Conceito e funcionamento
O evento 4688 pode incluir nome do executável, identificadores e command line quando a auditoria correspondente está configurada. A presença de um processo administrativo não constitui por si só atividade indevida. A informação de processo pai e usuário deve ser analisada segundo a versão do evento e a política do endpoint.
Como investigar e correlacionar
Correlacione executável, processo pai, identidade, destino e horário com mudanças autorizadas e outros registros do host. Procure comportamento compatível com a hipótese, como execução inesperada associada a login privilegiado. Compare com Sysmon Event ID 1 quando ambos estão disponíveis para enriquecer contexto, sem misturar IDs distintos.
ESTUDO DE CASO · CENÁRIO SINTÉTICO
Aplicação em uma investigação
Situação
Após uma manutenção planejada, uma ferramenta de administração cria subprocessos que também aparecem em uma regra genérica de execução suspeita.
Procedimento orientado
Compare identidade, execução pai-filho, command line quando disponível e histórico de mudança; verifique se Sysmon e Security Log concordam.
Resultado esperado
A decisão distingue ação administrativa autorizada de uma execução sem contexto e registra quais campos permitem correlação segura.
Cuidados adicionais
Ausência de command line pode resultar de política; não preencha o dado a partir de suposição.
Limitações e interpretações incorretas
Command line pode estar desabilitada por política e pode conter segredos; seu uso em relatórios exige cuidado. PID pode ser reutilizado. Regras baseadas apenas no nome do binário tendem a gerar falsos positivos e a ignorar variantes.
Checklist de validação
- Verificar subcategoria Process Creation
- Checar configuração de linha de comando
- Examinar usuário e processo pai
- Comparar com ticket de mudança
Referências técnicas
Guias para aprofundar
- eventos windows sysmon — aguardando publicação editorial