Resuelto: Cómo Recuperar El ID De Evento 5157 Log 6

December 6, 2021 By Justin Fernando Off

Table of Contents

A continuación, se muestran algunas técnicas sencillas que pueden ayudar a su empresa a solucionar problemas con el Id. de evento 5157 en el registro 6.

Recomendado: Fortect

1. Descargue e instale Fortect

2. Abra el programa y haga clic en "Escanear"

3. Haga clic en "Reparar" para iniciar el proceso de reparación

Descarga este software y repara tu PC en minutos.

Tipo de. Examen de errores. Windows Wood registra el evento 5157 cada vez que WFP interrumpe la conexión entre un programa en particular y el proceso. Este proceso diferente ahora puede residir en la misma computadora además de, sin duda, la computadora remota.

Este evento ocurre cuando el tiempo Plataforma de filtrado de Windows cierra indiscutiblemente la conexión.

id de evento 5157 protocolo estándar 6

Nota. Las recomendaciones para esta coincidencia se pueden encontrar en Seguridad en Recomendaciones de monitoreo .

  como -    5157   una   0  en particular   12810   0   0x80100000000000000    304390      Seguridad   DC01.contoso.local   -   4556    dispositivo  harddiskvolume2  documentos  listener.exe   %% 14592  Name = "SourceAddress"> 10   3333   10.0.0.100   49218   media   110398   %% 14610   cuarenta y cuatro   S-1-0-0   S-1-0-0

ID de proceso [tipo = puntero]: hex El identificador addecimal del proceso que cualquiera intentó establecer la conexión. El ID de proceso (PID) es un recuento utilizado por estos sistemas operativos para identificar de forma única cada proceso activo. Para mostrar el PID de un proceso explícito, puede, por ejemplo, comenzar a usar Tarea (pestaña Detalles del supervisor, columna PID):
Si convierte el orden de hexadecimal a decimal, es posible que desee compararlo con las actitudes en el Administrador de tareas.
En este momento, puede asignar este ID de proceso a un ID de proceso en otros eventos, en el ejemplo “ 4688 : Nuevo proceso creado” Información de proceso Nuevo ID de proceso.
Aplicación empresarial [tipo UnicodeString]: = ruta completa y yo diría el nombre de incuestionablemente el archivo ejecutable de cada proceso.
Lógico es el disco duro que, según los expertos, aparece en la carpeta hard file device harddiskvolume #. Puede obtener el volumen de todas las habitaciones utilizando la potencia de Diskpart que le proporciona. Comando para acceder a los números de volumen que generan el uso de Diskpart – “Lista de volúmenes”:

Dirección [el tipo es UnicodeString]: el curso de la conexión conectada.
- Entrante: para conexiones entrantes
- Recomendado: Fortect
  ¿Estás cansado de que tu computadora funcione lentamente? ¿Está plagado de virus y malware? ¡No temas, amigo mío, porque Fortect está aquí para salvar el día! Esta poderosa herramienta está diseñada para diagnosticar y reparar todo tipo de problemas de Windows, al tiempo que aumenta el rendimiento, optimiza la memoria y mantiene su PC funcionando como nueva. Así que no esperes más: ¡descarga Fortect hoy mismo!
- 1. Descargue e instale Fortect
- 2. Abra el programa y haga clic en "Escanear"
- 3. Haga clic en "Reparar" para iniciar el proceso de reparación

Saliente: para conexiones irrelevantes.

Dirección de origen [Type = UnicodeString]: el punto de IP local a través del cual la aplicación de iPhone adquirió una conexión.

El marco de filtrado de auditoría de caída de paquetes determina que simplemente una declaración genera eventos de auditoría, mientras que los paquetes normalmente son descartados por ese marco de filtrado de Windows. Una gran variedad de paquetes reducidos puede indicar qué expertos afirman que se intentó establecer conexiones no autorizadas a las computadoras de su red.
Dirección IPv4
Dirección IPv6
:: Todas: direcciones IP IPv6
0.0.0.0. . . todas las direcciones IP en el disco duro de la computadora
127 ipv4.0.0.1, para :: 1 local

Puerto de origen [Type = UnicodeString]: el número de ventilación desde el cual la aplicación usó una conexión.

Dirección de destino [Type = UnicodeString]: la dirección de calle IP potencialmente iniciada por la conexión recibida.

Dirección IPv4
Dirección IPv6
:: Todos – Chat IP de IPv6
0.0.0.0: todas las direcciones IP en el tipo de formato
127 ipv4.0.0.1, :: cuatro – local

Puerto de destino [Type = UnicodeString]: La ventilación que fue utilizada por la computadora del controlador remoto para iniciar la conexión.

Protocolo [el tipo asume UInt32]: variedad del protocolo estándar utilizado.

Servicio	Número de protocolo
Protocolo de mensajes de control de Internet (ICMP)	1
Protocolo de control de transmisión (TCP)	6
Protocolo de datagramas de usuario (UDP)	más de diecisiete
Encapsulación de enrutamiento genérico (datos PPTP en GRE)	47
Encabezado de autenticación IPSec (AH)	51
Carga útil de seguridad de encapsulación IPSec	cincuenta por ciento
Protocolo de puerta de enlace externa (específicamente) (EGP)	cinco
Protocolo de puerta de enlace (GGP)	bastantes
Protocolo de supervisión de host (HMP)	20
Protocolo de administración de grupos de Internet (IGMP)	88
Con disco virtual remoto (RVD)	sesenta y seis
OSPF abre la ruta más corta primero	89
Protocolo de paquetes Universal PARC (PUP)	12
Protocolo de datagramas confiable (RDP)	28
Protocolo de redundancia de QoS (RSVP)	cuarenta y seis

ID de tiempo de ejecución del filtro [Type = UInt64]: ID único de todos los filtros que bloquearon la conexión.
Para encontrar un ID de filtro específico en el que confíe la plataforma de filtrado de Windows, ejecute el siguiente comando: netsh wfp demonstra to filter. Como resultado de este comando, la imagen filter.xml se genera sin lugar a dudas. Abra este contenido y obtenga una subcadena específica mientras tiene el identificador de filtro resultante (), en nombre del ejemplo:
Asunto de la capa [Type = UnicodeString]: Aplicación Aplicación El nombre de la envoltura de la portada. Tiempo de ejecución
Monitoreo de Windows Home El monitoreo es una propiedad de Windows que en particular ayuda a mantener la seguridad en la computadora combinada con las redes administrativas. El monitoreo de Windows se usa ampliamente para rastrear la actividad del usuario, las investigaciones forenses y de incidentes y la resolución de problemas.
ID de capa [el tipo es UInt64]: el ID involucrado con el corpus de la plataforma de filtrado de Windows. Para encontrar un ID de nivel de plataforma de filtrado de Windows específico, ejecute la siguiente solicitud: netsh wfp show state. El archivo wfpstate.xml del propietario se crea como un nuevo resultado de este comando. Abra este archivo y busque la subcadena permitida con la capa requerida que tenía (), por ejemplo:

Prácticas recomendadas de seguridad

Si los compradores tienen una gran aplicación lista para usar que, lamentablemente, debe comprarse para realizar el trabajo, la operación que se indica en primer lugar con este evento, tenga cuidado con las verificaciones de aplicaciones, que no son las mejores. aplicación personalizada.
Puede realizar un seguimiento sin esfuerzo de si la “Aplicación” está realmente en la carpeta predeterminada (por ejemplo, en archivos de Internet). Usted
Si tiene una lista definida de cadenas de pods restringidas, quizás frases en los nombres de las aplicaciones (para el caso en el punto “mimikatz” o “cain.exe”), verifique que incluya subcadenas en … “Aplicación”
Asegúrese de que la “dirección de origen” sea cualquiera de las direcciones asignadas a todas las computadoras.
Si un componente de una computadora portátil no puede acceder a Internet, también contiene situaciones que no siempre se conectan a Internet, observe los eventos necesarios 5157 , siempre que la “Dirección de destino” sea la dirección IP. en Internet (no desde rangos de IP privados).
Si se da cuenta de que la computadora de su oficina no debe bajo ninguna circunstancia, bajo ninguna circunstancia, estar asociada con direcciones IP específicas en la red, busque esas direcciones en el campo Dirección de destino.
Si tiene una lista de direcciones IP con las que la mayoría de las computadoras o máquinas necesitan comunicarse o con las que esencialmente se comunican, realice un seguimiento de todas las direcciones URL de IP utilizando una “dirección de destino” que no esté en el base de datos de autorización primaria.
Si necesita mantener con éxito todas las conexiones entrantes en ese puerto local especial, supervise las conferencias 5157 con este “puerto de origen”.
Realice un seguimiento de todo y las conexiones mediante un “número de protocolo” que probablemente no sea típico de esta computadora o computadora privada, por ejemplo, mayor que 1, 7 o 17.
Si siempre se utiliza el último “puerto de destino” específico para comunicarse entre el sistema del sistema informático principal y la “dirección de destino”, supervise algunos otros “puertos de destino”.