Problem with valid hit logs from sysmon.

[piolug93]

I have example DSL query same type what used in elasticalert. That query doesn't hit example row what i have in index. That problem with query affecting rules from elasticalert beacause rules doesn't valid hits, path in logs. Do you have ideas where start with debugging that problem ?

GET /so-ossec-2023.03.13/_search
{
  "query": {
    "query_string": {
      "query": "winlog.event_data.ProcessName: C\\:\\\\Windows\\\\*"
    }
  }
}

{
  "_index": "securityonion-manager:so-ossec-2023.03.13",
  "_id": "8pOg3IYBGkWKwlFjMTIF",
  "_version": 1,
  "_score": 0,
  "_source": {
    "metadata": {
      "pipeline": "ossec",
      "beat": "filebeat",
      "ip_address": "10.1.30.6",
      "type": "_doc",
      "version": "8.4.3"
    },
    "agent": {
      "ip": "10.1.40.2",
      "name": "WIN-SRV-2012",
      "id": "012"
    },
    "winlog": {
      "keywords": "0x8020000000000000",
      "providerGuid": "{54849625-5478-4994-A5BA-3E3B0328C30D}",
      "level": "0",
      "channel": "Security",
      "event_data": {
        "TargetLogonGuid": "{A93EB4A5-0345-F8F5-E696-07F8C576382A}",
        "TargetInfo": "win-srv-2012$",
        "ProcessName": "C:\\\\Windows\\\\System32\\\\taskhost.exe",
        "LogonGuid": "{00000000-0000-0000-0000-000000000000}",
        "TargetServerName": "win-srv-2012$",
        "SubjectDomainName": "BANK",
        "SubjectLogonId": "0x3e7",
        "TargetUserName": "WIN-SRV-2012$",
        "ProcessId": "0x8d0",
        "TargetDomainName": "BANK.AD.PKOBP.PL",
        "SubjectUserSid": "S-1-5-18"
      },
      "opcode": "0",
      "message": "\"Podjęto próbę logowania przy użyciu jawnych poświadczeń.\r\n\r\nPodmiot:\r\n\tIdentyfikator zabezpieczeń:\tS-1-5-18\r\n\tNazwa konta:\tWIN-SRV-2012$\r\n\tDomena konta:\tBANK\r\n\tIdentyfikator logowania:\t0x3E7\r\n\tIdentyfikator GUID logowania:\t{00000000-0000-0000-0000-000000000000}\r\n\r\nKonto, którego poświadczenia zostały użyte:\r\n\tNazwa konta:\tWIN-SRV-2012$\r\n\tDomena konta:\tBANK.AD.PKOBP.PL\r\n\tIdentyfikator GUID logowania:\t{A93EB4A5-0345-F8F5-E696-07F8C576382A}\r\n\r\nSerwer docelowy:\r\n\tNazwa serwera docelowego:\twin-srv-2012$\r\n\tInformacje dodatkowe:\twin-srv-2012$\r\n\r\nInformacje o procesie:\r\n\tIdentyfikator procesu:\t0x8d0\r\n\tNazwa procesu:\tC:\\Windows\\System32\\taskhost.exe\r\n\r\nInformacje o sieci:\r\n\tAdres sieciowy:\t-\r\n\tPort:\t-\r\n\r\nTo zdarzenie jest generowane, gdy proces podejmie próbę zalogowania się na koncie, określając w sposób jawny poświadczenia konta. To zdarzenie najczęściej występuje w konfiguracjach wsadowych, takich jak zaplanowane zadania, lub podczas używania polecenia RUNAS.\"",
      "version": "0",
      "systemTime": "2023-03-13T19:58:06.528054900Z",
      "eventRecordID": "24290",
      "threadID": "2340",
      "computer": "WIN-SRV-2012.bank.ad.pkobp.pl",
      "task": "12544",
      "event_id": "4648",
      "processID": "868",
      "severityValue": "AUDIT_SUCCESS",
      "providerName": "Microsoft-Windows-Security-Auditing"
    },
    "manager": {
      "name": "so-forwardnode1-wazuh-manager"
    },
    "log": {
      "file": {
        "path": "/wazuh/archives/archives.json"
      },
      "offset": 150631895,
      "location": "EventChannel",
      "id": {
        "id": "1678738720.23821668"
      },
      "full": "{\"win\":{\"system\":{\"providerName\":\"Microsoft-Windows-Security-Auditing\",\"providerGuid\":\"{54849625-5478-4994-A5BA-3E3B0328C30D}\",\"eventID\":\"4648\",\"version\":\"0\",\"level\":\"0\",\"task\":\"12544\",\"opcode\":\"0\",\"keywords\":\"0x8020000000000000\",\"systemTime\":\"2023-03-13T19:58:06.528054900Z\",\"eventRecordID\":\"24290\",\"processID\":\"868\",\"threadID\":\"2340\",\"channel\":\"Security\",\"computer\":\"WIN-SRV-2012.bank.ad.pkobp.pl\",\"severityValue\":\"AUDIT_SUCCESS\",\"message\":\"\\\"Podjęto próbę logowania przy użyciu jawnych poświadczeń.\\r\\n\\r\\nPodmiot:\\r\\n\\tIdentyfikator zabezpieczeń:\\tS-1-5-18\\r\\n\\tNazwa konta:\\tWIN-SRV-2012$\\r\\n\\tDomena konta:\\tBANK\\r\\n\\tIdentyfikator logowania:\\t0x3E7\\r\\n\\tIdentyfikator GUID logowania:\\t{00000000-0000-0000-0000-000000000000}\\r\\n\\r\\nKonto, którego poświadczenia zostały użyte:\\r\\n\\tNazwa konta:\\tWIN-SRV-2012$\\r\\n\\tDomena konta:\\tBANK.AD.PKOBP.PL\\r\\n\\tIdentyfikator GUID logowania:\\t{A93EB4A5-0345-F8F5-E696-07F8C576382A}\\r\\n\\r\\nSerwer docelowy:\\r\\n\\tNazwa serwera docelowego:\\twin-srv-2012$\\r\\n\\tInformacje dodatkowe:\\twin-srv-2012$\\r\\n\\r\\nInformacje o procesie:\\r\\n\\tIdentyfikator procesu:\\t0x8d0\\r\\n\\tNazwa procesu:\\tC:\\\\Windows\\\\System32\\\\taskhost.exe\\r\\n\\r\\nInformacje o sieci:\\r\\n\\tAdres sieciowy:\\t-\\r\\n\\tPort:\\t-\\r\\n\\r\\nTo zdarzenie jest generowane, gdy proces podejmie próbę zalogowania się na koncie, określając w sposób jawny poświadczenia konta. To zdarzenie najczęściej występuje w konfiguracjach wsadowych, takich jak zaplanowane zadania, lub podczas używania polecenia RUNAS.\\\"\"},\"eventdata\":{\"subjectUserSid\":\"S-1-5-18\",\"subjectUserName\":\"WIN-SRV-2012$\",\"subjectDomainName\":\"BANK\",\"subjectLogonId\":\"0x3e7\",\"logonGuid\":\"{00000000-0000-0000-0000-000000000000}\",\"targetUserName\":\"WIN-SRV-2012$\",\"targetDomainName\":\"BANK.AD.PKOBP.PL\",\"targetLogonGuid\":\"{A93EB4A5-0345-F8F5-E696-07F8C576382A}\",\"targetServerName\":\"win-srv-2012$\",\"targetInfo\":\"win-srv-2012$\",\"processId\":\"0x8d0\",\"processName\":\"C:\\\\\\\\Windows\\\\\\\\System32\\\\\\\\taskhost.exe\"}}}"
    },
    "decoder": {},
    "message": "{\"timestamp\":\"2023-03-13T20:18:40.241+0000\",\"agent\":{\"id\":\"012\",\"name\":\"WIN-SRV-2012\",\"ip\":\"10.1.40.2\"},\"manager\":{\"name\":\"so-forwardnode1-wazuh-manager\"},\"id\":\"1678738720.23821668\",\"cluster\":{\"name\":\"wazuh\",\"node\":\"so-forwardnode1\"},\"full_log\":\"{\\\"win\\\":{\\\"system\\\":{\\\"providerName\\\":\\\"Microsoft-Windows-Security-Auditing\\\",\\\"providerGuid\\\":\\\"{54849625-5478-4994-A5BA-3E3B0328C30D}\\\",\\\"eventID\\\":\\\"4648\\\",\\\"version\\\":\\\"0\\\",\\\"level\\\":\\\"0\\\",\\\"task\\\":\\\"12544\\\",\\\"opcode\\\":\\\"0\\\",\\\"keywords\\\":\\\"0x8020000000000000\\\",\\\"systemTime\\\":\\\"2023-03-13T19:58:06.528054900Z\\\",\\\"eventRecordID\\\":\\\"24290\\\",\\\"processID\\\":\\\"868\\\",\\\"threadID\\\":\\\"2340\\\",\\\"channel\\\":\\\"Security\\\",\\\"computer\\\":\\\"WIN-SRV-2012.bank.ad.pkobp.pl\\\",\\\"severityValue\\\":\\\"AUDIT_SUCCESS\\\",\\\"message\\\":\\\"\\\\\\\"Podjęto próbę logowania przy użyciu jawnych poświadczeń.\\\\r\\\\n\\\\r\\\\nPodmiot:\\\\r\\\\n\\\\tIdentyfikator zabezpieczeń:\\\\tS-1-5-18\\\\r\\\\n\\\\tNazwa konta:\\\\tWIN-SRV-2012$\\\\r\\\\n\\\\tDomena konta:\\\\tBANK\\\\r\\\\n\\\\tIdentyfikator logowania:\\\\t0x3E7\\\\r\\\\n\\\\tIdentyfikator GUID logowania:\\\\t{00000000-0000-0000-0000-000000000000}\\\\r\\\\n\\\\r\\\\nKonto, którego poświadczenia zostały użyte:\\\\r\\\\n\\\\tNazwa konta:\\\\tWIN-SRV-2012$\\\\r\\\\n\\\\tDomena konta:\\\\tBANK.AD.PKOBP.PL\\\\r\\\\n\\\\tIdentyfikator GUID logowania:\\\\t{A93EB4A5-0345-F8F5-E696-07F8C576382A}\\\\r\\\\n\\\\r\\\\nSerwer docelowy:\\\\r\\\\n\\\\tNazwa serwera docelowego:\\\\twin-srv-2012$\\\\r\\\\n\\\\tInformacje dodatkowe:\\\\twin-srv-2012$\\\\r\\\\n\\\\r\\\\nInformacje o procesie:\\\\r\\\\n\\\\tIdentyfikator procesu:\\\\t0x8d0\\\\r\\\\n\\\\tNazwa procesu:\\\\tC:\\\\\\\\Windows\\\\\\\\System32\\\\\\\\taskhost.exe\\\\r\\\\n\\\\r\\\\nInformacje o sieci:\\\\r\\\\n\\\\tAdres sieciowy:\\\\t-\\\\r\\\\n\\\\tPort:\\\\t-\\\\r\\\\n\\\\r\\\\nTo zdarzenie jest generowane, gdy proces podejmie próbę zalogowania się na koncie, określając w sposób jawny poświadczenia konta. To zdarzenie najczęściej występuje w konfiguracjach wsadowych, takich jak zaplanowane zadania, lub podczas używania polecenia RUNAS.\\\\\\\"\\\"},\\\"eventdata\\\":{\\\"subjectUserSid\\\":\\\"S-1-5-18\\\",\\\"subjectUserName\\\":\\\"WIN-SRV-2012$\\\",\\\"subjectDomainName\\\":\\\"BANK\\\",\\\"subjectLogonId\\\":\\\"0x3e7\\\",\\\"logonGuid\\\":\\\"{00000000-0000-0000-0000-000000000000}\\\",\\\"targetUserName\\\":\\\"WIN-SRV-2012$\\\",\\\"targetDomainName\\\":\\\"BANK.AD.PKOBP.PL\\\",\\\"targetLogonGuid\\\":\\\"{A93EB4A5-0345-F8F5-E696-07F8C576382A}\\\",\\\"targetServerName\\\":\\\"win-srv-2012$\\\",\\\"targetInfo\\\":\\\"win-srv-2012$\\\",\\\"processId\\\":\\\"0x8d0\\\",\\\"processName\\\":\\\"C:\\\\\\\\\\\\\\\\Windows\\\\\\\\\\\\\\\\System32\\\\\\\\\\\\\\\\taskhost.exe\\\"}}}\",\"decoder\":{\"name\":\"windows_eventchannel\"},\"data\":{\"win\":{\"system\":{\"providerName\":\"Microsoft-Windows-Security-Auditing\",\"providerGuid\":\"{54849625-5478-4994-A5BA-3E3B0328C30D}\",\"eventID\":\"4648\",\"version\":\"0\",\"level\":\"0\",\"task\":\"12544\",\"opcode\":\"0\",\"keywords\":\"0x8020000000000000\",\"systemTime\":\"2023-03-13T19:58:06.528054900Z\",\"eventRecordID\":\"24290\",\"processID\":\"868\",\"threadID\":\"2340\",\"channel\":\"Security\",\"computer\":\"WIN-SRV-2012.bank.ad.pkobp.pl\",\"severityValue\":\"AUDIT_SUCCESS\",\"message\":\"\\\"Podjęto próbę logowania przy użyciu jawnych poświadczeń.\\r\\n\\r\\nPodmiot:\\r\\n\\tIdentyfikator zabezpieczeń:\\tS-1-5-18\\r\\n\\tNazwa konta:\\tWIN-SRV-2012$\\r\\n\\tDomena konta:\\tBANK\\r\\n\\tIdentyfikator logowania:\\t0x3E7\\r\\n\\tIdentyfikator GUID logowania:\\t{00000000-0000-0000-0000-000000000000}\\r\\n\\r\\nKonto, którego poświadczenia zostały użyte:\\r\\n\\tNazwa konta:\\tWIN-SRV-2012$\\r\\n\\tDomena konta:\\tBANK.AD.PKOBP.PL\\r\\n\\tIdentyfikator GUID logowania:\\t{A93EB4A5-0345-F8F5-E696-07F8C576382A}\\r\\n\\r\\nSerwer docelowy:\\r\\n\\tNazwa serwera docelowego:\\twin-srv-2012$\\r\\n\\tInformacje dodatkowe:\\twin-srv-2012$\\r\\n\\r\\nInformacje o procesie:\\r\\n\\tIdentyfikator procesu:\\t0x8d0\\r\\n\\tNazwa procesu:\\tC:\\\\Windows\\\\System32\\\\taskhost.exe\\r\\n\\r\\nInformacje o sieci:\\r\\n\\tAdres sieciowy:\\t-\\r\\n\\tPort:\\t-\\r\\n\\r\\nTo zdarzenie jest generowane, gdy proces podejmie próbę zalogowania się na koncie, określając w sposób jawny poświadczenia konta. To zdarzenie najczęściej występuje w konfiguracjach wsadowych, takich jak zaplanowane zadania, lub podczas używania polecenia RUNAS.\\\"\"},\"eventdata\":{\"subjectUserSid\":\"S-1-5-18\",\"subjectUserName\":\"WIN-SRV-2012$\",\"subjectDomainName\":\"BANK\",\"subjectLogonId\":\"0x3e7\",\"logonGuid\":\"{00000000-0000-0000-0000-000000000000}\",\"targetUserName\":\"WIN-SRV-2012$\",\"targetDomainName\":\"BANK.AD.PKOBP.PL\",\"targetLogonGuid\":\"{A93EB4A5-0345-F8F5-E696-07F8C576382A}\",\"targetServerName\":\"win-srv-2012$\",\"targetInfo\":\"win-srv-2012$\",\"processId\":\"0x8d0\",\"processName\":\"C:\\\\\\\\Windows\\\\\\\\System32\\\\\\\\taskhost.exe\"}}},\"location\":\"EventChannel\"}",
    "tags": [
      "beats_input_codec_plain_applied"
    ],
    "@timestamp": "2023-03-13T19:58:06.528Z",
    "ecs": {
      "version": "8.0.0"
    },
    "host": {
      "name": "so-forwardnode1"
    },
    "@version": "1",
    "wazuh": {
      "data": {
        "win": {}
      }
    },
    "event": {
      "ingested": "2023-03-13T20:18:45.533Z",
      "code": "4648",
      "module": "windows_eventlog",
      "category": "host",
      "dataset": "security",
      "timestamp": "2023-03-13T20:18:40.241+0000"
    },
    "user": {
      "name": "WIN-SRV-2012$"
    }
  },
  "fields": {
    "metadata.beat.keyword": [
      "filebeat"
    ],
    "event.category": [
      "host"
    ],
    "host.name.keyword": [
      "so-forwardnode1"
    ],
    "event.dataset.keyword": [
      "security"
    ],
    "winlog.keywords.security": [
      "0x8020000000000000"
    ],
    "winlog.level.security": [
      "0"
    ],
    "winlog.eventRecordID": [
      "24290"
    ],
    "message.security": [
      "{\"timestamp\":\"2023-03-13T20:18:40.241+0000\",\"agent\":{\"id\":\"012\",\"name\":\"WIN-SRV-2012\",\"ip\":\"10.1.40.2\"},\"manager\":{\"name\":\"so-forwardnode1-wazuh-manager\"},\"id\":\"1678738720.23821668\",\"cluster\":{\"name\":\"wazuh\",\"node\":\"so-forwardnode1\"},\"full_log\":\"{\\\"win\\\":{\\\"system\\\":{\\\"providerName\\\":\\\"Microsoft-Windows-Security-Auditing\\\",\\\"providerGuid\\\":\\\"{54849625-5478-4994-A5BA-3E3B0328C30D}\\\",\\\"eventID\\\":\\\"4648\\\",\\\"version\\\":\\\"0\\\",\\\"level\\\":\\\"0\\\",\\\"task\\\":\\\"12544\\\",\\\"opcode\\\":\\\"0\\\",\\\"keywords\\\":\\\"0x8020000000000000\\\",\\\"systemTime\\\":\\\"2023-03-13T19:58:06.528054900Z\\\",\\\"eventRecordID\\\":\\\"24290\\\",\\\"processID\\\":\\\"868\\\",\\\"threadID\\\":\\\"2340\\\",\\\"channel\\\":\\\"Security\\\",\\\"computer\\\":\\\"WIN-SRV-2012.bank.ad.pkobp.pl\\\",\\\"severityValue\\\":\\\"AUDIT_SUCCESS\\\",\\\"message\\\":\\\"\\\\\\\"Podjęto próbę logowania przy użyciu jawnych poświadczeń.\\\\r\\\\n\\\\r\\\\nPodmiot:\\\\r\\\\n\\\\tIdentyfikator zabezpieczeń:\\\\tS-1-5-18\\\\r\\\\n\\\\tNazwa konta:\\\\tWIN-SRV-2012$\\\\r\\\\n\\\\tDomena konta:\\\\tBANK\\\\r\\\\n\\\\tIdentyfikator logowania:\\\\t0x3E7\\\\r\\\\n\\\\tIdentyfikator GUID logowania:\\\\t{00000000-0000-0000-0000-000000000000}\\\\r\\\\n\\\\r\\\\nKonto, którego poświadczenia zostały użyte:\\\\r\\\\n\\\\tNazwa konta:\\\\tWIN-SRV-2012$\\\\r\\\\n\\\\tDomena konta:\\\\tBANK.AD.PKOBP.PL\\\\r\\\\n\\\\tIdentyfikator GUID logowania:\\\\t{A93EB4A5-0345-F8F5-E696-07F8C576382A}\\\\r\\\\n\\\\r\\\\nSerwer docelowy:\\\\r\\\\n\\\\tNazwa serwera docelowego:\\\\twin-srv-2012$\\\\r\\\\n\\\\tInformacje dodatkowe:\\\\twin-srv-2012$\\\\r\\\\n\\\\r\\\\nInformacje o procesie:\\\\r\\\\n\\\\tIdentyfikator procesu:\\\\t0x8d0\\\\r\\\\n\\\\tNazwa procesu:\\\\tC:\\\\\\\\Windows\\\\\\\\System32\\\\\\\\taskhost.exe\\\\r\\\\n\\\\r\\\\nInformacje o sieci:\\\\r\\\\n\\\\tAdres sieciowy:\\\\t-\\\\r\\\\n\\\\tPort:\\\\t-\\\\r\\\\n\\\\r\\\\nTo zdarzenie jest generowane, gdy proces podejmie próbę zalogowania się na koncie, określając w sposób jawny poświadczenia konta. To zdarzenie najczęściej występuje w konfiguracjach wsadowych, takich jak zaplanowane zadania, lub podczas używania polecenia RUNAS.\\\\\\\"\\\"},\\\"eventdata\\\":{\\\"subjectUserSid\\\":\\\"S-1-5-18\\\",\\\"subjectUserName\\\":\\\"WIN-SRV-2012$\\\",\\\"subjectDomainName\\\":\\\"BANK\\\",\\\"subjectLogonId\\\":\\\"0x3e7\\\",\\\"logonGuid\\\":\\\"{00000000-0000-0000-0000-000000000000}\\\",\\\"targetUserName\\\":\\\"WIN-SRV-2012$\\\",\\\"targetDomainName\\\":\\\"BANK.AD.PKOBP.PL\\\",\\\"targetLogonGuid\\\":\\\"{A93EB4A5-0345-F8F5-E696-07F8C576382A}\\\",\\\"targetServerName\\\":\\\"win-srv-2012$\\\",\\\"targetInfo\\\":\\\"win-srv-2012$\\\",\\\"processId\\\":\\\"0x8d0\\\",\\\"processName\\\":\\\"C:\\\\\\\\\\\\\\\\Windows\\\\\\\\\\\\\\\\System32\\\\\\\\\\\\\\\\taskhost.exe\\\"}}}\",\"decoder\":{\"name\":\"windows_eventchannel\"},\"data\":{\"win\":{\"system\":{\"providerName\":\"Microsoft-Windows-Security-Auditing\",\"providerGuid\":\"{54849625-5478-4994-A5BA-3E3B0328C30D}\",\"eventID\":\"4648\",\"version\":\"0\",\"level\":\"0\",\"task\":\"12544\",\"opcode\":\"0\",\"keywords\":\"0x8020000000000000\",\"systemTime\":\"2023-03-13T19:58:06.528054900Z\",\"eventRecordID\":\"24290\",\"processID\":\"868\",\"threadID\":\"2340\",\"channel\":\"Security\",\"computer\":\"WIN-SRV-2012.bank.ad.pkobp.pl\",\"severityValue\":\"AUDIT_SUCCESS\",\"message\":\"\\\"Podjęto próbę logowania przy użyciu jawnych poświadczeń.\\r\\n\\r\\nPodmiot:\\r\\n\\tIdentyfikator zabezpieczeń:\\tS-1-5-18\\r\\n\\tNazwa konta:\\tWIN-SRV-2012$\\r\\n\\tDomena konta:\\tBANK\\r\\n\\tIdentyfikator logowania:\\t0x3E7\\r\\n\\tIdentyfikator GUID logowania:\\t{00000000-0000-0000-0000-000000000000}\\r\\n\\r\\nKonto, którego poświadczenia zostały użyte:\\r\\n\\tNazwa konta:\\tWIN-SRV-2012$\\r\\n\\tDomena konta:\\tBANK.AD.PKOBP.PL\\r\\n\\tIdentyfikator GUID logowania:\\t{A93EB4A5-0345-F8F5-E696-07F8C576382A}\\r\\n\\r\\nSerwer docelowy:\\r\\n\\tNazwa serwera docelowego:\\twin-srv-2012$\\r\\n\\tInformacje dodatkowe:\\twin-srv-2012$\\r\\n\\r\\nInformacje o procesie:\\r\\n\\tIdentyfikator procesu:\\t0x8d0\\r\\n\\tNazwa procesu:\\tC:\\\\Windows\\\\System32\\\\taskhost.exe\\r\\n\\r\\nInformacje o sieci:\\r\\n\\tAdres sieciowy:\\t-\\r\\n\\tPort:\\t-\\r\\n\\r\\nTo zdarzenie jest generowane, gdy proces podejmie próbę zalogowania się na koncie, określając w sposób jawny poświadczenia konta. To zdarzenie najczęściej występuje w konfiguracjach wsadowych, takich jak zaplanowane zadania, lub podczas używania polecenia RUNAS.\\\"\"},\"eventdata\":{\"subjectUserSid\":\"S-1-5-18\",\"subjectUserName\":\"WIN-SRV-2012$\",\"subjectDomainName\":\"BANK\",\"subjectLogonId\":\"0x3e7\",\"logonGuid\":\"{00000000-0000-0000-0000-000000000000}\",\"targetUserName\":\"WIN-SRV-2012$\",\"targetDomainName\":\"BANK.AD.PKOBP.PL\",\"targetLogonGuid\":\"{A93EB4A5-0345-F8F5-E696-07F8C576382A}\",\"targetServerName\":\"win-srv-2012$\",\"targetInfo\":\"win-srv-2012$\",\"processId\":\"0x8d0\",\"processName\":\"C:\\\\\\\\Windows\\\\\\\\System32\\\\\\\\taskhost.exe\"}}},\"location\":\"EventChannel\"}"
    ],
    "agent.name.security": [
      "WIN-SRV-2012"
    ],
    "winlog.processID": [
      "868"
    ],
    "agent.name": [
      "WIN-SRV-2012"
    ],
    "winlog.providerGuid": [
      "{54849625-5478-4994-A5BA-3E3B0328C30D}"
    ],
    "winlog.providerName": [
      "Microsoft-Windows-Security-Auditing"
    ],
    "agent.ip": [
      "10.1.40.2"
    ],
    "winlog.computer.keyword": [
      "WIN-SRV-2012.bank.ad.pkobp.pl"
    ],
    "winlog.event_data.TargetDomainName.security": [
      "BANK.AD.PKOBP.PL"
    ],
    "winlog.event_data.TargetServerName": [
      "win-srv-2012$"
    ],
    "winlog.event_data.TargetLogonGuid": [
      "{A93EB4A5-0345-F8F5-E696-07F8C576382A}"
    ],
    "agent.id.keyword": [
      "012"
    ],
    "winlog.message.keyword": [
      "\"Podjęto próbę logowania przy użyciu jawnych poświadczeń.\r\n\r\nPodmiot:\r\n\tIdentyfikator zabezpieczeń:\tS-1-5-18\r\n\tNazwa konta:\tWIN-SRV-2012$\r\n\tDomena konta:\tBANK\r\n\tIdentyfikator logowania:\t0x3E7\r\n\tIdentyfikator GUID logowania:\t{00000000-0000-0000-0000-000000000000}\r\n\r\nKonto, którego poświadczenia zostały użyte:\r\n\tNazwa konta:\tWIN-SRV-2012$\r\n\tDomena konta:\tBANK.AD.PKOBP.PL\r\n\tIdentyfikator GUID logowania:\t{A93EB4A5-0345-F8F5-E696-07F8C576382A}\r\n\r\nSerwer docelowy:\r\n\tNazwa serwera docelowego:\twin-srv-2012$\r\n\tInformacje dodatkowe:\twin-srv-2012$\r\n\r\nInformacje o procesie:\r\n\tIdentyfikator procesu:\t0x8d0\r\n\tNazwa procesu:\tC:\\Windows\\System32\\taskhost.exe\r\n\r\nInformacje o sieci:\r\n\tAdres sieciowy:\t-\r\n\tPort:\t-\r\n\r\nTo zdarzenie jest generowane, gdy proces podejmie próbę zalogowania się na koncie, określając w sposób jawny poświadczenia konta. To zdarzenie najczęściej występuje w konfiguracjach wsadowych, takich jak zaplanowane zadania, lub podczas używania polecenia RUNAS.\""
    ],
    "metadata.type.security": [
      "_doc"
    ],
    "event.timestamp": [
      "2023-03-13T20:18:40.241+0000"
    ],
    "winlog.providerName.security": [
      "Microsoft-Windows-Security-Auditing"
    ],
    "metadata.type.keyword": [
      "_doc"
    ],
    "tags": [
      "beats_input_codec_plain_applied"
    ],
    "event.code": [
      "4648"
    ],
    "log.id.id": [
      "1678738720.23821668"
    ],
    "metadata.version.security": [
      "8.4.3"
    ],
    "agent.id": [
      "012"
    ],
    "winlog.systemTime": [
      "2023-03-13T19:58:06.528054900Z"
    ],
    "log.location.security": [
      "EventChannel"
    ],
    "winlog.event_data.LogonGuid": [
      "{00000000-0000-0000-0000-000000000000}"
    ],
    "winlog.event_data.TargetUserName.security": [
      "WIN-SRV-2012$"
    ],
    "winlog.event_data.SubjectUserSid": [
      "S-1-5-18"
    ],
    "winlog.severityValue.security": [
      "AUDIT_SUCCESS"
    ],
    "agent.ip.keyword": [
      "10.1.40.2"
    ],
    "tags.keyword": [
      "beats_input_codec_plain_applied"
    ],
    "user.name": [
      "WIN-SRV-2012$"
    ],
    "metadata.pipeline.security": [
      "ossec"
    ],
    "winlog.systemTime.security": [
      "2023-03-13T19:58:06.528054900Z"
    ],
    "event.category.security": [
      "host"
    ],
    "winlog.level": [
      "0"
    ],
    "winlog.processID.keyword": [
      "868"
    ],
    "log.full.security": [
      "{\"win\":{\"system\":{\"providerName\":\"Microsoft-Windows-Security-Auditing\",\"providerGuid\":\"{54849625-5478-4994-A5BA-3E3B0328C30D}\",\"eventID\":\"4648\",\"version\":\"0\",\"level\":\"0\",\"task\":\"12544\",\"opcode\":\"0\",\"keywords\":\"0x8020000000000000\",\"systemTime\":\"2023-03-13T19:58:06.528054900Z\",\"eventRecordID\":\"24290\",\"processID\":\"868\",\"threadID\":\"2340\",\"channel\":\"Security\",\"computer\":\"WIN-SRV-2012.bank.ad.pkobp.pl\",\"severityValue\":\"AUDIT_SUCCESS\",\"message\":\"\\\"Podjęto próbę logowania przy użyciu jawnych poświadczeń.\\r\\n\\r\\nPodmiot:\\r\\n\\tIdentyfikator zabezpieczeń:\\tS-1-5-18\\r\\n\\tNazwa konta:\\tWIN-SRV-2012$\\r\\n\\tDomena konta:\\tBANK\\r\\n\\tIdentyfikator logowania:\\t0x3E7\\r\\n\\tIdentyfikator GUID logowania:\\t{00000000-0000-0000-0000-000000000000}\\r\\n\\r\\nKonto, którego poświadczenia zostały użyte:\\r\\n\\tNazwa konta:\\tWIN-SRV-2012$\\r\\n\\tDomena konta:\\tBANK.AD.PKOBP.PL\\r\\n\\tIdentyfikator GUID logowania:\\t{A93EB4A5-0345-F8F5-E696-07F8C576382A}\\r\\n\\r\\nSerwer docelowy:\\r\\n\\tNazwa serwera docelowego:\\twin-srv-2012$\\r\\n\\tInformacje dodatkowe:\\twin-srv-2012$\\r\\n\\r\\nInformacje o procesie:\\r\\n\\tIdentyfikator procesu:\\t0x8d0\\r\\n\\tNazwa procesu:\\tC:\\\\Windows\\\\System32\\\\taskhost.exe\\r\\n\\r\\nInformacje o sieci:\\r\\n\\tAdres sieciowy:\\t-\\r\\n\\tPort:\\t-\\r\\n\\r\\nTo zdarzenie jest generowane, gdy proces podejmie próbę zalogowania się na koncie, określając w sposób jawny poświadczenia konta. To zdarzenie najczęściej występuje w konfiguracjach wsadowych, takich jak zaplanowane zadania, lub podczas używania polecenia RUNAS.\\\"\"},\"eventdata\":{\"subjectUserSid\":\"S-1-5-18\",\"subjectUserName\":\"WIN-SRV-2012$\",\"subjectDomainName\":\"BANK\",\"subjectLogonId\":\"0x3e7\",\"logonGuid\":\"{00000000-0000-0000-0000-000000000000}\",\"targetUserName\":\"WIN-SRV-2012$\",\"targetDomainName\":\"BANK.AD.PKOBP.PL\",\"targetLogonGuid\":\"{A93EB4A5-0345-F8F5-E696-07F8C576382A}\",\"targetServerName\":\"win-srv-2012$\",\"targetInfo\":\"win-srv-2012$\",\"processId\":\"0x8d0\",\"processName\":\"C:\\\\\\\\Windows\\\\\\\\System32\\\\\\\\taskhost.exe\"}}}"
    ],
    "metadata.beat.security": [
      "filebeat"
    ],
    "winlog.event_data.SubjectUserSid.security": [
      "S-1-5-18"
    ],
    "metadata.pipeline.keyword": [
      "ossec"
    ],
    "winlog.event_data.SubjectLogonId": [
      "0x3e7"
    ],
    "manager.name": [
      "so-forwardnode1-wazuh-manager"
    ],
    "winlog.severityValue": [
      "AUDIT_SUCCESS"
    ],
    "winlog.channel.security": [
      "Security"
    ],
    "winlog.eventRecordID.keyword": [
      "24290"
    ],
    "log.location": [
      "EventChannel"
    ],
    "winlog.event_data.ProcessId": [
      "0x8d0"
    ],
    "metadata.type": [
      "_doc"
    ],
    "ecs.version.security": [
      "8.0.0"
    ],
    "winlog.event_data.ProcessName.security": [
      "C:\\\\Windows\\\\System32\\\\taskhost.exe"
    ],
    "agent.name.keyword": [
      "WIN-SRV-2012"
    ],
    "manager.name.keyword": [
      "so-forwardnode1-wazuh-manager"
    ],
    "metadata.version": [
      "8.4.3"
    ],
    "winlog.severityValue.keyword": [
      "AUDIT_SUCCESS"
    ],
    "winlog.message": [
      "\"Podjęto próbę logowania przy użyciu jawnych poświadczeń.\r\n\r\nPodmiot:\r\n\tIdentyfikator zabezpieczeń:\tS-1-5-18\r\n\tNazwa konta:\tWIN-SRV-2012$\r\n\tDomena konta:\tBANK\r\n\tIdentyfikator logowania:\t0x3E7\r\n\tIdentyfikator GUID logowania:\t{00000000-0000-0000-0000-000000000000}\r\n\r\nKonto, którego poświadczenia zostały użyte:\r\n\tNazwa konta:\tWIN-SRV-2012$\r\n\tDomena konta:\tBANK.AD.PKOBP.PL\r\n\tIdentyfikator GUID logowania:\t{A93EB4A5-0345-F8F5-E696-07F8C576382A}\r\n\r\nSerwer docelowy:\r\n\tNazwa serwera docelowego:\twin-srv-2012$\r\n\tInformacje dodatkowe:\twin-srv-2012$\r\n\r\nInformacje o procesie:\r\n\tIdentyfikator procesu:\t0x8d0\r\n\tNazwa procesu:\tC:\\Windows\\System32\\taskhost.exe\r\n\r\nInformacje o sieci:\r\n\tAdres sieciowy:\t-\r\n\tPort:\t-\r\n\r\nTo zdarzenie jest generowane, gdy proces podejmie próbę zalogowania się na koncie, określając w sposób jawny poświadczenia konta. To zdarzenie najczęściej występuje w konfiguracjach wsadowych, takich jak zaplanowane zadania, lub podczas używania polecenia RUNAS.\""
    ],
    "winlog.systemTime.keyword": [
      "2023-03-13T19:58:06.528054900Z"
    ],
    "winlog.providerGuid.keyword": [
      "{54849625-5478-4994-A5BA-3E3B0328C30D}"
    ],
    "event.ingested": [
      "2023-03-13T20:18:45.533Z"
    ],
    "@timestamp": [
      "2023-03-13T19:58:06.528Z"
    ],
    "log.full.keyword": [
      "{\"win\":{\"system\":{\"providerName\":\"Microsoft-Windows-Security-Auditing\",\"providerGuid\":\"{54849625-5478-4994-A5BA-3E3B0328C30D}\",\"eventID\":\"4648\",\"version\":\"0\",\"level\":\"0\",\"task\":\"12544\",\"opcode\":\"0\",\"keywords\":\"0x8020000000000000\",\"systemTime\":\"2023-03-13T19:58:06.528054900Z\",\"eventRecordID\":\"24290\",\"processID\":\"868\",\"threadID\":\"2340\",\"channel\":\"Security\",\"computer\":\"WIN-SRV-2012.bank.ad.pkobp.pl\",\"severityValue\":\"AUDIT_SUCCESS\",\"message\":\"\\\"Podjęto próbę logowania przy użyciu jawnych poświadczeń.\\r\\n\\r\\nPodmiot:\\r\\n\\tIdentyfikator zabezpieczeń:\\tS-1-5-18\\r\\n\\tNazwa konta:\\tWIN-SRV-2012$\\r\\n\\tDomena konta:\\tBANK\\r\\n\\tIdentyfikator logowania:\\t0x3E7\\r\\n\\tIdentyfikator GUID logowania:\\t{00000000-0000-0000-0000-000000000000}\\r\\n\\r\\nKonto, którego poświadczenia zostały użyte:\\r\\n\\tNazwa konta:\\tWIN-SRV-2012$\\r\\n\\tDomena konta:\\tBANK.AD.PKOBP.PL\\r\\n\\tIdentyfikator GUID logowania:\\t{A93EB4A5-0345-F8F5-E696-07F8C576382A}\\r\\n\\r\\nSerwer docelowy:\\r\\n\\tNazwa serwera docelowego:\\twin-srv-2012$\\r\\n\\tInformacje dodatkowe:\\twin-srv-2012$\\r\\n\\r\\nInformacje o procesie:\\r\\n\\tIdentyfikator procesu:\\t0x8d0\\r\\n\\tNazwa procesu:\\tC:\\\\Windows\\\\System32\\\\taskhost.exe\\r\\n\\r\\nInformacje o sieci:\\r\\n\\tAdres sieciowy:\\t-\\r\\n\\tPort:\\t-\\r\\n\\r\\nTo zdarzenie jest generowane, gdy proces podejmie próbę zalogowania się na koncie, określając w sposób jawny poświadczenia konta. To zdarzenie najczęściej występuje w konfiguracjach wsadowych, takich jak zaplanowane zadania, lub podczas używania polecenia RUNAS.\\\"\"},\"eventdata\":{\"subjectUserSid\":\"S-1-5-18\",\"subjectUserName\":\"WIN-SRV-2012$\",\"subjectDomainName\":\"BANK\",\"subjectLogonId\":\"0x3e7\",\"logonGuid\":\"{00000000-0000-0000-0000-000000000000}\",\"targetUserName\":\"WIN-SRV-2012$\",\"targetDomainName\":\"BANK.AD.PKOBP.PL\",\"targetLogonGuid\":\"{A93EB4A5-0345-F8F5-E696-07F8C576382A}\",\"targetServerName\":\"win-srv-2012$\",\"targetInfo\":\"win-srv-2012$\",\"processId\":\"0x8d0\",\"processName\":\"C:\\\\\\\\Windows\\\\\\\\System32\\\\\\\\taskhost.exe\"}}}"
    ],
    "winlog.channel": [
      "Security"
    ],
    "log.file.path": [
      "/wazuh/archives/archives.json"
    ],
    "winlog.event_data.TargetDomainName": [
      "BANK.AD.PKOBP.PL"
    ],
    "winlog.opcode": [
      "0"
    ],
    "winlog.event_data.SubjectDomainName": [
      "BANK"
    ],
    "event.module.security": [
      "windows_eventlog"
    ],
    "@version.security": [
      "1"
    ],
    "event.code.security": [
      "4648"
    ],
    "winlog.event_data.TargetInfo": [
      "win-srv-2012$"
    ],
    "event.category.keyword": [
      "host"
    ],
    "winlog.threadID.keyword": [
      "2340"
    ],
    "winlog.event_data.SubjectDomainName.security": [
      "BANK"
    ],
    "user.name.security": [
      "WIN-SRV-2012$"
    ],
    "ecs.version.keyword": [
      "8.0.0"
    ],
    "log.id.id.keyword": [
      "1678738720.23821668"
    ],
    "winlog.eventRecordID.security": [
      "24290"
    ],
    "winlog.keywords": [
      "0x8020000000000000"
    ],
    "winlog.level.keyword": [
      "0"
    ],
    "host.name": [
      "so-forwardnode1"
    ],
    "winlog.processID.security": [
      "868"
    ],
    "winlog.version": [
      0
    ],
    "winlog.event_data.TargetUserName": [
      "WIN-SRV-2012$"
    ],
    "winlog.event_data.TargetServerName.security": [
      "win-srv-2012$"
    ],
    "event.dataset.security": [
      "security"
    ],
    "@version.keyword": [
      "1"
    ],
    "log.offset": [
      150631895
    ],
    "winlog.event_data.ProcessId.security": [
      "0x8d0"
    ],
    "ecs.version": [
      "8.0.0"
    ],
    "winlog.event_data.SubjectLogonId.security": [
      "0x3e7"
    ],
    "metadata.ip_address.keyword": [
      "10.1.30.6"
    ],
    "message.keyword": [
      "{\"timestamp\":\"2023-03-13T20:18:40.241+0000\",\"agent\":{\"id\":\"012\",\"name\":\"WIN-SRV-2012\",\"ip\":\"10.1.40.2\"},\"manager\":{\"name\":\"so-forwardnode1-wazuh-manager\"},\"id\":\"1678738720.23821668\",\"cluster\":{\"name\":\"wazuh\",\"node\":\"so-forwardnode1\"},\"full_log\":\"{\\\"win\\\":{\\\"system\\\":{\\\"providerName\\\":\\\"Microsoft-Windows-Security-Auditing\\\",\\\"providerGuid\\\":\\\"{54849625-5478-4994-A5BA-3E3B0328C30D}\\\",\\\"eventID\\\":\\\"4648\\\",\\\"version\\\":\\\"0\\\",\\\"level\\\":\\\"0\\\",\\\"task\\\":\\\"12544\\\",\\\"opcode\\\":\\\"0\\\",\\\"keywords\\\":\\\"0x8020000000000000\\\",\\\"systemTime\\\":\\\"2023-03-13T19:58:06.528054900Z\\\",\\\"eventRecordID\\\":\\\"24290\\\",\\\"processID\\\":\\\"868\\\",\\\"threadID\\\":\\\"2340\\\",\\\"channel\\\":\\\"Security\\\",\\\"computer\\\":\\\"WIN-SRV-2012.bank.ad.pkobp.pl\\\",\\\"severityValue\\\":\\\"AUDIT_SUCCESS\\\",\\\"message\\\":\\\"\\\\\\\"Podjęto próbę logowania przy użyciu jawnych poświadczeń.\\\\r\\\\n\\\\r\\\\nPodmiot:\\\\r\\\\n\\\\tIdentyfikator zabezpieczeń:\\\\tS-1-5-18\\\\r\\\\n\\\\tNazwa konta:\\\\tWIN-SRV-2012$\\\\r\\\\n\\\\tDomena konta:\\\\tBANK\\\\r\\\\n\\\\tIdentyfikator logowania:\\\\t0x3E7\\\\r\\\\n\\\\tIdentyfikator GUID logowania:\\\\t{00000000-0000-0000-0000-000000000000}\\\\r\\\\n\\\\r\\\\nKonto, którego poświadczenia zostały użyte:\\\\r\\\\n\\\\tNazwa konta:\\\\tWIN-SRV-2012$\\\\r\\\\n\\\\tDomena konta:\\\\tBANK.AD.PKOBP.PL\\\\r\\\\n\\\\tIdentyfikator GUID logowania:\\\\t{A93EB4A5-0345-F8F5-E696-07F8C576382A}\\\\r\\\\n\\\\r\\\\nSerwer docelowy:\\\\r\\\\n\\\\tNazwa serwera docelowego:\\\\twin-srv-2012$\\\\r\\\\n\\\\tInformacje dodatkowe:\\\\twin-srv-2012$\\\\r\\\\n\\\\r\\\\nInformacje o procesie:\\\\r\\\\n\\\\tIdentyfikator procesu:\\\\t0x8d0\\\\r\\\\n\\\\tNazwa procesu:\\\\tC:\\\\\\\\Windows\\\\\\\\System32\\\\\\\\taskhost.exe\\\\r\\\\n\\\\r\\\\nInformacje o sieci:\\\\r\\\\n\\\\tAdres sieciowy:\\\\t-\\\\r\\\\n\\\\tPort:\\\\t-\\\\r\\\\n\\\\r\\\\nTo zdarzenie jest generowane, gdy proces podejmie próbę zalogowania się na koncie, określając w sposób jawny poświadczenia konta. To zdarzenie najczęściej występuje w konfiguracjach wsadowych, takich jak zaplanowane zadania, lub podczas używania polecenia RUNAS.\\\\\\\"\\\"},\\\"eventdata\\\":{\\\"subjectUserSid\\\":\\\"S-1-5-18\\\",\\\"subjectUserName\\\":\\\"WIN-SRV-2012$\\\",\\\"subjectDomainName\\\":\\\"BANK\\\",\\\"subjectLogonId\\\":\\\"0x3e7\\\",\\\"logonGuid\\\":\\\"{00000000-0000-0000-0000-000000000000}\\\",\\\"targetUserName\\\":\\\"WIN-SRV-2012$\\\",\\\"targetDomainName\\\":\\\"BANK.AD.PKOBP.PL\\\",\\\"targetLogonGuid\\\":\\\"{A93EB4A5-0345-F8F5-E696-07F8C576382A}\\\",\\\"targetServerName\\\":\\\"win-srv-2012$\\\",\\\"targetInfo\\\":\\\"win-srv-2012$\\\",\\\"processId\\\":\\\"0x8d0\\\",\\\"processName\\\":\\\"C:\\\\\\\\\\\\\\\\Windows\\\\\\\\\\\\\\\\System32\\\\\\\\\\\\\\\\taskhost.exe\\\"}}}\",\"decoder\":{\"name\":\"windows_eventchannel\"},\"data\":{\"win\":{\"system\":{\"providerName\":\"Microsoft-Windows-Security-Auditing\",\"providerGuid\":\"{54849625-5478-4994-A5BA-3E3B0328C30D}\",\"eventID\":\"4648\",\"version\":\"0\",\"level\":\"0\",\"task\":\"12544\",\"opcode\":\"0\",\"keywords\":\"0x8020000000000000\",\"systemTime\":\"2023-03-13T19:58:06.528054900Z\",\"eventRecordID\":\"24290\",\"processID\":\"868\",\"threadID\":\"2340\",\"channel\":\"Security\",\"computer\":\"WIN-SRV-2012.bank.ad.pkobp.pl\",\"severityValue\":\"AUDIT_SUCCESS\",\"message\":\"\\\"Podjęto próbę logowania przy użyciu jawnych poświadczeń.\\r\\n\\r\\nPodmiot:\\r\\n\\tIdentyfikator zabezpieczeń:\\tS-1-5-18\\r\\n\\tNazwa konta:\\tWIN-SRV-2012$\\r\\n\\tDomena konta:\\tBANK\\r\\n\\tIdentyfikator logowania:\\t0x3E7\\r\\n\\tIdentyfikator GUID logowania:\\t{00000000-0000-0000-0000-000000000000}\\r\\n\\r\\nKonto, którego poświadczenia zostały użyte:\\r\\n\\tNazwa konta:\\tWIN-SRV-2012$\\r\\n\\tDomena konta:\\tBANK.AD.PKOBP.PL\\r\\n\\tIdentyfikator GUID logowania:\\t{A93EB4A5-0345-F8F5-E696-07F8C576382A}\\r\\n\\r\\nSerwer docelowy:\\r\\n\\tNazwa serwera docelowego:\\twin-srv-2012$\\r\\n\\tInformacje dodatkowe:\\twin-srv-2012$\\r\\n\\r\\nInformacje o procesie:\\r\\n\\tIdentyfikator procesu:\\t0x8d0\\r\\n\\tNazwa procesu:\\tC:\\\\Windows\\\\System32\\\\taskhost.exe\\r\\n\\r\\nInformacje o sieci:\\r\\n\\tAdres sieciowy:\\t-\\r\\n\\tPort:\\t-\\r\\n\\r\\nTo zdarzenie jest generowane, gdy proces podejmie próbę zalogowania się na koncie, określając w sposób jawny poświadczenia konta. To zdarzenie najczęściej występuje w konfiguracjach wsadowych, takich jak zaplanowane zadania, lub podczas używania polecenia RUNAS.\\\"\"},\"eventdata\":{\"subjectUserSid\":\"S-1-5-18\",\"subjectUserName\":\"WIN-SRV-2012$\",\"subjectDomainName\":\"BANK\",\"subjectLogonId\":\"0x3e7\",\"logonGuid\":\"{00000000-0000-0000-0000-000000000000}\",\"targetUserName\":\"WIN-SRV-2012$\",\"targetDomainName\":\"BANK.AD.PKOBP.PL\",\"targetLogonGuid\":\"{A93EB4A5-0345-F8F5-E696-07F8C576382A}\",\"targetServerName\":\"win-srv-2012$\",\"targetInfo\":\"win-srv-2012$\",\"processId\":\"0x8d0\",\"processName\":\"C:\\\\\\\\Windows\\\\\\\\System32\\\\\\\\taskhost.exe\"}}},\"location\":\"EventChannel\"}"
    ],
    "log.full": [
      "{\"win\":{\"system\":{\"providerName\":\"Microsoft-Windows-Security-Auditing\",\"providerGuid\":\"{54849625-5478-4994-A5BA-3E3B0328C30D}\",\"eventID\":\"4648\",\"version\":\"0\",\"level\":\"0\",\"task\":\"12544\",\"opcode\":\"0\",\"keywords\":\"0x8020000000000000\",\"systemTime\":\"2023-03-13T19:58:06.528054900Z\",\"eventRecordID\":\"24290\",\"processID\":\"868\",\"threadID\":\"2340\",\"channel\":\"Security\",\"computer\":\"WIN-SRV-2012.bank.ad.pkobp.pl\",\"severityValue\":\"AUDIT_SUCCESS\",\"message\":\"\\\"Podjęto próbę logowania przy użyciu jawnych poświadczeń.\\r\\n\\r\\nPodmiot:\\r\\n\\tIdentyfikator zabezpieczeń:\\tS-1-5-18\\r\\n\\tNazwa konta:\\tWIN-SRV-2012$\\r\\n\\tDomena konta:\\tBANK\\r\\n\\tIdentyfikator logowania:\\t0x3E7\\r\\n\\tIdentyfikator GUID logowania:\\t{00000000-0000-0000-0000-000000000000}\\r\\n\\r\\nKonto, którego poświadczenia zostały użyte:\\r\\n\\tNazwa konta:\\tWIN-SRV-2012$\\r\\n\\tDomena konta:\\tBANK.AD.PKOBP.PL\\r\\n\\tIdentyfikator GUID logowania:\\t{A93EB4A5-0345-F8F5-E696-07F8C576382A}\\r\\n\\r\\nSerwer docelowy:\\r\\n\\tNazwa serwera docelowego:\\twin-srv-2012$\\r\\n\\tInformacje dodatkowe:\\twin-srv-2012$\\r\\n\\r\\nInformacje o procesie:\\r\\n\\tIdentyfikator procesu:\\t0x8d0\\r\\n\\tNazwa procesu:\\tC:\\\\Windows\\\\System32\\\\taskhost.exe\\r\\n\\r\\nInformacje o sieci:\\r\\n\\tAdres sieciowy:\\t-\\r\\n\\tPort:\\t-\\r\\n\\r\\nTo zdarzenie jest generowane, gdy proces podejmie próbę zalogowania się na koncie, określając w sposób jawny poświadczenia konta. To zdarzenie najczęściej występuje w konfiguracjach wsadowych, takich jak zaplanowane zadania, lub podczas używania polecenia RUNAS.\\\"\"},\"eventdata\":{\"subjectUserSid\":\"S-1-5-18\",\"subjectUserName\":\"WIN-SRV-2012$\",\"subjectDomainName\":\"BANK\",\"subjectLogonId\":\"0x3e7\",\"logonGuid\":\"{00000000-0000-0000-0000-000000000000}\",\"targetUserName\":\"WIN-SRV-2012$\",\"targetDomainName\":\"BANK.AD.PKOBP.PL\",\"targetLogonGuid\":\"{A93EB4A5-0345-F8F5-E696-07F8C576382A}\",\"targetServerName\":\"win-srv-2012$\",\"targetInfo\":\"win-srv-2012$\",\"processId\":\"0x8d0\",\"processName\":\"C:\\\\\\\\Windows\\\\\\\\System32\\\\\\\\taskhost.exe\"}}}"
    ],
    "event.module.keyword": [
      "windows_eventlog"
    ],
    "winlog.computer.security": [
      "WIN-SRV-2012.bank.ad.pkobp.pl"
    ],
    "event.ingested.security": [
      "2023-03-13T20:18:45.533Z"
    ],
    "winlog.providerName.keyword": [
      "Microsoft-Windows-Security-Auditing"
    ],
    "winlog.providerGuid.security": [
      "{54849625-5478-4994-A5BA-3E3B0328C30D}"
    ],
    "winlog.event_id.security": [
      "4648"
    ],
    "log.file.path.security": [
      "/wazuh/archives/archives.json"
    ],
    "winlog.task.security": [
      "12544"
    ],
    "winlog.event_data.TargetLogonGuid.security": [
      "{A93EB4A5-0345-F8F5-E696-07F8C576382A}"
    ],
    "event.module": [
      "windows_eventlog"
    ],
    "winlog.message.security": [
      "\"Podjęto próbę logowania przy użyciu jawnych poświadczeń.\r\n\r\nPodmiot:\r\n\tIdentyfikator zabezpieczeń:\tS-1-5-18\r\n\tNazwa konta:\tWIN-SRV-2012$\r\n\tDomena konta:\tBANK\r\n\tIdentyfikator logowania:\t0x3E7\r\n\tIdentyfikator GUID logowania:\t{00000000-0000-0000-0000-000000000000}\r\n\r\nKonto, którego poświadczenia zostały użyte:\r\n\tNazwa konta:\tWIN-SRV-2012$\r\n\tDomena konta:\tBANK.AD.PKOBP.PL\r\n\tIdentyfikator GUID logowania:\t{A93EB4A5-0345-F8F5-E696-07F8C576382A}\r\n\r\nSerwer docelowy:\r\n\tNazwa serwera docelowego:\twin-srv-2012$\r\n\tInformacje dodatkowe:\twin-srv-2012$\r\n\r\nInformacje o procesie:\r\n\tIdentyfikator procesu:\t0x8d0\r\n\tNazwa procesu:\tC:\\Windows\\System32\\taskhost.exe\r\n\r\nInformacje o sieci:\r\n\tAdres sieciowy:\t-\r\n\tPort:\t-\r\n\r\nTo zdarzenie jest generowane, gdy proces podejmie próbę zalogowania się na koncie, określając w sposób jawny poświadczenia konta. To zdarzenie najczęściej występuje w konfiguracjach wsadowych, takich jak zaplanowane zadania, lub podczas używania polecenia RUNAS.\""
    ],
    "@version": [
      "1"
    ],
    "event.ingested.keyword": [
      "2023-03-13T20:18:45.533Z"
    ],
    "winlog.event_data.TargetInfo.security": [
      "win-srv-2012$"
    ],
    "agent.id.security": [
      "012"
    ],
    "event.timestamp.keyword": [
      "2023-03-13T20:18:40.241+0000"
    ],
    "winlog.event_data.LogonGuid.security": [
      "{00000000-0000-0000-0000-000000000000}"
    ],
    "winlog.computer": [
      "WIN-SRV-2012.bank.ad.pkobp.pl"
    ],
    "winlog.task": [
      "12544"
    ],
    "metadata.beat": [
      "filebeat"
    ],
    "metadata.pipeline": [
      "ossec"
    ],
    "event.timestamp.security": [
      "2023-03-13T20:18:40.241+0000"
    ],
    "winlog.threadID": [
      "2340"
    ],
    "metadata.version.keyword": [
      "8.4.3"
    ],
    "winlog.event_id": [
      "4648"
    ],
    "message": [
      "{\"timestamp\":\"2023-03-13T20:18:40.241+0000\",\"agent\":{\"id\":\"012\",\"name\":\"WIN-SRV-2012\",\"ip\":\"10.1.40.2\"},\"manager\":{\"name\":\"so-forwardnode1-wazuh-manager\"},\"id\":\"1678738720.23821668\",\"cluster\":{\"name\":\"wazuh\",\"node\":\"so-forwardnode1\"},\"full_log\":\"{\\\"win\\\":{\\\"system\\\":{\\\"providerName\\\":\\\"Microsoft-Windows-Security-Auditing\\\",\\\"providerGuid\\\":\\\"{54849625-5478-4994-A5BA-3E3B0328C30D}\\\",\\\"eventID\\\":\\\"4648\\\",\\\"version\\\":\\\"0\\\",\\\"level\\\":\\\"0\\\",\\\"task\\\":\\\"12544\\\",\\\"opcode\\\":\\\"0\\\",\\\"keywords\\\":\\\"0x8020000000000000\\\",\\\"systemTime\\\":\\\"2023-03-13T19:58:06.528054900Z\\\",\\\"eventRecordID\\\":\\\"24290\\\",\\\"processID\\\":\\\"868\\\",\\\"threadID\\\":\\\"2340\\\",\\\"channel\\\":\\\"Security\\\",\\\"computer\\\":\\\"WIN-SRV-2012.bank.ad.pkobp.pl\\\",\\\"severityValue\\\":\\\"AUDIT_SUCCESS\\\",\\\"message\\\":\\\"\\\\\\\"Podjęto próbę logowania przy użyciu jawnych poświadczeń.\\\\r\\\\n\\\\r\\\\nPodmiot:\\\\r\\\\n\\\\tIdentyfikator zabezpieczeń:\\\\tS-1-5-18\\\\r\\\\n\\\\tNazwa konta:\\\\tWIN-SRV-2012$\\\\r\\\\n\\\\tDomena konta:\\\\tBANK\\\\r\\\\n\\\\tIdentyfikator logowania:\\\\t0x3E7\\\\r\\\\n\\\\tIdentyfikator GUID logowania:\\\\t{00000000-0000-0000-0000-000000000000}\\\\r\\\\n\\\\r\\\\nKonto, którego poświadczenia zostały użyte:\\\\r\\\\n\\\\tNazwa konta:\\\\tWIN-SRV-2012$\\\\r\\\\n\\\\tDomena konta:\\\\tBANK.AD.PKOBP.PL\\\\r\\\\n\\\\tIdentyfikator GUID logowania:\\\\t{A93EB4A5-0345-F8F5-E696-07F8C576382A}\\\\r\\\\n\\\\r\\\\nSerwer docelowy:\\\\r\\\\n\\\\tNazwa serwera docelowego:\\\\twin-srv-2012$\\\\r\\\\n\\\\tInformacje dodatkowe:\\\\twin-srv-2012$\\\\r\\\\n\\\\r\\\\nInformacje o procesie:\\\\r\\\\n\\\\tIdentyfikator procesu:\\\\t0x8d0\\\\r\\\\n\\\\tNazwa procesu:\\\\tC:\\\\\\\\Windows\\\\\\\\System32\\\\\\\\taskhost.exe\\\\r\\\\n\\\\r\\\\nInformacje o sieci:\\\\r\\\\n\\\\tAdres sieciowy:\\\\t-\\\\r\\\\n\\\\tPort:\\\\t-\\\\r\\\\n\\\\r\\\\nTo zdarzenie jest generowane, gdy proces podejmie próbę zalogowania się na koncie, określając w sposób jawny poświadczenia konta. To zdarzenie najczęściej występuje w konfiguracjach wsadowych, takich jak zaplanowane zadania, lub podczas używania polecenia RUNAS.\\\\\\\"\\\"},\\\"eventdata\\\":{\\\"subjectUserSid\\\":\\\"S-1-5-18\\\",\\\"subjectUserName\\\":\\\"WIN-SRV-2012$\\\",\\\"subjectDomainName\\\":\\\"BANK\\\",\\\"subjectLogonId\\\":\\\"0x3e7\\\",\\\"logonGuid\\\":\\\"{00000000-0000-0000-0000-000000000000}\\\",\\\"targetUserName\\\":\\\"WIN-SRV-2012$\\\",\\\"targetDomainName\\\":\\\"BANK.AD.PKOBP.PL\\\",\\\"targetLogonGuid\\\":\\\"{A93EB4A5-0345-F8F5-E696-07F8C576382A}\\\",\\\"targetServerName\\\":\\\"win-srv-2012$\\\",\\\"targetInfo\\\":\\\"win-srv-2012$\\\",\\\"processId\\\":\\\"0x8d0\\\",\\\"processName\\\":\\\"C:\\\\\\\\\\\\\\\\Windows\\\\\\\\\\\\\\\\System32\\\\\\\\\\\\\\\\taskhost.exe\\\"}}}\",\"decoder\":{\"name\":\"windows_eventchannel\"},\"data\":{\"win\":{\"system\":{\"providerName\":\"Microsoft-Windows-Security-Auditing\",\"providerGuid\":\"{54849625-5478-4994-A5BA-3E3B0328C30D}\",\"eventID\":\"4648\",\"version\":\"0\",\"level\":\"0\",\"task\":\"12544\",\"opcode\":\"0\",\"keywords\":\"0x8020000000000000\",\"systemTime\":\"2023-03-13T19:58:06.528054900Z\",\"eventRecordID\":\"24290\",\"processID\":\"868\",\"threadID\":\"2340\",\"channel\":\"Security\",\"computer\":\"WIN-SRV-2012.bank.ad.pkobp.pl\",\"severityValue\":\"AUDIT_SUCCESS\",\"message\":\"\\\"Podjęto próbę logowania przy użyciu jawnych poświadczeń.\\r\\n\\r\\nPodmiot:\\r\\n\\tIdentyfikator zabezpieczeń:\\tS-1-5-18\\r\\n\\tNazwa konta:\\tWIN-SRV-2012$\\r\\n\\tDomena konta:\\tBANK\\r\\n\\tIdentyfikator logowania:\\t0x3E7\\r\\n\\tIdentyfikator GUID logowania:\\t{00000000-0000-0000-0000-000000000000}\\r\\n\\r\\nKonto, którego poświadczenia zostały użyte:\\r\\n\\tNazwa konta:\\tWIN-SRV-2012$\\r\\n\\tDomena konta:\\tBANK.AD.PKOBP.PL\\r\\n\\tIdentyfikator GUID logowania:\\t{A93EB4A5-0345-F8F5-E696-07F8C576382A}\\r\\n\\r\\nSerwer docelowy:\\r\\n\\tNazwa serwera docelowego:\\twin-srv-2012$\\r\\n\\tInformacje dodatkowe:\\twin-srv-2012$\\r\\n\\r\\nInformacje o procesie:\\r\\n\\tIdentyfikator procesu:\\t0x8d0\\r\\n\\tNazwa procesu:\\tC:\\\\Windows\\\\System32\\\\taskhost.exe\\r\\n\\r\\nInformacje o sieci:\\r\\n\\tAdres sieciowy:\\t-\\r\\n\\tPort:\\t-\\r\\n\\r\\nTo zdarzenie jest generowane, gdy proces podejmie próbę zalogowania się na koncie, określając w sposób jawny poświadczenia konta. To zdarzenie najczęściej występuje w konfiguracjach wsadowych, takich jak zaplanowane zadania, lub podczas używania polecenia RUNAS.\\\"\"},\"eventdata\":{\"subjectUserSid\":\"S-1-5-18\",\"subjectUserName\":\"WIN-SRV-2012$\",\"subjectDomainName\":\"BANK\",\"subjectLogonId\":\"0x3e7\",\"logonGuid\":\"{00000000-0000-0000-0000-000000000000}\",\"targetUserName\":\"WIN-SRV-2012$\",\"targetDomainName\":\"BANK.AD.PKOBP.PL\",\"targetLogonGuid\":\"{A93EB4A5-0345-F8F5-E696-07F8C576382A}\",\"targetServerName\":\"win-srv-2012$\",\"targetInfo\":\"win-srv-2012$\",\"processId\":\"0x8d0\",\"processName\":\"C:\\\\\\\\Windows\\\\\\\\System32\\\\\\\\taskhost.exe\"}}},\"location\":\"EventChannel\"}"
    ],
    "metadata.ip_address": [
      "10.1.30.6"
    ],
    "host.name.security": [
      "so-forwardnode1"
    ],
    "winlog.threadID.security": [
      "2340"
    ],
    "winlog.opcode.security": [
      "0"
    ],
    "log.location.keyword": [
      "EventChannel"
    ],
    "log.id.id.security": [
      "1678738720.23821668"
    ],
    "manager.name.security": [
      "so-forwardnode1-wazuh-manager"
    ],
    "tags.security": [
      "beats_input_codec_plain_applied"
    ],
    "user.name.keyword": [
      "WIN-SRV-2012$"
    ],
    "winlog.event_data.ProcessName": [
      "C:\\\\Windows\\\\System32\\\\taskhost.exe"
    ],
    "metadata.ip_address.security": [
      "10.1.30.6"
    ],
    "event.dataset": [
      "security"
    ]
  }
}