鐵人檔案
說明 許多企業導入 SIEM 系統來監控環境中潛在的駭客行為或惡意操作，這些系統會收集大量設備日誌，並透過規則進行比對和分析。 本文將深入探討日常操作的正常日誌...
說明 Windows 事件檢視器 (Event Viewer) 是一個內建工具，用於查看系統日誌。透過它，使用者可以檢索系統的操作記錄以及各類異常事件，便於進行...
說明 一般的篩選 (Filter) 功能僅能針對時間範圍或 Event ID 進行搜尋，無法精確過濾更細項的資訊（如 Logon Type）。然而，透過 XML...
說明 使用 Windows 事件檢視器 (Event Viewer) 時，逐一尋找並點擊事件查看詳情往往讓人感到不便。若不想下載其他軟體來匯出日誌，可以考慮使用...
說明 預設的Event訊息並不完整，很多事件不會產生，難以關聯前因後果，Windows在群組原則GPO部分可以設定啟用那些稽核原則 作法 1. 設定 Windo...
說明 這次來看一下一台Windows主機被另一台主機用遠端桌面會有什麼紀錄 作法 Audit Log 首先確認使否啟用中Audit Police本地設定 gpe...
說明 搭配Wireshark看一下網路層行為，與EvenLog做比較 作法 Wireshark 預設顯示方式是啟動0開始，可以改成Timez方便比對EventL...
說明 這章觀察另一種PowerShell連入的事件的日誌 作法 嘗試連線失敗，EventLog Security 4703 Token Right Adjust...
說明 共享資料夾是一種常被拿來橫向擴散，並取得為妥善保護的手冊文件、設定檔等資料，如被獲取高權密碼甚至能用//xxxx.xxxx.xxxx.xxxx/c$ 方式...
說明 一直用Eventviewer及PowerShell查日誌在大量關聯事件時不是很容易，一不小心日誌被清掉覆蓋，所以會使用LogServer或是SIEM等平台...
