Windows事件响应指南（下）

事件响应指南（完结篇）

前排提示: 使用手机预览的时候, 横屏预览更佳~

在我们Blue Team，针对Windows日志分析的场景占绝大多数，Windows 事件日志记录提供了源、用户名、计算机、事件类型和级别等详细信息，并显示应用程序和系统消息的日志，包括错误、信息消息和警告。

多年来，微软不断提高其审计设施的效率和有效性。 现代 Windows 系统可以以最小的系统影响记录大量信息。

一般来说企业会选择一种工具来获取日志，这个工具叫做Security information and event management(SIEM) ，安全，信息和事件管理。

在 Windows 系统上配置足够的日志记录，并在理想情况下将这些日志聚合到 SIEM 或其他日志聚合器中，能够确保我们在SIEM中的搜索语句找到自己想要的日志。

进程跟踪

与许多 Linux shell（例如 bash）不同，Windows cmd.exe shell 不保留用户运行的命令的历史记录。这在事件处理程序了解攻击者对受感染主机所采取的操作的能力方面造成了明显的差距。不依赖恶意软件而是使用内置 Windows 的command.exe攻击的兴起只会让这个盲点更具破坏性。虽然在 Windows 的早期阶段，审核进程创建被认为过于系统化

虽然并非每个系统都需要，但在关键系统上启用此功能正日益成为安全意识环境中的标准做法。这需要设置两个单独的组策略设置。首先当然是计算机配置-> Windows 设置-> 安全设置-> 本地策略-> 审核策略-> 审核过程跟踪。启用后，安全日志中的事件 ID 4688 会提供有关已在系统上运行的进程的大量信息：

事件ID	描述	Description
4688	已创建一个新进程。事件描述提供进程ID 和进程名称、创建者进程ID、创建者进程名称和进程命令行(需要单独启用)	A new process has been created. The event description provides the Process ID and Process Name, Creator Process ID, Creator Process Name, and Process Command Line (if enabled separately, as outlined earlier in this section).

除了事件 ID 4688，开启进程跟踪还可能导致来自 Windows 过滤平台的与网络连接和侦听端口相关的额外安全日志条目，如下所示：

Windows Filter筛选 (WFP) 事件 ID

事件ID	描述	Description
5031	Windows 防火墙服务阻止应用程序接受网络上的传入连接。	The Windows Firewall Service blocked an application from accepting incoming connections on the network.
5152	WFP 阻止了一个数据包。	The WFP blocked a packet.
5154	WFP 已允许应用程序或服务在端口上侦听传入连接。	The WFP has permitted an application or service to listen on a port for incoming connections.
5156	WFP已允许建立联系。	The WFP has allowed a connection.
5157	WFP 已阻止连接。	The WFP has blocked a connection.
5158	WFP 已允许绑定到本地端口。	The WFP has permitted a bind to a local port.
5159	WFP 已阻止绑定到本地端口。	The WF