51｜VSM Master Encryption Key Provisioning. Using cached copy status: …. Primary Blob Unseal Sta

這個指令做什麼？

事件調查：VSM Master Encryption Key Provisioning. Using cached copy status: …. Primary Blob Unseal Sta。固定提供者 Microsoft-Windows-Kernel-Boot；事件 ID 51。讀取事件證據，不代表偵測到入侵；需結合上下文判讀。 VSM Master Encryption Key Provisioning. Using cached copy status: %1. Primary Blob Unseal Status: %2. Backup Blob Unseal Status: %3. Pca2023 Protector Unseal Status: %4. LostOemPk Protector Unseal Status: %5. Backup Blob Validity Check Status: %6. Backup Blob Validity Check Result: %7. Pca2023 Protector Validity Check Status: %8. Pca2023 Protector Validity Check Result: %9. Primary Blob Reseal Status: %10. Backup Blob Reseal Status: %11. Pca2023 Protector Reseal Status: %12. New key generation status: %13. Sealing status: %14. TPM PCR mask: %15. Tpm Counter validation status: %16. Tpm Counter creation status: %17. Backup sealed blob used: %18. Pca2023 Protector cleaned up post upgrade status: %19.

PARAMETERS

參數怎麼填？

回溯時數

必填

以本次執行時間往前計算；離線 EVTX 也套用時間範圍。範圍：1～8760。預設／範例：24。必填。

預設／範例24

最多回傳筆數

必填

限制輸出筆數；不會變更資料來源。範圍：1～5000。預設／範例：100。必填。

預設／範例100

最多讀取候選事件

必填

先以提供者、事件 ID、時間查詢，再比對資料欄位；此上限可能截斷結果。範圍：1～10000。預設／範例：1000。必填。

預設／範例1000

事件通道

必填

此事件原始通道；不同 Windows 版本可手動調整。通道未啟用時不會自動啟用。預設／範例：Microsoft-Windows-Kernel-Boot/Operational。必填。

預設／範例Microsoft-Windows-Kernel-Boot/Operational

離線 EVTX 檔案路徑（選填）

選填

填寫後讀取既有 EVTX，不讀取本機通道；空白表示本機。可留空。

預設／範例留空；必填時請於執行前設定

資料欄位比對方式

必填

套用到下方事件專屬欄位；所有非空條件須同時成立。可選：包含、等於、正規表示式。必填。

包含等於正規表示式

預設／範例包含

事件讀取順序

必填

一般日誌可選順序；Analytic／Debug 日誌若要求由舊到新，會自動改採最舊優先。掃描上限會依此順序截斷。可選：最新優先、最舊優先。必填。

最新優先最舊優先

預設／範例最新優先

CachedCopyStatus（win:UInt32）

選填

僅篩選此事件的 CachedCopyStatus；空白不限制。原始型別 win:UInt32，以事件中的文字值比對。可留空。

預設／範例留空；必填時請於執行前設定

PrimaryBlobUnsealStatus（win:UInt32）

選填

僅篩選此事件的 PrimaryBlobUnsealStatus；空白不限制。原始型別 win:UInt32，以事件中的文字值比對。可留空。

預設／範例留空；必填時請於執行前設定

BackupBlobUnsealStatus（win:UInt32）

選填

僅篩選此事件的 BackupBlobUnsealStatus；空白不限制。原始型別 win:UInt32，以事件中的文字值比對。可留空。

預設／範例留空；必填時請於執行前設定

Pca2023ProtectorUnsealStatus（win:UInt32）

選填

僅篩選此事件的 Pca2023ProtectorUnsealStatus；空白不限制。原始型別 win:UInt32，以事件中的文字值比對。可留空。

預設／範例留空；必填時請於執行前設定

LostOemPkProtectorUnsealStatus（win:UInt32）

選填

僅篩選此事件的 LostOemPkProtectorUnsealStatus；空白不限制。原始型別 win:UInt32，以事件中的文字值比對。可留空。

預設／範例留空；必填時請於執行前設定

BackupBlobValidityCheckStatus（win:UInt32）

選填

僅篩選此事件的 BackupBlobValidityCheckStatus；空白不限制。原始型別 win:UInt32，以事件中的文字值比對。可留空。

預設／範例留空；必填時請於執行前設定

其他事件欄位條件 JSON（選填）

選填

例如 {"ProcessId":"1234"}。支援此事件的其餘欄位；此物件只用於比對，不執行程式碼。可留空。

預設／範例留空；必填時請於執行前設定