Перейти к содержимому
AD Academy
Ко всем событиям
1102SecurityБезопасность и атакиCRITОбновлено:

Журнал безопасности очищен

Что это значит

Кто-то очистил журнал безопасности. В нормальной среде это почти никогда не легитимно.

Когда это норма, а когда подозрительно

Нормально только при плановом задокументированном действии. В остальных случаях — классический признак заметания следов.

Первые шаги

  1. 1Немедленный алерт — классическое заметание следов.
  2. 2Берите логи из SIEM/сборщика, а не с самой машины.
  3. 3Смотрите, что происходило за 30 минут до очистки.

Поля, на которые смотреть

ПолеНа что смотреть
SubjectКто очистил журнал — немедленно уточните у команды инфраструктуры.

Связанные события

Справочник — отправная точка расследования, а не замена политике безопасности вашей организации.