标签「{tag}」的文章: #incident-response

真实对手工具如何在 Windows 环境中跨主机移动，以及在 Security.evtx 中能抓住 PsExec、Impacket 与 WMIExec 的精确 Event ID 组合。

攻击者如何清除 Windows 事件日志，磁盘上与转发通道里会留下什么证据，以及 wevtutil cl 与 Invoke-Phant0m 这类挂起线程的工具之间的差异。

应急响应中 Windows 事件日志分诊的实务操作顺序——哪些通道重要、哪些 Event ID 会骗你，以及 Sysmon 在哪里挑大梁。