이벤트 번호와 채널을 함께 기록합니다
7045는 Service Control Manager의 System 로그 서비스 설치 기록입니다. Windows PowerShell 5.1의 4104는 script block logging을 켰을 때 Microsoft-Windows-PowerShell/Operational에 기록됩니다. 둘을 Security 채널 이벤트로 묶으면 수집 범위에서 빠질 수 있습니다. 다른 PowerShell 버전에도 같은 채널명을 무조건 적용하지 않습니다.
Security: 감사 정책과 이벤트 필드
System: Service Control Manager 7045
Windows PowerShell/Operational: 4104
빈 필드와 없는 사건을 구분합니다
4688의 Process Command Line은 기본적으로 비어 있으며 명령줄 포함 정책이 필요합니다. 명령줄·script block에는 비밀값이 들어갈 수 있으므로 접근·보관·보호 정책을 함께 검토합니다. 이 글은 현재 컴퓨터의 감사 정책을 바꾸거나 로그를 수집하지 않았습니다.
누락을 발견하면 대상 호스트, provider·channel, 정책, 전달 지연과 보존 기간을 순서대로 확인합니다. 수집하지 않은 로그를 근거로 사건이 없었다고 결론 내리지 않습니다.
4732와 4728은 그룹 종류가 다릅니다
4732는 보안 로컬 그룹 구성원 추가, 4728은 보안 글로벌 그룹 구성원 추가입니다. 기본 Domain Admins는 글로벌 그룹이므로 이를 4732로 단정하지 않습니다. 대상 그룹과 구성원의 SID, 변경 주체, 해당 DC와 승인된 변경 기록을 대조합니다.
단일 신호로 침해를 확정하지 않습니다
4672는 새 로그온에 민감 권한이 부여됐다는 기록입니다. Privileges와 Logon ID를 확인하되 권한을 실제 사용하거나 악용했다는 뜻으로 읽지 않습니다. 계정과 호스트·시각을 맞추고 승인된 관리 작업과 비교합니다.
4769의 Ticket Encryption Type에서 0x17은 RC4-HMAC입니다. 지원 암호화 bitmask와 이 값을 혼동하지 않습니다. 레거시 호환 설정으로도 나타날 수 있지만 안전하다는 의미는 아니며, 서비스·계정·요청 패턴을 조사합니다. RC4 한 건만으로 Kerberoasting을 확정하지 않습니다.
1102는 Security 감사 로그 삭제 사실을 나타냅니다. Microsoft는 이를 감시하고 이유를 조사하라고 권고합니다. 삭제 주체와 유지보수 기록, 다른 호스트와 원격 보존본을 대조하되 삭제만으로 공격자를 확정하지 않습니다.
두 자료를 한 조사 노트로 묶었습니다
Okan YILDIZ의 두 이벤트 소개 글에서 공통 주제를 하나로 묶었습니다. 원문 쿼리 전문·원시 로그·21분 사건 주장을 독립 검증하지 않았으므로 재게시하거나 탐지 성능으로 제시하지 않습니다. 전달받은 화면 24장의 검토 기록은 이 글에서 이미지를 직접 확인한 결과가 아닙니다. 공식 정의 확인일은 2026년 10월 27일입니다.