搜索

[18910] 2021-07-05_应急响应之日志分析

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2021-07-05_应急响应之日志分析 应 急 响 应 之 日 志 分 析 原 创   花 十 一 一   h u a s e c   2 0 2 1 - 0 7 - 0 5 收 录 于 话 题   # 应 急 响 应   , 2 6 个 “   日 志 文 件 是 分 析 系 统 操 作 及 其 行 为 的 关 键 ， 对 于 应 急 响 应 有 着 不 可 描 述 的 作 用 ， 通 过 分 析 日 志 获 取 操 作 系 统 历 史 发 生 的 事 件 或 检 查 操 作 系 统 是 否 按 照 预 期 运 行 。 在 后 续 文 章 中 ， 分 析 下 W i n d o w s 系 统 上 的 日 志 作 用 ” 0 1 — M i c r o s o f t - W i n d o w s - S h e l l - C o r e 9 7 0 7 :   从 注 册 表 " S o f t w a r e M i c r o s o f t W i n d o w s C u r r e n t V e r s i o n R u n   " 和 "   S o f t w a r e M i c r o s o f t W i n d o w s C u r r e n t V e r s i o n R u n O n c e " 中 获 取 进 程 名 并 开 始 执 行 。 9 7 0 8 :   检 测 上 述 进 程 何 时 执 行 成 功 ， 即 获 取 P I D ( 当 进 程 仍 在 系 统 上 运 行 时 有 用 ) 。 通 过 事 件 I D 9 7 0 7 和 9 7 0 8 可 以 用 来 发 现 使 用 " R u n " 和 " R u n O n c e " 作 为 持 久 化 的 恶 意 软 件 。 2 8 1 1 5   :     当 快 捷 方 式 被 添 加 到   " A p p   R e s o l v e r   C a c h e " 时 候 触 发 ， 指 何 时 安 装 应 用 程 序 。
0 2 —   M i c r o s o f t - W i n d o w s - W i n I N e t - C o n f i g 5 6 0 0 :     检 测 代 理 配 置 的 变 化 0 3 —   M i c r o s o f t   O f f i c e   A l e r t s 3 0 0 :     使 用 o f f i c e 应 用 程 序 时 触 发 。 例 如 ， 当 提 示 保 存 o f f i c e   ( e x c e l ,   w o r d … 等 ) 文 件 时 ， 就 会 产 生 一 个 事 件 。 包 含 关 于 文 件 名 称 ( 在 保 存 文 件 的 情 况 下 ) ， o f f i c e 版 本 ， 触 发 事 件 的 应 用 程 序 ( W o r d ,   P o w e r P o i n t ,   E x c e l … 等 ) 的 信 息 。
该 事 件 可 用 于 确 定 可 疑 的 文 件 是 否 已 被 用 户 打 开 或 更 改 。 0 4 —   M i c r o s o f t - W i n d o w s - W L A N - A u t o C o n f i g 8 0 0 1 :     成 功 连 接 到 无 线 网 络 时 触 发 。 8 0 0 3 ： 成 功 断 开 无 线 网 络 时 触 发 。
0 5 —   M i c r o s o f t - W i n d o w s - W i n l o g o n 8 1 1 / 8 1 2 :       当 用 户 登 录 到 计 算 机 时 触 发 。 可 以 在 E I D 为 8 1 1 的 日 志 中 看 到 关 键 词 " S e s s i o n E n v " ， " S e s s i o n E n v " 也 会 在 用 户 第 一 次 登 录 触 发 ， 要 区 分 R D P 或 者 L o c a l 登 录 ， 可 以 查 找 该 事 件 之 后 是 否 有 E I D   1 / 2 ， 如 果 不 存 在 是 R D P 登 录 ， 存 在 就 是 本 地 登 录 。 1 / 2 :       只 有 当 用 户 登 录 到 他 没 有 会 话 的 计 算 机 时 ( 即 会 话 断 开 / 不 存 在 ) ， 这 个 事 件 才 会 被 触 发 。 I D   2 可 用 于 确 定 用 户 输 入 错 误 密 码 的 次 数 。 如 果 密 码 正 确 ， 则 生 成 R e s u l t   C o d e :   0 。 如 果 用 户 提 供 了 错 误 的 密 码 ， I D   2   将 生 成 " R e s u l t   C o d e : 1 3 2 6 " 。 表 示 密 码 错 误 。 通 过 统 计 I D   2 的 次 数 可 以 发 现 尝 试 了 多 少 次 密 码 爆 破
0 6 —   M i c r o s o f t - W i n d o w s - W i n d o w s   F i r e w a l l   W i t h   A d v a n c e d   S e c u r i t y 2 0 0 4   :     规 则 被 添 加 到 W i n d o w s 防 火 墙 例 外 列 表 时 触 发 。
2 0 0 5 :     W i n d o w s 防 火 墙 例 外 列 表 中 的 规 则 被 修 改 时 触 发 。 2 0 0 6 :     在 i n d o w s 防 火 墙 例 外 列 表 中 删 除 了 一 条 规 则 ” 时 触 发 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理