4663은 감사 대상 객체에 특정 권한을 사용한 기록이며 객체 SACL에 필요한 ACE가 있어야 남을 수 있습니다. 4688은 새 프로세스 생성 기록입니다. 호스트·시간·PID·객체 경로를 함께 비교하면 파일 접근과 프로세스 사이의 단서를 좁힐 수 있습니다.
두 이벤트가 가까운 시각에 있다는 사실만으로 악성 행위가 증명되지는 않습니다. 감사 정책·SACL·수집 상태를 확인하고 승인된 작업과 자동화의 가능성도 검토해야 합니다.
4663은 객체 권한 사용, 4688은 새 프로세스 기록입니다
Microsoft의 4663 이벤트 설명은 객체에 대해 특정 권한이 사용된 경우를 다룹니다. 파일 시스템 객체의 경우 기록에는 객체 이름과 액세스 마스크 등이 포함될 수 있지만, 객체에 필요한 감사 ACE가 SACL에 설정되어 있어야 이벤트가 생성됩니다. 4663은 거부된 접근을 나타내는 실패 이벤트가 아니므로, 접근 거부 여부를 찾을 때는 별도 감사 이벤트와 정책을 확인합니다. 따라서 4663이 없다는 사실만으로 파일이 변경되지 않았다고 결론 내릴 수 없습니다. 대상 경로와 요청된 권한이 감사 대상이었는지 먼저 확인해야 합니다.
4688은 새 프로세스가 만들어질 때 생성되는 이벤트입니다. Microsoft 문서에는 새 프로세스 ID와 생성 프로세스 ID 같은 필드가 설명돼 있습니다. 프로세스 생성 기록과 객체 접근 이벤트가 같은 호스트·시간대에 있으면 후보 관계를 살펴볼 수 있지만, 각각의 PID와 시간은 재사용·지연될 수 있습니다. 이벤트 버전과 원본 XML을 함께 확인하고 다른 텔레메트리 없이 원인을 확정하지 않습니다.
파일 쓰기와 프로세스 생성의 연결 강도를 가릅니다
| 기록 | 가상 관측값 | 판단할 점 |
|---|---|---|
| 4688 | host=WS-03, 14:10:04, 새 PID=0x2BC, 생성 PID=0x118, 이미지=UpdaterDemo.exe | 프로세스가 생성된 기록. 실행 파일 이름만으로 정상·악성을 판정하지 않음 |
| 4663 | host=WS-03, 14:10:05, PID=0x2BC, ObjectName=C:\Lab\sample.ini, AccessMask=0x2 | 같은 PID가 해당 객체 권한을 사용한 이벤트. 원본 이벤트의 접근 권한 의미를 확인 |
| 보완 기록 | 배포 작업 티켓=CHG-204, 실행 주체=관리 배포 서비스, 승인 시간=14:00–14:30 | 변경 승인 맥락과 대상 파일·프로세스가 일치하는지 확인 |
| 감사 범위 | 해당 폴더에 읽기·쓰기 ACE 설정 확인, 하위 폴더 상속은 미확인 | 관측되지 않은 하위 경로의 변경을 배제할 수 없음 |
AccessMask 값은 이벤트의 객체 종류와 문서화된 권한 매핑을 확인해 해석해야 합니다. 이 예시에서 0x2를 무조건 모든 파일 변경과 동일시하지 마십시오. 파일 객체에서 어떤 권한이 감사됐는지 원본 이벤트의 Accesses 필드와 운영체제 문서를 대조하고, 실제 쓰기·삭제 여부는 별도의 파일 무결성·백업·응용 프로그램 기록으로 확인합니다. 승인 티켓이 존재해도 경로와 실행 주체가 맞지 않으면 검토가 끝난 것은 아닙니다.
호스트부터 감사 범위까지 차례대로 검증합니다
- 원본 이벤트의 호스트, 시각, 이벤트 버전과 수집 시각을 따로 기록하고 시간대를 맞춥니다.
- 4663에서 객체 경로, 접근한 계정, Accesses·AccessMask를 보고 그 객체에 필요한 SACL ACE가 있었는지 확인합니다.
- 4688에서 새 PID, 생성 PID, 이미지 경로와 계정을 확인하고 관련 프로세스 계보를 대조합니다.
- PID 숫자만으로 연결하지 말고 호스트·시각 범위·계정·실행 경로를 함께 맞춥니다. 재부팅 또는 장시간 지연도 고려합니다.
- 파일 무결성, 백업, 배포 시스템, EDR 등 독립 자료로 실제 결과와 승인 맥락을 확인합니다.
- 감사 정책·SACL·수집 누락을 확인하기 전에는 이벤트 부재를 ‘변경 없음’으로 보고하지 않습니다.
활동량만으로 의심도를 정하지 않습니다
정상 업데이트나 백업도 파일을 많이 읽고 쓸 수 있고, 특정 프로세스 이름은 쉽게 바뀔 수 있습니다. 반대로 4663이 없는 것은 SACL 설정 범위 밖이었거나 보존·전달 과정에서 누락됐다는 뜻일 수 있습니다. 파일의 중요도, 변경 결과, 승인 정보, 실행 주체를 함께 평가하고, 확인한 사실과 가능성은 문장에서도 나눕니다. 이 학습 예시는 감사 설정을 변경하거나 실제 프로세스를 실행하지 않습니다.
복습: 4663이 보이지 않으면 변경이 없었나요?
문제: 4688에서 편집기 프로세스가 생성된 것은 보이지만 해당 파일의 4663은 없습니다. 관리자는 파일이 바뀌지 않았다고 보고해도 될까요?
정답: 아닙니다. 파일 객체의 SACL에 필요한 감사 ACE가 있었는지, 감사 정책과 수집·보존 상태가 유효했는지 먼저 확인해야 합니다. 별도 무결성 자료가 없으면 변경 여부는 미확정입니다.
정답을 가리고 확인해 보세요
이 글을 위해 만든 학습 예시이며 공식 기출문제나 판매 카드의 인용이 아닙니다.
가상 호스트 WS-03에서 4688 새 PID 0x2BC가 생긴 뒤 1초 후 같은 PID의 4663이 기록되고 객체 경로는 C:\Lab\sample.ini입니다. 이 연결을 뒷받침하는 단서 두 개와 추가 확인 한 가지를 쓰세요.
정답과 해설 확인
같은 호스트·근접 시각과 4688 새 PID/4663 PID의 일치가 연결 단서입니다. SACL 감사 범위와 권한 의미를 확인하고 파일 무결성·승인 기록 등으로 실제 결과를 보완합니다.시간·PID 일치는 조사 범위를 좁히지만 목적이나 실제 변경 결과를 단독으로 증명하지 않습니다. 4663의 생성 조건과 감사 범위를 함께 확인해야 합니다.