Event ID 4625 explicado: deteção de brute force, sprays e enumeração
O 4625 é o registo de logon falhado. Lê-lo bem permite identificar password sprays, credential stuffing e abuso de Kerberos antes que se tornem um sucesso.
Notas sobre logs de eventos
Event ID 1102: log de auditoria limpo (e o que sobrevive)
O Event ID 1102 significa que o log de auditoria Security do Windows foi limpo. Quem o fez, que campos o provam, o que sobrevive e onde procurar.
Formato do ficheiro EVTX explicado: chunks, templates e internals do BinXML
Como um ficheiro .evtx está organizado ao nível dos bytes: cabeçalho de ficheiro, chunks de 64 KB, a tabela de templates e o stream de registos BinXML que a referencia.
Event ID 4104: registo de blocos de script do PowerShell
O Event ID 4104 regista o texto completo de cada bloco de script do PowerShell, mesmo ofuscado ou em memória. Como ativá-lo, lê-lo e caçar com ele.
Event ID 7045 explicado: instalação de serviço como sinal de persistência
Criação de serviço é uma das técnicas de persistência mais barulhentas. O event 7045 captura cada install — leia esses três campos e você pega a maior parte.
Sysmon Event ID 1 explicado: criação de processo para triagem DFIR
O event 1 do Sysmon é o registro mais rico de criação de processo que o Windows consegue produzir. Eis o que ele contém e como triá-lo rápido.
Event ID Windows 4624: decodificando cada logon bem-sucedido
O que um registro 4624 realmente contém, por que o campo LogonType importa mais que o próprio evento, e como lê-los em escala.
Começa aqui: o guia do analista DFIR sobre .evtx
O que é o .evtx, que canais importam, os Event IDs a conhecer e onde encontrar cada um em disco. Um ponto de partida de navegação para tudo o resto neste blogue.