Exécuter des règles Sigma sur des EVTX dans votre navigateur
2 395 règles SigmaHQ sur vos journaux .evtx sans installer Hayabusa ni Chainsaw : détection Sigma dans le navigateur, contexte ATT&CK, pivots et vos propres règles YAML.
Notes sur le journal d'événements
Notes courtes sur le format binaire du journal d'événements Windows, les ID d'événements forensiquement utiles et les workflows de triage.
« Description de l'ID d'événement introuvable » : corriger
Pourquoi l'Observateur d'événements ne trouve pas la description d'un Event ID, ce que signifient les codes %%1833, et comment lire l'événement hors ligne.
Carving d'enregistrements EVTX supprimés et récupération de journaux écrasés
Carving par signature d'enregistrements EVTX dans l'espace non alloué, le pagefile et la mémoire, et les outils qui gèrent gracieusement les chunks malformés quand le journal vivant n'a plus ce qu'il vous faut.
Détecter le mouvement latéral dans Security.evtx
Comment les outils d'adversaires réels se déplacent d'hôte en hôte dans les parcs Windows, et les combinaisons précises d'Event ID dans Security.evtx qui attrapent PsExec, Impacket et WMIExec.
Effacement de journaux d'événements et les trous qui survivent
Comment les attaquants effacent les journaux d'événements Windows, quelles preuves restent sur disque et dans les canaux transférés, et la différence entre wevtutil cl et les outils de suspension de threads comme Invoke-Phant0m.
Le format de fichier EVTX, décodé
Une visite pratique du format binaire EVTX : en-tête de fichier, chunks ELFCHNK, templates BinXML, tableaux de substitution, et pourquoi parser cette chose est plus difficile qu'il n'y paraît.
Triage EVTX : que lire en premier quand vous avez une heure et un hôte
Un ordre des opérations de praticien pour le triage des Windows Event Logs pendant la réponse à incident : quels canaux comptent, quels event IDs vous mentent, et où Sysmon fait le gros du travail.
Logging PowerShell : ce que vous obtenez avec module logging et script block logging activés
La différence pratique entre PowerShell module logging, script block logging, transcriptions et buffers AMSI, et les paramètres GPO qui activent vraiment les utiles.
Configuration Sysmon qui attrape de vrais adversaires
Une vision tranchée sur Sysmon : quels event IDs comptent vraiment en IR, pourquoi olafhartong/sysmon-modular est la bonne baseline, et les erreurs de configuration qui vous aveuglent face aux vraies attaques.