Die Überwachung des Windows-Ereigniskanals System identifizierte eine Reihe von Betriebssystemfehlern, die durch mehrere unterschiedliche Bedingungen auf Systemebene verursacht wurden.
Die Ereignisse standen hauptsächlich im Zusammenhang mit Fehlern bei der Erstellung von TLS-Client-Anmeldeinformationen, Datenträger-Hardware-E/A-Fehlern und Fehlern beim Lesen externer Geräte.
Ort des Ereignisses
Standort: EventChannel
Kanal: System
Der Kanal System lieferte die Ereignisse, anhand derer die abnormale Aktivität auf den überwachten Windows-Systemen identifiziert wurde.
Identifizierte Hauptursachen
Die in diesem Fall beobachteten Ereignisse gehörten hauptsächlich zu drei Kategorien.
Die erste Kategorie betraf Fehler bei der Erstellung von TLS-Client-Anmeldeinformationen. Diese Ereignisse wurden erzeugt, wenn Windows bei der Erstellung von TLS-Client-Anmeldeinformationen auf Probleme stieß.
Die zweite Kategorie betraf Datenträger-Hardware-E/A-Fehler. Diese Ereignisse wiesen auf Eingabe- und Ausgabeprobleme bei Datenträger-Hardwarevorgängen hin.
Die dritte Kategorie betraf Fehler, die beim Lesen externer Geräte auftraten.
Die Anomalie verstehen
Die Anomalie war daher nicht auf ein einzelnes Windows-Problem zurückzuführen. Mehrere Arten von Systemereignissen trugen zur erkannten Aktivität bei.
Die wichtigsten Ereignisgruppen betrafen:
Fehler bei der Erstellung von TLS-Client-Anmeldeinformationen;
Datenträger-Hardware-E/A-Fehler;
Lesefehler externer Geräte.
Die Trennung dieser Ereigniskategorien verschafft einen klareren Überblick darüber, was das abnormale Ereignismuster erzeugt hat.
Untersuchungskontext
Da die Ereignisse aus dem Windows-Kanal System stammten, kann die Analyse erfolgen, indem die Ereignisse nach ihrem spezifischen Fehlertyp und dem betroffenen System oder Gerät gruppiert werden.
Dies hilft, TLS-bezogene Betriebssystemfehler von Hardware-E/A-Problemen und Lesefehlern externer Geräte zu unterscheiden.
Fazit
Die Anomalie im Windows-Ereigniskanal System wurde durch mehrere Arten von Betriebssystemfehlern verursacht. Die meisten Ereignisse bezogen sich auf Probleme bei der Erstellung von TLS-Client-Anmeldeinformationen, Datenträger-Hardware-E/A-Fehler und Fehler, die auftraten, als Windows versuchte, externe Geräte zu lesen.
