Page 3 / 3

イベントログノート

2026/5/17

4625 はログオン失敗レコードです。正しく読めば、成功に転じる前にパスワードスプレー、クレデンシャルスタッフィング、Kerberos の悪用を見つけられます。

2026/5/17

Event ID 1102 は Windows の Security 監査ログがクリアされたことを示します。誰が実行したか、それを証明するフィールド、クリア後も残る証拠、次に調べるべき場所を解説。

2026/5/17

.evtx ファイルがバイトレベルでどうレイアウトされるか: ファイルヘッダー、64 KB チャンク、テンプレートテーブル、それを参照する BinXML レコードストリーム。

2026/5/17

Event ID 4104 は、難読化されたものやインメモリのものを含め、すべての PowerShell スクリプトブロックの全文を記録します。有効化の方法、フィールドの読み方、ハンティングでの使い方を解説。

2026/5/17

サービス作成は最も騒がしい永続化手法の一つ。Event 7045 は全インストールを捕捉する — 3 つのフィールドを読めばその大半を捉えられる。

2026/5/17

Sysmon のイベント 1 は Windows が生成できる最もリッチなプロセス作成レコード。中身と素早いトリアージ方法を解説。

2026/5/17

イベントID 4624（ログオン成功）の中身を完全解説。ログオンタイプ 2/3/10 の見分け方、トリアージで見るべきフィールド、大量のログを効率よく読むコツまで DFIR 実務者が解説します。

2026/5/16

.evtx とは何か、重要なチャネル、押さえておくべき Event ID、それぞれがディスク上のどこにあるか。このブログのその他すべてのコンテンツへの出発点となるナビゲーションです。