Vier Wege, .evtx von einem Live-Windows-Host zu ziehen: wevtutil, FTK Imager, KAPE, Roh-NTFS. Mit den Beweisketten-Kompromissen für jede und den Befehlen, die du tatsächlich tippst.
4625 ist der Datensatz für fehlgeschlagene Anmeldungen. Lies ihn richtig und du erkennst Password Sprays, Credential Stuffing und Kerberos-Missbrauch, bevor sie zum Erfolg werden.
Event ID 1102 bedeutet, dass das Windows-Security-Überwachungsprotokoll gelöscht wurde. Wer es war, welche Felder es belegen und welche Spuren bleiben.
Wie eine .evtx-Datei auf Byte-Ebene aufgebaut ist: Datei-Header, 64-KB-Chunks, die Template-Tabelle und der BinXML-Datensatzstrom, der darauf verweist.
Event ID 4104 zeichnet den vollständigen Text jedes PowerShell-Scriptblocks auf, auch obfuskierten oder In-Memory-Code. Aktivieren, lesen und damit jagen.
Service-Erstellung ist eine der lautesten Persistenztechniken. Event 7045 fängt jede Installation. Lesen Sie diese drei Felder und Sie fangen das meiste davon.
Sysmons Event 1 ist der reichste Prozesserstellungs-Record, den Windows produzieren kann. Hier ist, was darin steht und wie man es schnell triagiert.
Was ein 4624-Record tatsächlich enthält, warum das LogonType-Feld wichtiger ist als das Event selbst, und wie man sie im Maßstab liest.
Was .evtx ist, welche Kanäle wichtig sind, die Event IDs, die man kennen muss, und wo jede davon auf der Festplatte zu finden ist. Ein Orientierungspunkt für alles Weitere in diesem Blog.