Skip to content
.evtx

Notizen zum Ereignisprotokoll

Event ID 1102 erklärt: Security-Audit-Log geleert (und was überlebt)
1102 ist das eine Ereignis, das du nicht unterdrücken kannst, ohne mehr Beweise zu hinterlassen. Hier ist, was es dir sagt, was das Löschen überlebt und wo du suchst, wenn du es siehst.
EVTX-Dateiformat erklärt: Chunks, Templates und BinXML-Interna
Wie eine .evtx-Datei auf Byte-Ebene aufgebaut ist: Datei-Header, 64-KB-Chunks, die Template-Tabelle und der BinXML-Datensatzstrom, der darauf verweist.
PowerShell Event ID 4104 erklärt: Scriptblock-Logging für DFIR
Scriptblock-Logging ist Windows' nützlichste kostenlose defensive Kontrolle. Es zeichnet den vollständigen Skript-Body auf, einschließlich obfuskierter oder in-memory ausgeführter, unter Event 4104.
Event ID 7045 erklärt: Service-Installation als Persistenzsignal
Service-Erstellung ist eine der lautesten Persistenztechniken. Event 7045 fängt jede Installation. Lesen Sie diese drei Felder und Sie fangen das meiste davon.
Sysmon Event ID 1 erklärt: Prozesserstellung für DFIR-Triage
Sysmons Event 1 ist der reichste Prozesserstellungs-Record, den Windows produzieren kann. Hier ist, was darin steht und wie man es schnell triagiert.
Event ID 4624 erklärt: erfolgreicher Windows-Logon und LogonType-Referenz
Was ein 4624-Record tatsächlich enthält, warum das LogonType-Feld wichtiger ist als das Event selbst, und wie man sie im Maßstab liest.
Hier starten: Leitfaden eines DFIR-Analysten zu .evtx
Was .evtx ist, welche Kanäle wichtig sind, die Event IDs, die man kennen muss, und wo jede davon auf der Festplatte zu finden ist. Ein Orientierungspunkt für alles Weitere in diesem Blog.