Quatre façons de récupérer du .evtx depuis un hôte Windows vivant : wevtutil, FTK Imager, KAPE, NTFS brut. Avec les compromis de chaîne de garde de chacune et les commandes que vous lancerez vraiment.
4625 est l'enregistrement d'échec de logon. Lisez-le correctement et vous repérez les password sprays, le credential stuffing et l'abus de Kerberos avant qu'ils ne réussissent.
L'Event ID 1102 signifie que le journal d'audit Security de Windows a été effacé. Qui l'a fait, quels champs le prouvent, ce qui survit et où chercher.
Comment un fichier .evtx est disposé au niveau octet : en-tête de fichier, chunks de 64 Ko, la table de templates, et le flux d'enregistrements BinXML qui la référence.
L'Event ID 4104 enregistre le texte complet de chaque bloc de script PowerShell, même obfusqué ou en mémoire. Comment l'activer, le lire et chasser avec.
La création de service est l'une des techniques de persistance les plus bruyantes. L'événement 7045 capture chaque installation. Lisez ces trois champs et vous attrapez la plupart.
L'événement 1 de Sysmon est l'enregistrement de création de processus le plus riche que Windows peut produire. Voici ce qu'il contient et comment le trier rapidement.
Ce qu'un enregistrement 4624 contient réellement, pourquoi le champ LogonType compte plus que l'événement lui-même, et comment les lire à grande échelle.
Ce qu'est .evtx, quels canaux comptent, les Event ID à connaître et où trouver chacun sur le disque. Un point de départ pour tout le reste du blog.