01Konum
- SYSTEM hive: ControlSet00n\Services\<name>
- SYSTEM hive: ControlSet00n\Services\<name>\Parameters (e.g. ServiceDll)
02Yanıtladığı sorular
- Hangi hizmetler ve sürücüler başlamak üzere yapılandırılmış, hangi ikili veya DLL'lerden?
- Bir hizmet hangi hesap altında çalışıyor?
- Yakın zamanda bir hizmet kuruldu veya değiştirildi mi (anahtar zamanı, 4697 olayı)?
- Güvenlikle ilgili hizmetler devre dışı bırakıldı mı (Start = 4)?
03Biçim ve sürümler
| Biçim | Her sürücü veya hizmet için ImagePath (REG_SZ), Start (REG_DWORD 0 Boot, 1 System, 2 Automatic, 3 On demand, 4 Disabled), Type (0x1 çekirdek sürücüsü, 0x2 dosya sistemi sürücüsü, 0x10 kendi işlemi, 0x20 paylaşılan işlem), ErrorControl, ObjectName, DisplayName ve Description değerli kayıt defteri anahtarı. |
|---|---|
| Geçerli olduğu sürümler | Tüm Windows NT tabanlı sistemler; 4697 olayı Windows 10 ve Windows Server 2016 ve sonrası için belgelenmiştir. |
04Temel alanlar
| Alan | Ne anlatır |
|---|---|
| ImagePath | Hizmet veya sürücü görüntüsünün yolu ve dosya adı. |
| Start | Başlangıç türü; Hizmetler konsolunda 'Startup Type' olarak gösterilir. |
| Type | Sürücü veya hizmet türü. |
| ObjectName | Hizmetlerde oturum açma hesabı; sürücülerde sürücü nesne adı. |
| Parameters\ServiceDll | Paylaşılan hizmet işleminin barındırdığı DLL'in REG_EXPAND_SZ yolu. |
| ErrorControl / DependOnService | Hata işleme ve bağımlılıklar. |
05Zaman damgaları
| Alan | Kodlama | Not |
|---|---|---|
| Service key last written time | FILETIME (UTC) | Anahtardaki son değişikliği yansıtır; bu, kurulum yerine bir güncelleme olabilir. |
Ham değerleri Zaman damgası çözücü, yerel saatleri ise Yerel saatten UTC'ye ile çözün.
06İnceleme akışı
- Her denetim kümesindeki Services anahtarını ayrıştırın ve aynı Windows derlemesinin temel çizgisiyle karşılaştırın.
- ImagePath ve ServiceDll konumlarını, başlangıç türlerini ve hesapları anormallikler açısından inceleyin.
- Devre dışı güvenlik hizmetlerini ve olağan dışı Type veya ErrorControl birleşimlerini arayın.
- Kurulum ve çalıştırma kanıtı için 4697 olayı, Amcache ve Prefetch ile ilişkilendirin.
07Yorum tuzakları
- Yapılandırılmış bir hizmet, çalıştığının kanıtı değildir.
- 4697 olayı 'Audit Security System Extension' alt kategorisini gerektirir ve kaydedilen hesap yalnızca kurulum anındaki yapılandırmayı yansıtır.
- Kötü amaçlı yazılım yeni hizmet oluşturmak yerine mevcut hizmetleri değiştirebilir (ör. Start, ErrorControl, Type).
09Kaynaklar
- Services and drivers libyal / winreg-kb · erişim 2026-10-14
- HKLM\SYSTEM\CurrentControlSet\Services Registry Tree Microsoft Learn · erişim 2026-10-14
- 4697(S): A service was installed in the system. Microsoft Learn · erişim 2026-10-14
- Services and drivers ForensicArtifacts / artifacts-kb · erişim 2026-10-14
- RECmd batch file Kroll_Batch.reb (key descriptions) Eric Zimmerman / Kroll (GitHub) · erişim 2026-10-14