Карта Event ID Windows для аналитика

В Windows тысячи событий, и большинство учащихся в них тонут. На самом деле аналитик работает с коротким списком Event ID — они охватывают большинство расследований.

Аутентификация и учетные записи

• 4624 — Успешный вход в систему. Самое важное — это тип входа (Logon Type): 2 локальный, 3 по сети, 10 RDP, 4 пакетный (Batch), 5 служба (Service).
• 4625 — Неудачный вход в систему. Десятки событий для одной учетной записи = Brute Force; одно событие для каждой учетной записи из сотен = Password Spraying.
• 4720 — Создана новая учетная запись пользователя. Если не было официального запроса — это закрепление (Persistence).
• 4728 / 4732 / 4756 — Пользователь добавлен в защищенную группу (Domain Admins, Administrators). Почти всегда критическое событие.
• 4768 / 4769 — Билеты Kerberos. 4769 с Encryption Type 0x17 (RC4) против учетной записи службы = подозрение на Kerberoasting.
• 4740 — Блокировка учетной записи, часто результат Spraying или старого пароля в службе.
• 1102 — Журнал безопасности очищен. Почти нет законных причин для этого.

Процессы — 4688 и Sysmon

• 4688 / Sysmon Event ID 1 — Запуск процесса. Золото находится в поле Parent Process.
• WINWORD.EXE или EXCEL.EXE, запускающие cmd.exe или powershell.exe — классический индикатор успешного фишинга.
• Sysmon 3 — Сетевое соединение от процесса. powershell.exe, обращающийся наружу, — это красный флаг.
• Sysmon 11 / 13 — Запись файла и изменение реестра, здесь обнаруживаются Run Keys для закрепления.
• 7045 / 4698 — Новая служба или новая запланированная задача, два наиболее распространенных способа закрепления.

# Все неудачные попытки входа за последние 24 часа
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625; StartTime=(Get-Date).AddDays(-1)} |
  Group-Object { $_.Properties[5].Value } | Sort-Object Count -Descending | Select -First 10

# Кто был добавлен в защищенные группы
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4728,4732,4756} |
  Select TimeCreated, Message -First 20

# Цепочка выполнения процессов (Sysmon)
Get-WinEvent -LogName 'Microsoft-Windows-Sysmon/Operational' -MaxEvents 200 |
  Where-Object { $_.Id -eq 1 -and $_.Message -match 'powershell' }

# Поиск сбоев входа в PowerShell
Get-WinEvent -FilterHashtable @{LogName='Security';ID=4625;StartTime=(Get-Date).AddHours(-1)} |
  Select TimeCreated,@{n='User';e={$_.Properties[5].Value}},@{n='Source';e={$_.Properties[19].Value}}

# Поиск нескольких TGS из одного источника - Kerberoasting
Get-WinEvent -FilterHashtable @{LogName='Security';ID=4769} |
  Group-Object {$_.Properties[0].Value} | Sort Count -Desc

# Включение ведения журнала командной строки для 4688
# GPO: Computer > Policies > Admin Templates > System > Audit Process Creation > Include command line = Enabled