Details zum Ereignis mit ID 4870 der Quelle Microsoft-Windows-Security-Auditing

Ereignisquelle:Microsoft-Windows-Security-Auditing
Ereignis-ID:4870 (0x1306)
Ereignisprotokoll:Security
Ereignistyp:Information
Ereignistext (englisch):Certificate Services revoked a certificate. Serial Number: %1 Reason: %2
Ereignistext (deutsch):Die Zertifikatdienste haben ein Zertifikat gesperrt. Seriennummer: %1 Ursache: %2

Parameter

Die im Ereignistext enthaltenen Parameter werden mit folgenden Feldern befüllt:

  • %1: CertificateSerialNumber (win:UnicodeString)
  • %2: RevocationReason (win:UnicodeString)
  • %3: SubjectUserSid (win:SID)
  • %4: SubjectUserName (win:UnicodeString)
  • %5: SubjectDomainName (win:UnicodeString)
  • %6: SubjectLogonId (win:HexInt64)

Im Gegensatz zu betrieblichen Ereignissen, die oft unter dem Begriff "Monitoring" verstanden werden, handelt es sich bei der Auditierung für die Zertifizierungsstelle um die Konfiguration der Protokollierung von sicherheitsrelevanten Ereignissen.

Beispiel-Ereignisse

Certificate Services revoked a certificate.
Serial Number: 730000005b712608f19c99f66700000000005b
Reason: 6
Certificate Services revoked a certificate.
Serial Number: 730000005b712608f19c99f66700000000005b
Reason: -1

Beschreibung

Die im Ereignis enthaltenen Grundcodes bedeuten:

CodeBezeichnungBeschreibung
0UnspecifiedDies ist die Standardeinstellung und gibt an, dass es keinen speziellen Grund für den Widerruf gibt.
1Key CompromiseDer private Schlüssel eines Zertifikats wurde entwendet oder anderweitig unbefugten Dritten bekannt.
2CA CompromiseDer private Schlüssel der Zertifizierungsstelle wurde entwendet oder anderweitig unbefugten Dritten bekannt.
3Affiliation ChangedWenn sich der Inhalt des Zertifikats (z.B. der Name des Benutzers) geändert hat, muss ein neues Zertifikat ausgestellt werden.
4SupersededDas widerrufene Zertifikat wurde durch ein neues Zertifikat ersetzt.
5Cessation of OperationDer Betrieb des zum Zertifikate gehörenden Dienstes wurde eingestellt, etwa weil es einen neuen Dienst unter anderem Namen gibt.
6Certificate HoldDas Zertifikat wird vorübergebend widerrufen. Dieser Sperrungstyp ist der einzige, bei dem die Sperrung nachträglich wieder rückgängig gemacht werden kann.
8Remove from CRLWurde ein Zertifikat mit Grund "Certificate Hold" widerrufen und werden Deltasperrlisten verwendet, wird das entsperrte Zertifikat mit diesem Code in der Deltasperrliste geführt bis der Eintrag in der Haupt-Sperrliste entfällt.
-1UnrevokeWurde ein Zertifikat mit Grund "Certificate Hold" widerrufen, kann mit diesem Code eine Entsperrung per Kommandozeile erfolgen. Ebenso wird im Audit-Ereignis 4870 die Rückgängigmachung einer Zertifikatsperrung mit diesem Code kenntlich gemacht.

Hierzu wurde noch keine Beschreibung verfasst.

Sicherheitsbewertung

Die Sicherheitsbetrachtung richtet sich nach den drei Dimensionen Vertraulichkeit (Confidentiality), Integrität (Integrity) und Verfügbarkeit (Availability).

Hierzu wurde noch keine Beschreibung verfasst.

Bewertung durch Microsoft

Microsoft bewertet dieses Ereignis im Securing Public Key Infrastructure (PKI) Whitepaper mit einem Schweregrad von "Niedrig".

Weiterführende Links:

Externe Quellen

de_DEDeutsch