01Olaydaki alanlar
- SubjectUserSid
- SubjectUserName
- SubjectDomainName
- SubjectLogonId
- PreviousTime
- NewTime
- ProcessId
- ProcessName
02Çözümlü örnek
Sistem saati değişikliğine ait sentetik bir alıntıdır; yalnızca alanların nasıl okunduğunu göstermek için verilmiştir.
| Alan | Değer |
|---|---|
| SubjectUserSid | S-1-5-21-1111111111-2222222222-3333333333-1131 |
| SubjectUserName | s.yildiz |
| SubjectDomainName | CORP |
| SubjectLogonId | 0x9b3e2 |
| PreviousTime | 2026-03-14T09:41:07.1204511Z |
| NewTime | 2026-03-14T06:41:07.0000000Z |
| ProcessId | 0x1a30 |
| ProcessName | C:\Windows\System32\cmd.exe |
- PreviousTime ve NewTime ikisi de UTC'dir. Burada NewTime, PreviousTime'dan saniyenin kesri kadar bir farkla üç saat öncedir; yani s.yildiz hesabı saati 09:41 UTC'de üç saat geri almıştır.
- Subject, LOCAL SERVICE değil adı belli bir hesaptır ve ProcessName svchost.exe değildir. Microsoft'un izleme önerisi ikisini de raporlanacak değişiklikler arasında sayar; çünkü bunlar Windows Time hizmetinden gelmemiştir. Olay saatin neden değiştirildiğini söylemez.
- Bu bilgisayarın değişiklikten önce yazılmış kayıtları eski saati, sonra yazılmış kayıtları yeni saati taşır; sıçrama NewTime eksi PreviousTime kadardır, burada yaklaşık eksi üç saat. Olay hangi tarafın gerçek saatle uyuştuğunu söylemez; iki kayıt kümesini tek zaman çizelgesine koymadan önce dış bir kaynakla doğrulayın.
- SubjectLogonId (0x9b3e2) değişikliği yapan oturumun anahtarıdır: aynı bilgisayarda, bir sonraki yeniden başlatmadan önce 4624 olayında aynı değerde bir TargetLogonId arayın. ProcessId (0x1a30) onaltılık bir değerdir ve bir 4688 olayındaki New Process ID ile eşleştirilebilir.
03Nasıl kullanılır
Saati kimin ve hangi işlemle değiştirdiğine bakın: SubjectUserName ve ProcessName bunu gösterir, SubjectLogonId değişikliği oturumu açan 4624 kaydına bağlar. Microsoft'un izleme önerisi, Subject değeri LOCAL SERVICE olmayan ve işlemi svchost.exe olmayan her değişikliğin raporlanmasıdır; çünkü bu değişiklikler Windows Time hizmetinden gelmemiştir. Çalışma yöntemi olarak, saatin o anda NewTime ile PreviousTime arasındaki fark kadar sıçradığını not edin ve bu bilgisayarın değişiklikten önceki ve sonraki kayıtlarını bu farkı akılda tutarak okuyun.
04Olağan nedenler
Microsoft, Subject alanı LOCAL SERVICE olan kayıtları olağan saat düzeltmeleri olarak tanımlar; Subject değeri LOCAL SERVICE olmayan ya da işlemi svchost.exe olmayan bir değişikliğin Windows Time hizmetinden gelmediğini belirtir.
05Birlikte okunacak olaylar
- 4624 Bir hesapta başarılı oturum açıldıMicrosoft, Logon ID değerinin oturum açma olayıyla eşleştirilebileceğini belirtir; böylece saati değiştiren hesabın nasıl oturum açtığı görülür.
- 4688 Yeni bir işlem oluşturulduMicrosoft, saati değiştiren işlemin Process ID değerinin, işlem oluşturma olayındaki New Process ID değeriyle eşleştirilebileceğini belirtir. İşlem kimlikleri yeniden kullanıldığından zamanı da eşleştirin.
06Uyarılar
Olay, Audit Security State Change ayarından bağımsız olarak her zaman kaydedilir. Saatin değiştiğini, değişikliği hangi hesabın ve hangi işlemin yaptığını gösterir; nedenini göstermez. ProcessId ve ProcessName alanları yalnızca olay sürümü 1'de (Windows Server 2008 R2 ve Windows 7) bulunur; sürüm 0'da yoktur.
08Kaynaklar
- Microsoft Learn — 4616(S) The system time was changed erişim 2026-10-23