Web View

_book/Chapter7/7-3.md

@@ -0,0 +1,29 @@
+### 常见 Windows 事件 ID
+
+**1. 安全事件日志（Security Log）中常见的事件 ID**
+
+安全日志是我们进行应急响应和入侵分析时，最需要关注的。以下是一些常见的安全事件 ID 及其含义：
+
+- **ID 4624**：**成功登录**。这表示用户成功登录到系统。在排查入侵时，我们会特别关注登录的来源（网络登录、远程桌面等）和登录的用户
+- **ID 4625**：**登录失败**。这是入侵者进行暴力破解或密码猜解的常见痕迹。当看到大量连续的 4625 事件时，通常意味着有恶意登录尝试
+- **ID 4648**：**使用显式凭据登录**。这通常表示某个服务或进程使用与当前登录用户不同的凭据来运行，在排查横向移动和特权滥用时很有用
+- **ID 4672**：**分配了管理员特权**。当一个用户通过提权（如 Runas）获得管理员权限时，会产生此事件
+- **ID 4720**：**创建用户账户**。攻击者为了持久化控制，通常会创建新的用户。这个事件 ID 是检测账户异常创建的关键
+- **ID 4724**：**重置密码**。管理员或拥有相应权限的用户重置了另一个用户的密码
+- **ID 4732 / 4733**：**用户被添加到安全组 / 从安全组中移除**。攻击者可能会将自己的账户添加到管理员组（如 Administrators），以获取更高权限
+- **ID 4768 / 4769**：**Kerberos 票证请求**。这些事件与 Kerberos 身份验证有关，在排查域环境下的哈希传递、黄金票据等攻击时非常重要
+
+**2. 系统事件日志（System Log）中常见的事件 ID**
+
+系统日志可以帮助我们了解系统运行状态和是否存在异常
+
+- **ID 1074**：**系统关机或重启**。如果系统意外重启，这个事件会提供关机的原因
+- **ID 6005**：**系统启动**。表示事件日志服务已启动，通常在系统开机后记录
+- **ID 6006**：**系统关机**。表示事件日志服务已停止，通常在系统关机前记录
+
+**3. 应用事件日志（Application Log）中常见的事件 ID**
+
+应用日志帮助我们了解特定程序运行中出现的问题。
+
+- **ID 1000**：**应用程序崩溃或错误**。这是一个非常通用的事件 ID，表示某个应用程序遇到了错误并停止运行
+- **ID 1001**：**Windows 错误报告**。记录了应用程序崩溃的详细信息，这对于定位恶意软件或服务异常终止非常有用