DFIR
Eventos de Windows clave
En Windows, los eventos de seguridad son tu mejor testigo.
El evento cuatro seis dos cuatro es un inicio de sesión exitoso; el cuatro seis dos cinco, uno fallido. El cuatro seis ocho ocho registra cada proceso que se crea, oro para ver qué ejecutó el atacante.
Y el siete cuatro cinco, la instalación de un servicio, a menudo es persistencia. Con Get-WinEvent los filtras desde PowerShell.
Aprende estos números de memoria.
# los comandos
PS> Get-WinEvent -FilterHashtable @{LogName='Security';Id=4625} -MaxEvents 5copiar4625 Failed logon Account: administrator Source: 185.244.x.x
PS> Get-WinEvent -FilterHashtable @{LogName='Security';Id=4688} | ? {$_.Message -match 'powershell'}copiar4688 New Process: powershell.exe -enc SQBFAFgA... (ofuscado!)