51.5.3. Атрибуты событий авторизации (Authorization)

⁠51.5.3. Атрибуты событий авторизации (Authorization)

В таблице Успешные события авторизации приведен набор атрибутов, который используется для регистрации успешных событий авторизации.

⁠

Таблица 51.4. Успешные события авторизации

Атрибут	Значение
`account`	Имя авторизуемой учетной записи
`accountFlags`	Битовое поле атрибутов учетной записи
`authType`	Строка, описывающая тип авторизации (например, «krb5», «NTLMSSP», «simple bind»)
`domain`	Имя домена
`localAddress`	Адрес сервера и используемый порт
`logonServer`	Сервер, на котором выполнена аутентификация
`remoteAddress`	Видимый адрес клиента
`serviceDescription`	Тип службы (например, «LDAP», «SMB2», «DCE/RPC»)
`sessionId`	Уникальный идентификатор сессии (GUID)
`sid`	Идентификатор безопасности (SID) авторизуемой учетной записи
`transportProtection`	Тип защиты, используемой в канале (например, «SMB», «TLS», «SEAL», «NONE»)
`version`	См. описание в таблице Общие атрибуты. Текущая версия: {"major": 1, "minor": 2}

Пример записи об успешной попытке авторизации:

{"timestamp": "2024-05-29T15:32:39.282334+0200", "type": "Authorization",
"Authorization": {"version": {"major": 1, "minor": 2}, "localAddress": "ipv4:127.0.0.1:389",
"remoteAddress": "ipv4:127.0.0.1:43350", "serviceDescription": "LDAP",
"authType": "simple bind", "domain": "NT AUTHORITY", "account": "ANONYMOUS LOGON",
"sid": "S-1-5-7", "sessionId": "5accdd86-4c6e-4bd2-8ab1-7e95f641ecf2",
"logonServer": "DC1", "transportProtection": "NONE", "accountFlags": "0x00000010",
"clientPolicyAccessCheck": null, "serverPolicyAccessCheck": null}}