Skip to content
.evtx

Notas sobre el registro de eventos

Event ID 1102 explicado: registro de auditoría de Security borrado (y lo que sobrevive)
1102 es el único evento que no puedes suprimir sin dejar más pruebas. Esto es lo que te dice, lo que sobrevive al borrado y dónde mirar cuando lo veas.
Formato de archivo EVTX explicado: chunks, plantillas e internos de BinXML
Cómo se dispone un archivo .evtx a nivel de byte: cabecera de archivo, chunks de 64 KB, la tabla de plantillas y el flujo de registros BinXML que la referencia.
PowerShell Event ID 4104 explicado: scriptblock logging para DFIR
Scriptblock logging es el control defensivo gratuito más útil de Windows. Registra el cuerpo completo del script, incluidos los ofuscados o en memoria, bajo el evento 4104.
Event ID 7045 explicado: instalación de servicio como señal de persistencia
La creación de servicios es una de las técnicas de persistencia más ruidosas. El evento 7045 captura cada instalación. Lee estos tres campos y atrapas la mayoría.
Sysmon Event ID 1 explicado: creación de procesos para triaje DFIR
El evento 1 de Sysmon es el registro de creación de proceso más rico que Windows puede producir. Aquí está lo que contiene y cómo triarlo rápido.
Event ID 4624 explicado: logon exitoso de Windows y referencia LogonType
Qué contiene realmente un registro 4624, por qué el campo LogonType importa más que el evento en sí, y cómo leerlos a escala.
Empieza aquí: guía de .evtx para el analista DFIR
Qué es .evtx, qué canales importan, los Event IDs que hay que conocer y dónde encontrar cada uno en disco. Un punto de partida para todo lo demás del blog.