Event ID 104: Log was cleared (System) (System)

Was diese Event ID tatsächlich auf der Festplatte aufzeichnet, welche EventData-Felder zuerst zu lesen sind und wo sie in einem DFIR-Triage-Workflow steht.

Kanal: System
Anbieter: Windows\System
Triage-Notizen: Service Control Manager's counterpart to Security 1102. Often missed by attackers who only clear Security.

Microsoft Learn

https://learn.microsoft.com/en-us/windows-server/identity/ad-ds/manage/component-updates/wineventOffizielle Referenz öffnen ↗