什麼會導致一次這麼多 EventID 4656 PlugPlayManager 安全審核失敗？

June 17, 2016

我發現我們的一台 Server 2008 R2 伺服器（僅執行 SQL 2008 R2）在同一分鐘內記錄了 141 個 PlugPlayManager 安全審計失敗。在Google搜尋時，我只能找到其他人，問同樣的問題卻從未得到答案。但是，他們並沒有在 ServerFault 上問他們的問題……

例子

&lt;Event xmlns="http://schemas.microsoft.com/win/2004/08/events/event"&gt;
   &lt;System&gt;
       &lt;Provider Name="Microsoft-Windows-Security-Auditing" Guid="{54849625-5478-4994-A5BA-3E3B0328C30D}" /&gt; 
       &lt;EventID&gt;4656&lt;/EventID&gt; 
       &lt;Version&gt;1&lt;/Version&gt; 
       &lt;Level&gt;0&lt;/Level&gt; 
       &lt;Task&gt;12804&lt;/Task&gt; 
       &lt;Opcode&gt;0&lt;/Opcode&gt; 
       &lt;Keywords&gt;0x8010000000000000&lt;/Keywords&gt; 
       &lt;TimeCreated SystemTime="2012-10-25T15:16:38.739237000Z" /&gt; 
       &lt;EventRecordID&gt;98756968&lt;/EventRecordID&gt; 
       &lt;Correlation /&gt; 
       &lt;Execution ProcessID="544" ThreadID="552" /&gt; 
       &lt;Channel&gt;Security&lt;/Channel&gt; 
       &lt;Computer&gt;MyComputer.example.com/Computer&gt; 
       &lt;Security /&gt; 
   &lt;/System&gt;
   &lt;EventData&gt;
       &lt;Data Name="SubjectUserSid"&gt;S-1-5-21-##########-##########-#########-####&lt;/Data&gt; 
       &lt;Data Name="SubjectUserName"&gt;MyUser&lt;/Data&gt; 
       &lt;Data Name="SubjectDomainName"&gt;example.com&lt;/Data&gt; 
       &lt;Data Name="SubjectLogonId"&gt;0x#######&lt;/Data&gt; 
       &lt;Data Name="ObjectServer"&gt;PlugPlayManager&lt;/Data&gt; 
       &lt;Data Name="ObjectType"&gt;Security&lt;/Data&gt; 
       &lt;Data Name="ObjectName"&gt;PlugPlaySecurityObject&lt;/Data&gt; 
       &lt;Data Name="HandleId"&gt;0x0&lt;/Data&gt; 
       &lt;Data Name="TransactionId"&gt;{00000000-0000-0000-0000-000000000000}&lt;/Data&gt; 
       &lt;Data Name="AccessList"&gt;%%1553&lt;/Data&gt; 
       &lt;Data Name="AccessReason"&gt;-&lt;/Data&gt; 
       &lt;Data Name="AccessMask"&gt;0x2&lt;/Data&gt; 
       &lt;Data Name="PrivilegeList"&gt;-&lt;/Data&gt; 
       &lt;Data Name="RestrictedSidCount"&gt;0&lt;/Data&gt; 
       &lt;Data Name="ProcessId"&gt;0x28c&lt;/Data&gt; 
       &lt;Data Name="ProcessName"&gt;C:\Windows\System32\svchost.exe&lt;/Data&gt; 
   &lt;/EventData&gt;
&lt;/Event&gt;

如果有幫助，程序#544 是 lsass.exe，執行緒#552 在程序資源管理器中顯示了“ntdll.dll！RtUserThreadStart”的起始地址。

你可以參考這個部落格http://morgantechspace.blogspot.in/2013/08/event-id-4656-repeated-security-event.html
可能的解決方案：
如果使用命令行工具 Auditpol 為句柄操作啟用了成功或失敗審核，則應發生事件 4656。
子類別：搖桿操作
如果啟用了句柄操作，您將獲得以下三個事件 ID
4656 請求了對象的句柄。
4658 對象的句柄已關閉。
4690 試圖複製一個對象的句柄。
如果您想擺脫這些對象訪問事件 4656，那麼您需要執行以下命令：
Auditpol /set /subcategory:"Handle Manipulation" /Failure:disable

引用自：https://serverfault.com/questions/442367

什麼會導致一次這麼多 EventID 4656 PlugPlayManager 安全審核失敗？

相關問答

wevtutil 沒有管理員權限

顯示大量防火牆規則更改警報的 Windows 安全事件日誌

windows事件日誌轉發權限

在 Windows Server 2008 R2 中重新定位事件日誌

根據“包含 {text}”規則為 Windows 日誌創建自定義視圖

如何在 Windows 事件日誌中註冊 Ansible 操作？