Audit Policy.
    Mô tả: Theo dõi mọi nỗ lực can thiệp vào file, thư mục, registry key, máy in – không gì lọt lưới!
    Ý nghĩa cho SOC:
  • Bắt quả tang truy cập trái phép: Ai đang nhòm ngó dữ liệu bí mật của bạn?
  • Phát hiện chỉnh sửa Registry nguy hiểm: Run keys, config bảo mật – dấu vết Persistence rõ mồn một.
  • Truy vết toàn bộ hành vi post-exploitation: File nào bị động chạm? Dữ liệu của bạn đang bị đánh cắp!
    Tác động tiềm tàng:
  • Rò rỉ dữ liệu quy mô lớn.
  • Phá hủy hoặc sửa đổi thông tin quan trọng.
  • Cài backdoor qua Registry.

8. Hoạt động của Thiết bị Bên ngoài (External Device Usage)

• Log Source: Security
• Event ID(s):
  • 4660: Đối tượng bị xóa (thường sau khi copy dữ liệu từ USB – cần Audit Policy).
  • (Các ID khác tùy cấu hình theo dõi cắm/rút USB)

9. Các Lỗi và Cảnh báo Hệ thống Quan trọng

• Log Source: System
• Event ID(s): (Rất đa dạng tùy theo nguyên nhân cụ thể)
  • Bugcheck events: Các Event ID liên quan đến Blue Screen of Death (BSOD) – dấu hiệu hệ thống sụp đổ đột ngột.
  • Disk/Hardware errors: Cảnh báo lỗi ổ cứng, RAM, nguồn điện hoặc phần cứng khác – đừng bỏ qua, chúng có thể báo hiệu thảm họa sắp xảy ra.
  • Service Control Manager Errors: Lỗi khởi động hoặc vận hành dịch vụ thiết yếu – nguy cơ gián đoạn toàn bộ hệ thống.
• Mô tả: Ghi nhận những lỗi nghiêm trọng, cảnh báo hoặc sự cố phần cứng/phần mềm có thể làm tê liệt hoạt động ngay lập tức.
• Ý nghĩa cho SOC:
  • Phát hiện sự cố ổn định hệ thống: Lỗi lặp lại chính là tín hiệu đỏ rực cảnh báo vấn đề cần sửa chữa khẩn cấp, hoặc dấu vết của tấn công DoS tàn phá.
  • Manh mối hoạt động độc hại: Mã độc tinh vi thường gây sập dịch vụ để che giấu hành vi – bắt lấy chúng trước khi quá muộn.
• Tác động tiềm tàng:
  • Gián đoạn dịch vụ (DoS) – hệ thống tê liệt hoàn toàn.
  • Mất dữ liệu vĩnh viễn từ lỗi đĩa.
  • Hệ thống không khả dụng – thiệt hại kinh doanh khổng lồ.

10. Lỗi Ứng dụng (Application Errors)

• Log Source: Application
• Event ID(s): (Đa dạng theo từng ứng dụng cụ thể)
  • 1000: Application Error – ứng dụng crash thảm hại, dấu hiệu bất thường rõ rệt.
  • Các Event ID từ ứng dụng cụ thể: Lỗi từ database, web server (IIS), phần mềm diệt virus – nguồn thông tin vàng cho SOC.
• Mô tả: Theo dõi mọi lỗi ứng dụng trong quá trình chạy, không để sót bất kỳ dấu hiệu nào.
• Ý nghĩa cho SOC:
  • Phát hiện tấn công khai thác lỗ hổng: Buffer Overflow hay các exploit thường gây crash – đây là cơ hội chặn đứng hacker.
  • Theo dõi phần mềm bảo mật: Log từ antivirus/EDR nằm đây, cảnh báo mã độc được chặn – hành động ngay để bảo vệ mạng.
  • Chẩn đoán cấu hình: Phát hiện vấn đề tương thích trước khi chúng làm sập kinh doanh.
• Tác động tiềm tàng:
  • Gián đoạn dịch vụ ứng dụng – mất doanh thu tức thì.
  • Dấu hiệu khai thác lỗ hổng – cửa ngõ cho tấn công lớn hơn.

Các Lưu ý Bổ sung Quan trọng cho SOC:

1. Cấu hình Audit Policy: Bắt buộc phải làm ngay! Không cấu hình đúng, bạn sẽ bỏ lỡ 4688, 4663, 4698, 4719 – những Event ID cứu cánh cho bảo mật. Áp dụng hướng dẫn tối ưu để không bao giờ hối tiếc!
2. Loại bỏ “Nhiễu” (Giảm Nhiễu): Trong môi trường Windows, lượng log khổng lồ có thể làm choáng ngợp đội ngũ SOC. Hãy áp dụng ngay các kỹ thuật lọc thông minh để chỉ tập trung vào những sự kiện đáng ngờ thực sự – ví dụ, loại bỏ hoàn toàn các lần đăng nhập thành công lặp lại từ nguồn đáng tin cậy hay những thay đổi registry quen thuộc của hệ thống, giúp bạn tiết kiệm thời gian và phát hiện mối đe dọa nhanh chóng hơn bao giờ hết.[1]
3. Tương quan (Correlation): Đây chính là chìa khóa vàng để biến log thành vũ khí mạnh mẽ! Hãy kết nối các sự kiện từ nhiều nguồn khác nhau – như hàng loạt đăng nhập thất bại (Event ID 4625), theo sau là tạo tài khoản mới (4720), rồi cài đặt dịch vụ lạ (7045/4697). Với SIEM hoặc hệ thống quản lý log chuyên dụng, bạn sẽ xử lý quy mô lớn một cách dễ dàng, phát hiện chuỗi tấn công tinh vi trước khi chúng gây hại.[1][3]
4. Baselining: Xây dựng ngay bản đồ hành vi bình thường của hệ thống – ai đăng nhập lúc nào, tiến trình nào chạy thường xuyên, dịch vụ nào hoạt động ổn định. Khi có bất thường, bạn sẽ nhận ra ngay lập tức, biến SOC thành “lá chắn thép” không thể xuyên thủng![2]
5. Log Forwarding: Bắt buộc phải thực hiện! Chuyển toàn bộ log từ máy trạm, máy chủ về hệ thống tập trung như SIEM ngay hôm nay. Điều này không chỉ giúp phân tích hiệu quả, lưu trữ dài hạn mà còn ngăn chặn kẻ tấn công xóa dấu vết cục bộ – bảo vệ dữ liệu quý giá của bạn 100%.[3][10]
6. Cập nhật Kiến thức: Các thủ đoạn tấn công và Event ID quan trọng luôn tiến hóa theo thời gian hay phiên bản Windows. Đừng để tụt hậu! Hãy liên tục cập nhật threat intelligence, theo dõi dấu vết mới nhất từ các cuộc tấn công – đảm bảo SOC của bạn luôn dẫn đầu, sẵn sàng đối phó mọi mối đe dọa![4]