Архитектура дескрипторов (Handles) и симптомы события

Событие 4656 логируется в журнале Security, когда процесс запрашивает у ядра операционной системы дескриптор (Handle) для доступа к объекту (файлу на диске, ключу реестра, службе или чужому процессу в памяти). В отличие от >4663 (где фиксируется реальное действие над открытым объектом), событие 4656 фиксирует попытку открытия объекта с запросом определенных прав (Access Request Information).

Таблица результатов события 4656

Сценарии анализа попыток взлома и отказа в доступе

Сценарий 1: Обнаружение попыток дампа памяти процесса LSASS

Хакерские утилиты (Mimikatz, Taskmgr) запрашивают дескриптор процесса lsass.exe с маской доступа 0x1410 (PROCESS_VM_READ), чтобы выгрузить пароли из памяти.

# Поиск запросов дескрипторов к процессу lsass.exe
Get-WinEvent -FilterHashtable @{LogName="Security"; ID=4656; StartTime=(Get-Date).AddDays(-1)} | 
    Where-Object {$_.Properties[5].Value -match "lsass.exe" -and $_.Properties[11].Value -notmatch "SYSTEM|svchost"} | 
    Select-Object TimeCreated, 
    @{N="User";E={$_.Properties[1].Value}}, 
    @{N="ProcessRequesting";E={$_.Properties[11].Value}}

Сценарий 2: Поиск попыток чтения заблокированных конфиденциальных файлов

Фильтрация событий Audit Failure покажет пользователей, пытающихся открыть чужие папки на файловом сервере.

Типовые ошибки администраторов

• Включение аудита Success для 4656: Это приведет к генерации сотен тысяч событий в минуту и моментальному заполнению диска. Включайте аудит дескрипторов ТОЛЬКО для статуса Failure (Отказ).