Event ID 4663: se intentó acceder a un objeto
El Event ID 4663 registra el acceso a archivos, carpetas y claves de registro auditados por una SACL: quién tocó qué y con qué máscara. Setup y caza.
Notas sobre el registro de eventos
Event ID 4672 explicado: detectar logons privilegiados en Windows
4672 se dispara cuando un logon recibe privilegios sensibles como SeDebugPrivilege o SeTcbPrivilege. Léelo como la señal de 'este logon es equivalente a admin' y el resto de la política de auditoría encaja sola.
Event ID 4688 explicado: auditoría de creación de procesos en Windows para DFIR
4688 es el registro de creación de procesos del SO base, siempre que la auditoría de línea de comandos esté activa. Esto es lo que contiene, en qué se diferencia de Sysmon 1 y los patrones de triaje que se ganan su sitio.
Event ID 4720 explicado: detectar creación de cuentas maliciosas en AD
4720 se dispara cada vez que se crea una cuenta de usuario, local o de dominio. Léelo con 4722, 4724 y 4732 y atrapas cuentas de persistencia y movimiento lateral en minutos.
Event ID 4768 explicado: solicitudes de TGT Kerberos y AS-REP roasting
4768 es el registro del DC de cada TGT emitido. Léelo a través del código de resultado y el flag de pre-auth y detectarás AS-REP roasting, fuerza bruta y abuso de delegación sin restricciones.
Event ID 4769 explicado: tickets de servicio Kerberos y kerberoasting
4769 es el registro del DC de cada solicitud de ticket de servicio. Léelo a través del tipo de cifrado y detectarás kerberoasting. Léelo con 4768 y detectarás pass-the-ticket.
Event ID 7036 explicado: cambios de estado de servicio para triaje DFIR
7036 se dispara cada vez que un servicio arranca o se detiene. Emparejado con 7045 confirma si la persistencia realmente se ejecutó. Por sí solo revela abuso de servicios, evasión de defensa y anomalías de arranque.
Cómo abrir un archivo .evtx (5 métodos, sin instalación requerida)
Cinco formas de abrir un archivo .evtx de Windows: en tu navegador, en Event Viewer, con wevtutil, con EvtxECmd o con python-evtx. Elige por SO del host y cuánta fricción aguantas.
¿Qué es un archivo .evtx? El formato del Registro de eventos de Windows explicado
Un archivo .evtx es un Registro de eventos de Windows binario. Dónde viven, qué hay dentro, en qué se diferencian de .evt y cómo abrirlos. Sin instalar nada.