Event ID 22: DNS query (Microsoft-Windows-Sysmon/Operational)

Cosa registra davvero questo Event ID su disco, i campi EventData da leggere per primi e dove si colloca in un workflow di triage DFIR.

Canale: Microsoft-Windows-Sysmon/Operational
Provider: Microsoft-Windows-Sysmon%4Operational
Note di triage: Per-process DNS resolution. Beacon-like cadence + unknown apex is a strong signal.

Microsoft Learn

https://learn.microsoft.com/en-us/sysinternals/downloads/sysmonApri la documentazione ufficiale ↗