RayduceCOMMAND
CREATOR

COMMAND REFERENCE / SOURCE

4741|A computer account was created.

sec4_evt_24資料輸入14 個參數

這個指令做什麼?

事件調查:A computer account was created.。固定提供者 Microsoft-Windows-Security-Auditing;事件 ID 4741。讀取事件證據,不代表偵測到入侵;需結合上下文判讀。 A computer account was created. Subject: Security ID: %4 Account Name: %5 Account Domain: %6 Logon ID: %7 New Computer Account: Security ID: %3 Account Name: %1 Account Domain: %2 Attributes: SAM Account Name: %9 Display Name: %10 User Principal Name: %11 Home Directory: %12 Home Drive: %13 Script Path: %14 Profile Path: %15 User Workstations: %16 Password Last Set: %17 Account Expires: %18 Primary Group ID: %19 AllowedToDelegateTo: %20 Old UAC Value: %21 New UAC Value: %22 User Account Control: %23 User Parameters: %24 SID History: %25 Logon Hours: %26 DNS Host Name: %27 Service Principal Names: %28 Additional Information: Privileges %8

PARAMETERS

參數怎麼填?

01

回溯時數

必填

以本次執行時間往前計算;離線 EVTX 也套用時間範圍。 範圍:1~8760。 預設/範例:24。 必填。

預設/範例24
02

最多回傳筆數

必填

限制輸出筆數;不會變更資料來源。 範圍:1~5000。 預設/範例:100。 必填。

預設/範例100
03

最多讀取候選事件

必填

先以提供者、事件 ID、時間查詢,再比對資料欄位;此上限可能截斷結果。 範圍:1~10000。 預設/範例:1000。 必填。

預設/範例1000
04

事件通道

必填

此事件原始通道;不同 Windows 版本可手動調整。通道未啟用時不會自動啟用。 預設/範例:Security。 必填。

預設/範例Security
05

離線 EVTX 檔案路徑(選填)

選填

填寫後讀取既有 EVTX,不讀取本機通道;空白表示本機。 可留空。

預設/範例留空;必填時請於執行前設定
06

資料欄位比對方式

必填

套用到下方事件專屬欄位;所有非空條件須同時成立。 可選:包含、等於、正規表示式。 必填。

包含等於正規表示式
預設/範例包含
07

事件讀取順序

必填

一般日誌可選順序;Analytic/Debug 日誌若要求由舊到新,會自動改採最舊優先。掃描上限會依此順序截斷。 可選:最新優先、最舊優先。 必填。

最新優先最舊優先
預設/範例最新優先
08

TargetUserName(win:UnicodeString)

選填

僅篩選此事件的 TargetUserName;空白不限制。原始型別 win:UnicodeString,以事件中的文字值比對。 可留空。

預設/範例留空;必填時請於執行前設定
09

TargetDomainName(win:UnicodeString)

選填

僅篩選此事件的 TargetDomainName;空白不限制。原始型別 win:UnicodeString,以事件中的文字值比對。 可留空。

預設/範例留空;必填時請於執行前設定
10

TargetSid(win:SID)

選填

僅篩選此事件的 TargetSid;空白不限制。原始型別 win:SID,以事件中的文字值比對。 可留空。

預設/範例留空;必填時請於執行前設定
11

SubjectUserSid(win:SID)

選填

僅篩選此事件的 SubjectUserSid;空白不限制。原始型別 win:SID,以事件中的文字值比對。 可留空。

預設/範例留空;必填時請於執行前設定
12

SubjectUserName(win:UnicodeString)

選填

僅篩選此事件的 SubjectUserName;空白不限制。原始型別 win:UnicodeString,以事件中的文字值比對。 可留空。

預設/範例留空;必填時請於執行前設定
13

SubjectDomainName(win:UnicodeString)

選填

僅篩選此事件的 SubjectDomainName;空白不限制。原始型別 win:UnicodeString,以事件中的文字值比對。 可留空。

預設/範例留空;必填時請於執行前設定
14

其他事件欄位條件 JSON(選填)

選填

例如 {"ProcessId":"1234"}。支援此事件的其餘欄位;此物件只用於比對,不執行程式碼。 可留空。

預設/範例留空;必填時請於執行前設定
← 返回同分類指令