事件日志笔记

1102 是你无法抑制而不留下更多证据的唯一事件。它告诉了你什么，清除后什么得以保留，看到它后该去哪儿查。

一个 .evtx 文件在字节层面的布局：文件头、64 KB 块、模板表，以及引用它的 BinXML 记录流。

脚本块日志是 Windows 上最有用的免费防御控制。它记录每次执行的脚本完整正文 —— 包括混淆和驻留内存的 —— 事件 ID 是 4104。

服务创建是最显眼的持久化技术之一。事件 7045 捕获每次安装 —— 读这三个字段就能抓住大多数情况。

Sysmon 的事件 1 是 Windows 能产生的最丰富的进程创建记录。这里讲它包含什么,以及如何快速分诊。

4624 记录里到底包含什么、为什么 LogonType 字段比事件本身更关键、分诊时应该重点关注哪些字段，以及如何在大规模日志数据中高效地读懂这些登录事件，应用于事件响应与威胁狩猎的实用指引。

.evtx 是什么、哪些通道重要、必须掌握的 Event ID，以及它们在磁盘上的位置。本博客其他所有内容的导航起点。