Sigma-Regeln auf EVTX im Browser ausführen
2.395 SigmaHQ-Regeln auf Windows-.evtx-Logs, ohne Hayabusa oder Chainsaw zu installieren: Sigma-Erkennung im Browser, ATT&CK-Kontext, Pivots und eigene YAML-Regeln.
Notizen zum Ereignisprotokoll
Kurznotizen zum binären Windows-Ereignisprotokollformat, forensisch relevanten Event IDs und Triage-Workflows.
„Beschreibung der Ereignis-ID nicht gefunden“: so geht's
Warum die Ereignisanzeige die Beschreibung einer Event ID nicht findet, was Codes wie %%1833 bedeuten und wie Sie das Event trotzdem offline lesen.
Gelöschte EVTX-Datensätze carven und überrollte Logs wiederherstellen
Signatur-basiertes Carving von EVTX-Datensätzen aus nicht zugewiesenem Speicher, Pagefile und RAM, plus die Tools, die mit kaputten Chunks gut umgehen, wenn das Live-Log fehlt, was du brauchst.
Lateral Movement in Security.evtx erkennen
Wie echte Angreifer-Tools sich in Windows-Umgebungen von Host zu Host bewegen, und die genauen Event-ID-Kombinationen in Security.evtx, die PsExec, Impacket und WMIExec fangen.
Ereignisprotokoll-Löschung und die Lücken, die überleben
Wie Angreifer Windows-Ereignisprotokolle leeren, welche Beweise auf der Festplatte und in weitergeleiteten Kanälen verbleiben, und der Unterschied zwischen wevtutil cl und Thread-Suspendierungs-Tools wie Invoke-Phant0m.
Das EVTX-Dateiformat, entschlüsselt
Eine praktische Tour durch das binäre EVTX-Format: Datei-Header, ELFCHNK-Chunks, BinXML-Templates, Substitutionsarrays und warum das Parsen schwerer ist, als es aussieht.
EVTX-Triage: was Sie zuerst lesen, wenn Sie eine Stunde und einen Host haben
Eine Reihenfolge der Operationen eines Praktikers für die Triage von Windows Event Logs während eines Incident Response: welche Channels wichtig sind, welche Event-IDs Sie anlügen und wo Sysmon die Schwerstarbeit leistet.
PowerShell-Logging: was Sie mit Modul- und Scriptblock-Logging an bekommen
Der praktische Unterschied zwischen PowerShell Module Logging, Script Block Logging, Transcripts und AMSI-Buffern, und die GPO-Einstellungen, die die nützlichen tatsächlich einschalten.
Sysmon-Konfiguration, die echte Angreifer fängt
Eine meinungsstarke Sichtweise auf Sysmon: welche Event-IDs in IR tatsächlich wichtig sind, warum olafhartong/sysmon-modular die richtige Baseline ist, und die Konfigurationsfehler, die Sie für echte Angriffe blind machen.