Monitorizarea canalului de evenimente Windows Security a identificat încercări eșuate de a efectua o operațiune privilegiată în timpul unei serii de modificări și actualizări de drivere.
Evenimentele au implicat privilegiul Windows SeLoadDriverPrivilege și au fost observate pe două dispozitive diferite.
Localizarea evenimentelor
Locație: EventChannel
Canal: Security
Evenimentele detectate au provenit din canalul de evenimente Windows Security și au fost legate de operațiuni privilegiate efectuate pe dispozitivele afectate.
Cauza evenimentelor
Evenimentele au fost generate de încercări eșuate de a efectua o operațiune privilegiată folosind SeLoadDriverPrivilege.
Eșecurile au apărut în timpul mai multor modificări și actualizări de drivere pe două dispozitive separate.
Activitatea de mentenanță a driverelor a oferit, prin urmare, contextul operațional pentru eșecurile operațiunilor privilegiate observate în evenimentele de securitate.
De ce a fost detectată activitatea
Operațiunile privilegiate eșuate în mod repetat pot crea o modificare vizibilă în activitatea evenimentelor de securitate.
În acest caz, mai multe evenimente conexe au fost generate în timpul modificărilor și actualizărilor de drivere, creând tiparul identificat prin monitorizare.
Informațiile furnizate leagă evenimentele de activitatea de mentenanță a driverelor, mai degrabă decât de o operațiune malițioasă confirmată.
Contextul investigației
Contextul relevant al investigației este relația dintre operațiunile privilegiate eșuate și modificările de drivere apărute pe cele două dispozitive.
Analiza evenimentelor împreună face posibilă identificarea faptului că eșecurile SeLoadDriverPrivilege au apărut în timpul mai multor modificări și actualizări de drivere.
Concluzie
Anomalia din canalul de evenimente Windows Security a fost cauzată de încercări eșuate de a efectua o operațiune privilegiată care implica SeLoadDriverPrivilege.
Activitatea a apărut în timpul mai multor modificări și actualizări de drivere pe două dispozitive diferite, oferind contextul necesar pentru a explica evenimentele de securitate detectate.
