Идентификатор на събитие 4656: Беше поискан манипулатор на обект [Коригиране]

Появява се, когато се поиска манипулатор към обект

Идентификатор на събитие 4656 е събитие на Windows, което се случва, когато потребителят има достъп до файл, папка или системен регистър чрез услугата Microsoft-Windows-Security-Auditing.

В това изчерпателно ръководство ще се задълбочим в основните подробности за идентификатора на събитието 4656, защо възниква и действията, които трябва да предприемете, когато идентификаторът на събитието бъде регистриран.

Какво е събитие ID 4656?

Идентификатор на събитие 4656 е информационно събитие, което показва, че е поискан специфичен достъп за даден обект. Обектът може да варира от файлова система, ядро ​​или регистърен обект до обект на файлова система, разположен на външно хранилище или сменяемо устройство.

В случай, че заявката за достъп до обекта на заявката бъде отхвърлена, се генерира събитие за неуспех.

Идентификаторът на събитието 4656 се генерира само ако списъкът за контрол на достъпа до системата (SACL) на искания обект има необходимите записи за контрол на достъпа (ACE) за управление на използването на конкретни права за достъп.

Това събитие информира, че е поискан достъп до обект и резултатите от заявката са регистрирани. Събитието обаче не дава подробности за извършената операция.

Някои от основните описания на полето на събитие с идентификатор 4656 са както следва:

• Име на акаунта – Името на акаунта, който е поискал манипулатор за обект.
• Тип обект – Типът обект, достъпен по време на операцията.
• Име на обект – Име или идентификатор за обект, за който е поискан достъп. Пример – файл, път
• Име на процеса – Пътят на адреса и името на изпълнимия файл, изискващ обекта.
• Достъпи – Списъкът на правата за достъп, поискани от обекта.

Какво причинява събитието id 4656?

Идентификаторът на събитието 4656 помага да се наблюдават няколко събития, които се изпълняват на вашия компютър с Windows. Някои от тях са:

• Проверете дали неоторизираните или ограничените процеси изискват обекти.
• Опити за достъп до чувствителни или важни обекти.
• Действия на конкретен акаунт с висок приоритет.
• Установете аномалиите и злонамерените действия на подозрителните акаунти.
• Проверете дали неактивните, външните и ограничените акаунти не се използват.
• Уверете се, че само оторизираните акаунти могат да изпълняват някои действия или да искат достъп.
• Можете също така да конфигурирате идентификатора на събитието, за да наложите конвенции и съответствие.

След като вече имате ясна представа за идентификатора на събитието 4656, нека да видим какъв трябва да бъде вашият курс на действие, когато идентификаторът на събитието се влиза многократно в програмата за преглед на събития.

Какво да направя, ако срещна Event Id 4656?

1. Проверете подробностите за събитието 

1. Натисни Windows ключ, вид Преглед на събития в лентата за търсене отгоре и щракнете върху Отворете опция в десния раздел с резултати.
2. Кликнете Регистри на Windows в левия панел, за да видите свързаните настройки и щракнете Сигурност.
3. Списъкът с всички регистрационни файлове за събития ще се появи в дясната секция, превъртете надолу и намерете идентификатор на събитие 4656 в списъка и го изберете.
4. Навигирайте до Общ в долната част и прегледайте промяната в защитата и манипулаторите на заявката за файла или папката.

Ако искането е легитимно, не е необходимо да предприемате никакви действия. Ако обаче изглежда, че заявката идва от подозрителен източник, преминете към следващото решение.

Прочетете повече по тази тема

• Facebook не работи на Chrome? 7 начина бързо да го поправите
• IPTV не работи на AT&T: 4 начина за бързо отстраняване
• Поправка: Това действие не може да бъде извършено Грешка в Office
• Не можете да щракнете върху видеоклипове в YouTube? Ето какво можете да направите

2. Променете местната политика за сигурност 

1. Използвай Windows + Р пряк път за стартиране на Бягай диалогов прозорец, въведете следната команда в текстовото поле и натиснете Въведете ключ. secpol.msc
2. Кликнете Настройки на сигурността в лявата странична лента, за да разгънете дървото на конзолата и да изберете Конфигурация на разширена политика за одит.
3. След това разширете Политики за одит на системата възел и изберете Достъп до обекти опция.
4. Кликнете два пъти Манипулиране на манипулация на одит в десния раздел и прегледайте настройките за проверка.
5. Ако настройките за проверка са зададени като Конфигуриран, променете го на Не е конфигуриран.
6. Натисни Приложи бутон за запазване на промените.

Преконфигурирането на разширената политика за одит с помощта на редактора на локална политика за сигурност трябва да помогне за коригирането на събитие с идентификатор 4656, ако те са влезли ненужно.

3. Използвайте редактора на групови правила 

1. Използвай Windows + Р пряк път за стартиране на диалоговия прозорец и въведете следната команда и щракнете върху бутона OK, за да я изпълните. rsop.msc
2. Разширете Компютърна конфигурация конзола в левия панел и щракнете върху Настройки на Windows възел.
3. След това щракнете, за да разширите Настройки на сигурността следван от Местни правила и тогава Аудио политика от лявата странична лента.
4. Отбележете Изходен обект на групови правила на Одит на достъп до обект, главната настройка за манипулиране на манипулация на одит.
5. Изпълнете следната команда в Бягай прозорец чрез натискане на Въведете ключ. Gpmc.msc
6. Навигирайте до Изходен обект на групови правила сте отбелязали преди това и след това потърсете Манипулиране на манипулация на одит.
7. Кликнете с десния бутон Манипулиране на манипулация на одит и изберете редактиране от контекстното меню.
8. Задайте настройката на хора с увреждания и натиснете Добре бутон за запазване на промените.

Ще трябва да промените конкретния обект на групова политика, ако настройката е наследена от всеки друг GPO към локална политика за сигурност.

Това е всичко за това ръководство за разрешаване на събитие с идентификатор 4656, ако го срещате често. Трябва обаче да знаете, че решението може да се промени в зависимост от конкретния сценарий, когато идентификаторът на събитието 4656 се появи в инструмента за преглед на събития.

Обърнете се към това ръководство за подробно разбиране на Преглед на събития и как можете да го използвате, за да наблюдавате всички събития.

Свържете се с нас в секцията за коментари, ако искате да споделите ценна информация и обратна връзка.