Note sul log eventi
1102 è l'unico evento che non puoi sopprimere senza lasciare più prove. Ecco cosa ti dice, cosa sopravvive alla cancellazione e dove guardare quando lo vedi.
Come un file .evtx è disposto a livello di byte: header del file, chunk da 64 KB, la tabella template, e lo stream di record BinXML che la referenzia.
Lo scriptblock logging è il controllo difensivo gratuito più utile di Windows. Registra il corpo completo dello script, inclusi quelli offuscati o in memoria, sotto l'evento 4104.
La creazione di servizi è una delle tecniche di persistenza più rumorose. L'evento 7045 cattura ogni installazione. Leggete questi tre campi e ne prendete la maggior parte.
L'evento 1 di Sysmon è il record di creazione processo più ricco che Windows può produrre. Ecco cosa contiene e come fare triage velocemente.
Cosa contiene davvero un record 4624, perché il campo LogonType conta più dell'evento stesso, e come leggerli su scala.
Cos'è .evtx, quali canali contano, gli Event ID da conoscere e dove trovare ciascuno su disco. Un punto di partenza per tutto il resto del blog.