ここから始める: DFIR アナリストのための .evtx ガイド

.evtx は、Microsoft が Vista から導入したバイナリの Windows イベントログ形式で、旧来の .evt を置き換えました。Windows のインシデント対応の背骨です。ログオン、サービスインストール、スケジュールドタスク、PowerShell コマンドライン、Sysmon のプロセスツリー。すべてこの形式にシリアライズされます。本記事は索引です。1 画面で全体像を示してから、実際の事案で意味のあるチャネルと Event ID を扱う各記事へのリンクをまとめます。

.evtx に初めて触れる方は、まず .evtx ファイルとは何かと .evtx ファイルの開き方からどうぞ。本記事の残りは、形式に慣れていて、ホストが炎上したときにまず何を読むべきかを知りたい方を想定しています。

ファイルの場所

ライブのログは C:\Windows\System32\winevt\Logs\ の下にあります。1 チャネルにつき 1 つの .evtx ファイルです。常に存在するデフォルト:

Security.evtx。ログオン、特権利用、監査ポリシー変更。ほとんどの事案で最もフォレンジック価値が高い。
System.evtx。ドライバー、サービス、OS レベルのエラー。
Application.evtx。アプリケーションレベルのエラー。
Setup.evtx と ForwardedEvents.evtx。インストール記録と転送された WEF トラフィック。

加えて Microsoft-Windows-* 配下のアプリケーション別チャネル。事案で本領を発揮するもの:

Microsoft-Windows-Sysmon%4Operational.evtx。Sysmon が入っているときだけ存在します。入っていれば金脈です。
Microsoft-Windows-PowerShell%4Operational.evtx。Scriptblock とモジュールロギング。
Microsoft-Windows-TaskScheduler%4Operational.evtx。スケジュールドタスクの作成と実行。
Microsoft-Windows-TerminalServices-LocalSessionManager%4Operational.evtx。RDP セッションのライフサイクル。

ファイルがどのようにレイアウトされているか(64 KB チャンク、XML テンプレートテーブル、BinXML)の深掘りは、チャンクレベルの詳細を参照してください。

押さえておくべき Event ID

アナリストが軸にする項目の大半をカバーする要点リスト:

4624 ログオン成功。LogonType で読み解きます。このフィールドが、コンソール (2)、ネットワーク (3)、RDP (10)、runas /netonly (9) のどれを見ているかを決めます。
4625 ログオン失敗。バーストパターンは、どのフィールドが集まっているかによって、偵察、ブルートフォース、パスワードスプレーのいずれかになります。
1102 Security ログがクリアされた。これを見たら、手元のログには既知の欠落があります。報告書に大きく明記してください。
4104 PowerShell scriptblock。デコードとリフレクションの後のスクリプト本体。プラットフォーム上で最も有用な無料の防御制御です。
7045 サービスインストール。MITRE ATT&CK で最も引用される永続化テクニックの 1 つ (T1543.003)。PsExec のシグネチャでもあります。
Sysmon 1 プロセス作成。Sysmon が存在する場合、Windows が生成できる最も豊富なプロセス作成記録です。

それらをつなぎ合わせるワークフローについては、1 時間と 1 台のホストがあるときの EVTX トリアージを読んでください。

このサイトの位置づけ

トップページのパーサーは Rust クレート omerbenamram/evtx を WebAssembly にコンパイルし、Web Worker 上で動かしています。.evtx をドロップすると、ワーカーがチャンクを走査し、フィルタ可能なイベントタイムラインとレコードごとの XML を返します。すべてブラウザ内で完結し、アップロードはありません。EDR を立ち上げたくないとき、自分のものではないシステムからファイルを移動させたくないときの、即席トリアージに使ってください。

ライブホストから .evtx を収集する(KAPE、FTK Imager、wevtutil)場合は、その記事で 4 つの標準的な手法と、それぞれの証拠保全上のトレードオフを扱っています。

EVTX が必要な唯一のアーティファクトであることは稀です。registry、MFT、USN journal、AmCache、Shimcache、prefetch、LNK のパーサーと組み合わせてください。さらに深く掘る必要があるときは、pagefile と RAM dump の解析が、ディスク常駐ログでは失われたものを復元します。ユーザー活動のタイムラインには、SRUM、jump lists、recycle bin、recent file cache、browser history が、EVTX では埋められない空白を埋めます。