Die Überwachung des Windows-Ereigniskanals Security identifizierte fehlgeschlagene Versuche, eine privilegierte Operation auszuführen, während einer Reihe von Treiberänderungen und -aktualisierungen.
Die Ereignisse betrafen das Windows-Privileg SeLoadDriverPrivilege und wurden auf zwei verschiedenen Geräten beobachtet.
Ort des Ereignisses
Standort: EventChannel
Kanal: Security
Die erkannten Ereignisse stammten aus dem Windows-Ereigniskanal Security und standen im Zusammenhang mit privilegierten Vorgängen auf den betroffenen Geräten.
Ursache der Ereignisse
Die Ereignisse wurden durch fehlgeschlagene Versuche ausgelöst, mit SeLoadDriverPrivilege eine privilegierte Operation auszuführen.
Die Fehler traten während mehrerer Treiberänderungen und -aktualisierungen auf zwei separaten Geräten auf.
Die Treiberwartung lieferte daher den betrieblichen Kontext für die in den Sicherheitsereignissen beobachteten Fehlschläge privilegierter Vorgänge.
Warum die Aktivität erkannt wurde
Wiederholt fehlgeschlagene privilegierte Vorgänge können eine auffällige Änderung der Sicherheitsereignisaktivität verursachen.
In diesem Fall wurden während der Treiberänderungen und -aktualisierungen mehrere zusammenhängende Ereignisse erzeugt, die das von der Überwachung erkannte Muster bildeten.
Die bereitgestellten Informationen bringen die Ereignisse mit der Treiberwartung in Verbindung und nicht mit einem bestätigten bösartigen Vorgang.
Untersuchungskontext
Der relevante Untersuchungskontext ist der Zusammenhang zwischen den fehlgeschlagenen privilegierten Vorgängen und den Treiberänderungen auf den beiden Geräten.
Die gemeinsame Betrachtung der Ereignisse zeigt, dass die Fehler bei SeLoadDriverPrivilege während mehrerer Treiberänderungen und -aktualisierungen auftraten.
Fazit
Die Anomalie im Windows-Ereigniskanal Security wurde durch fehlgeschlagene Versuche verursacht, eine privilegierte Operation mit SeLoadDriverPrivilege auszuführen.
Die Aktivität fand während mehrerer Treiberänderungen und -aktualisierungen auf zwei verschiedenen Geräten statt und lieferte den Kontext, der zur Erklärung der erkannten Sicherheitsereignisse nötig war.
