事件 ID 4670 – 对象的权限已更改

---

当对象的权限发生更改时，会生成事件 ID 4670 事件。 对象可以是文件系统、密钥、文件夹、注册表、服务或安全令牌对象。此事件标识对象、旧权限和新权限以及谁更改了对象的访问控制列表 (ACL)。

事件 ID 4670 在对象上启用审核时生成。应针对“更改权限”或“取得所有权”的对象审核策略启用审核。

例如，要记录文件系统对象更改的事件 4670，必须启用文件系统子类别。要记录注册表项的事件，必须在注册表对象 SACL 中设置“Write DAC”和“Write Owner”。

在本文中，我们将讨论事件 ID 4670、有关其授权策略更改类别的信息、事件 ID 4670 对象类型令牌及其安全性 描述符。

事件 ID 4670 信息

让我们详细了解事件 ID 4634 及其字段。

事件 ID 4670 XML 格式

- <Event xmlns="http://schemas.microsoft.com/win/2004/08/events/event">
- <System>
 <Provider Name="Microsoft-Windows-Security-Auditing" Guid="{62736363-7623-8273-B5CA-2E3C0352D30E}" /> 
 <EventID>4670</EventID> 
 <Version>0</Version> 
 <Level>0</Level> 
 <Task>13570</Task> 
 <Opcode>0</Opcode> 
 <Keywords>0x8020000000000000</Keywords> 
 <TimeCreated SystemTime="2022-01-25T18:10:21.495462300Z" /> 
 <EventRecordID>19764011</EventRecordID> 
 <Correlation /> 
 <Execution ProcessID="4" ThreadID="14664" /> 
 <Channel>Security</Channel> 
 <Computer>DC01.ShellGeek.local</Computer> 
 <Security /> 
 </System>
- <EventData>
 <Data Name="SubjectUserSid">S-1-4-21</Data> 
 <Data Name="SubjectUserName">admin</Data> 
 <Data Name="SubjectDomainName">SHELLGEEK</Data> 
 <Data Name="SubjectLogonId">0x1c3bac</Data> 
 <Data Name="ObjectServer">Security</Data> 
 <Data Name="ObjectType">Token</Data> 
 <Data Name="ObjectName"></Data> 
 <Data Name="HandleId">0xc610</Data> 
 <Data Name="OldSd">D:(A;;GA;;;S-1-4-21-2315242433-2456252518-732456124-235535)(A;;GA;;;SY)(A;;GXGR;;;S-1-3-2-0-3452119)</Data> 
 <Data Name="NewSd">D:(A;;GA;;;S-1-4-21-2315242433-2456252518-732456124-235535)(A;;GA;;;SY)</Data> 
 <Data Name="ProcessId">0xb304</Data> 
 <Data Name="ProcessName">C:\Users\admin\AppData\Local\Microsoft\Teams\current\Teams.exe</Data> 
 </EventData>
 </Event>

酷提示：如何在 PowerShell 中将 XML 转换为 CSV 文件！

字段说明：

主题信息

• 安全 ID：请求“更改对象权限”操作的帐户的安全 ID。
• 帐户名称：请求更改对象权限操作的帐户名称。
• 帐户域名：域名
• 登录ID： 它是HexInt64类型。它包含十六进制值，您可以使用该值将此事件与可能包含相同登录 ID 的最近事件相关联。例如，事件 ID 4634 -“帐户已注销。 ”

对象

• 对象服务器：事件代码 4670 具有安全值。
• 对象类型：它具有 Unicode String 类型值。它表示操作期间访问的事件的类型。

对象名称：它是 Unicode 字符串类型。它包含权限已更改的对象的名称。对于文件系统对象，它将对象名称显示为文件路径，对于令牌对象，它显示“-”。

句柄 ID：它包含对象名称句柄的十六进制值。句柄 ID 可帮助您将此事件与可能具有相同句柄 ID 的其他事件关联起来。

流程

• 进程ID：它包含更改权限的进程的进程ID的十六进制值。进程ID在操作系统中唯一标识一个活动进程。您可以使用此进程 ID 将此事件与可能具有相同进程 ID 的其他事件关联起来。
• 进程名称：它包含进程的可执行文件的完整路径。

权限更改

• 原始安全描述符：它包含对象的旧安全描述符定义语言 (SDDL) 值。
• 新安全描述符：它包含对象的新安全描述符定义语言 (SDDL) 值。

酷提示：事件 ID 4776 代码 0xc0000234 - 修复以查找尝试来源！

事件 ID 4670 对象类型

该事件的对象类型表示操作期间访问的事件的类型。

在上面的示例中，对象类型是Token。

请参阅 Microsoft 知识库文章中最常用的对象类型可能值列表。

DirectoryEventTimerDeviceMutantTypeFileTokenThreadSectionWindowStationDebugObjectFilterCommunicationPortEventPairDriverIoCompletionControllerSymbolicLinkWmiGuidProcessProfileDesktopKeyedEventAdapterKeyWaitablePortCallbackSemaphoreJobPortFilterConnectionPortALPC Port

酷提示：事件 ID 4625 状态代码 0xc000006a - 修复以查找尝试来源！

事件 ID 4670 安全描述符

此事件日志对象的权限更改，例如旧权限和新权限及其安全描述符。

它为旧的和新的安全描述符字段分配安全描述符定义语言（SDDL）。

请参阅事件 ID 4670 安全描述符的最常用可能值列表。

ValueDescriptionValueDescription“AO”Account operators“PA”Group Policy administrators“RU”Alias to allow previous Windows 2000“IU”Interactively logged-on user“AN”Anonymous logon“LA”Local administrator“AU”Authenticated users“LG”Local guest“BA”Built-in administrators“LS”Local service account“BG”Built-in guests“SY”Local system“BO”Backup operators“NU”Network logon user“BU”Built-in users“NO”Network configuration operators“CA”Certificate server administrators“NS”Network service account“CG”Creator group“PO”Printer operators“CO”Creator owner“PS”Personal self“DA”Domain administrators“PU”Power users“DC”Domain computers“RS”RAS servers group“DD”Domain controllers“RD”Terminal server users“DG”Domain guests“RE”Replicator“DU”Domain users“RC”Restricted code“EA”Enterprise administrators“SA”Schema administrators“ED”Enterprise domain controllers“SO”Server operators“WD”Everyone“SU”Service logon user

酷提示：如何在 PowerShell 中操作 Active Directory UserAccountControl 标志！

结论

希望以上有关Windows安全事件ID 4670的文章对您有所帮助。

它可以帮助您监视与已更改的对象的权限相关的事件。

您可以使用 EventId 4670 监视计算机上更改的文件对象、注册表项对象或所有其他特定对象。

酷提示：事件 ID 4771 - Kerberos 预身份验证失败！

对象类型和安全描述符表来自 Microsoft 知识库文章。有关这些事件查看器 id 4670 对象类型、事件 id 4670 安全描述符的更多详细信息，请参阅官方 Microsoft 知识库文章。

您可以在 ShellGeek 主页上找到有关 PowerShell Active Directory 命令和 PowerShell 基础知识的更多主题。

您可以阅读有关其他 Windows 安全和系统事件日志的更多信息，如下所示：

• 事件 ID 4670 - 系统重新启动或关闭
• 事件 ID 4624 - 帐户已成功登录。