Event ID 4625 解读：检测暴力破解、喷洒与枚举
4625 是登录失败记录。读得对，你能在它演变为成功之前发现密码喷洒、撞库和 Kerberos 滥用。
事件日志笔记
Event ID 1102：审计日志已被清除（以及留下了什么）
Event ID 1102 表示 Windows Security 审计日志已被清除。本文说明是谁执行的、哪些字段可以证明、清除后仍保留哪些证据，以及接下来该查哪里。
EVTX 文件格式解读：块、模板与 BinXML 内部
一个 .evtx 文件在字节层面的布局：文件头、64 KB 块、模板表，以及引用它的 BinXML 记录流。
Event ID 4104：PowerShell 脚本块日志详解
Event ID 4104 记录每个 PowerShell 脚本块的完整文本，包括混淆和仅在内存中执行的代码。本文介绍如何启用、如何解读字段以及如何用它进行威胁狩猎。
Event ID 7045 详解:作为持久化信号的服务安装
服务创建是最显眼的持久化技术之一。事件 7045 捕获每次安装 —— 读这三个字段就能抓住大多数情况。
Sysmon Event ID 1 详解:面向 DFIR 分诊的进程创建
Sysmon 的事件 1 是 Windows 能产生的最丰富的进程创建记录。这里讲它包含什么,以及如何快速分诊。
Windows 事件 ID 4624:解读每一次成功登录
4624 记录里到底包含什么、为什么 LogonType 字段比事件本身更关键、分诊时应该重点关注哪些字段，以及如何在大规模日志数据中高效地读懂这些登录事件，应用于事件响应与威胁狩猎的实用指引。
从这里开始：DFIR 分析师的 .evtx 指南
.evtx 是什么、哪些通道重要、必须掌握的 Event ID，以及它们在磁盘上的位置。本博客其他所有内容的导航起点。