מפת Event ID של Windows לאנליסט

ב־Windows יש אלפי אירועים, ורוב הלומדים טובעים בהם. בפועל אנליסט עובד עם רשימה קצרה של Event IDs — הם מכסים את מרבית התחקירים.

אימות וחשבונות

• 4624 — כניסה מוצלחת. הכי חשוב זה Logon Type: 2 מקומית, 3 דרך הרשת, 10 RDP, 4 Batch, 5 Service.
• 4625 — כניסה שנכשלה. עשרות אירועים לחשבון אחד = Brute Force; אירוע בודד לכל חשבון על פני מאות חשבונות = Password Spraying.
• 4720 — נוצר משתמש חדש. אם לא הייתה בקשה מסודרת — זו התבססות (Persistence).
• 4728 / 4732 / 4756 — משתמש נוסף לקבוצה מוגנת (Domain Admins, Administrators). אירוע קריטי כמעט תמיד.
• 4768 / 4769 — כרטיסי Kerberos. 4769 עם Encryption Type 0x17 (RC4) מול חשבון שירות = חשד ל־Kerberoasting.
• 4740 — נעילת חשבון, לרוב תוצאה של Spraying או של סיסמה ישנה בשירות.
• 1102 — יומן האבטחה נוקה. אין כמעט סיבה לגיטימית לזה.

תהליכים — 4688 ו־Sysmon

• 4688 / Sysmon Event ID 1 — הרצת תהליך. הזהב נמצא בשדה Parent Process.
• WINWORD.EXE או EXCEL.EXE שמריצים cmd.exe או powershell.exe — אינדיקטור קלאסי לפישינג שהצליח.
• Sysmon 3 — חיבור רשת מתהליך. powershell.exe שפונה החוצה זה דגל אדום.
• Sysmon 11 / 13 — כתיבת קובץ ושינוי Registry, כאן נתפסים Run Keys להתבססות.
• 7045 / 4698 — שירות חדש או משימה מתוזמנת חדשה, שתי דרכי ההתבססות הנפוצות ביותר.

# כל ניסיונות הכניסה שנכשלו ביממה האחרונה
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625; StartTime=(Get-Date).AddDays(-1)} |
  Group-Object { $_.Properties[5].Value } | Sort-Object Count -Descending | Select -First 10

# מי נוסף לקבוצות מוגנות
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4728,4732,4756} |
  Select TimeCreated, Message -First 20

# שרשרת הרצת תהליכים (Sysmon)
Get-WinEvent -LogName 'Microsoft-Windows-Sysmon/Operational' -MaxEvents 200 |
  Where-Object { $_.Id -eq 1 -and $_.Message -match 'powershell' }

# חיפוש כשלי כניסה ב-PowerShell
Get-WinEvent -FilterHashtable @{LogName='Security';ID=4625;StartTime=(Get-Date).AddHours(-1)} |
  Select TimeCreated,@{n='User';e={$_.Properties[5].Value}},@{n='Source';e={$_.Properties[19].Value}}

# חיפוש TGS מרובים מאותו מקור - Kerberoasting
Get-WinEvent -FilterHashtable @{LogName='Security';ID=4769} |
  Group-Object {$_.Properties[0].Value} | Sort Count -Desc

# הפעלת רישום שורת פקודה עבור 4688
# GPO: Computer > Policies > Admin Templates > System > Audit Process Creation > Include command line = Enabled