Event ID 4625 spiegato: rilevare brute force, spray ed enumerazione
4625 è il record di logon fallito. Leggilo bene e individui password spray, credential stuffing e abuso di Kerberos prima che si trasformino in un successo.
Note sul log eventi
Event ID 1102: log di audit cancellato (e cosa sopravvive)
L'Event ID 1102 indica che il log di audit Security di Windows è stato cancellato. Chi l'ha fatto, quali campi lo provano, cosa sopravvive e dove cercare.
Formato di file EVTX spiegato: chunk, template e interni BinXML
Come un file .evtx è disposto a livello di byte: header del file, chunk da 64 KB, la tabella template, e lo stream di record BinXML che la referenzia.
Event ID 4104: logging dei blocchi di script PowerShell
L'Event ID 4104 registra il testo completo di ogni blocco di script PowerShell, anche offuscato o in memoria. Come abilitarlo, leggerlo e usarlo.
Event ID 7045 spiegato: installazione di servizio come segnale di persistenza
La creazione di servizi è una delle tecniche di persistenza più rumorose. L'evento 7045 cattura ogni installazione. Leggete questi tre campi e ne prendete la maggior parte.
Sysmon Event ID 1 spiegato: creazione processo per triage DFIR
L'evento 1 di Sysmon è il record di creazione processo più ricco che Windows può produrre. Ecco cosa contiene e come fare triage velocemente.
Event ID 4624 spiegato: logon Windows riuscito e riferimento LogonType
Cosa contiene davvero un record 4624, perché il campo LogonType conta più dell'evento stesso, e come leggerli su scala.
Inizia qui: guida a .evtx per l'analista DFIR
Cos'è .evtx, quali canali contano, gli Event ID da conoscere e dove trovare ciascuno su disco. Un punto di partenza per tutto il resto del blog.