FEATURES / ADVANCED
高級 / 1,202
讓調查，有跡可循。系統稽核、檔案鑑識、網路診斷與 Windows 事件調查，從實際證據開始。
1,082 項不同 Windows 提供者／事件 ID 的調查積木，加上 120 項唯讀診斷。它們不是 1,202 種漏洞利用方法；日誌是否存在與可讀取，取決於 Windows 版本、設定及權限。
查詢這個空間的積木 ↗CATEGORY INDEX
依分類找到用途。
安全稽核事件39Defender 偵測事件39PowerShell 執行事件39WMI 活動事件25排程工作事件39防火牆變更事件39WinRM 遠端管理事件39SMB 用戶端事件39SMB 伺服器事件39遠端桌面工作階段事件39遠端桌面連線事件39DNS 用戶端事件39DHCP 用戶端事件39程式碼完整性事件39AppLocker 執行控管事件38憑證驗證事件39BitLocker 加密事件39群組原則事件39Windows 更新事件39使用者模式驅動事件39裝置插拔事件39系統開機事件38電源與休眠事件38網路識別事件18無線網路事件38NTLM 驗證事件23使用者設定檔事件38列印服務事件38Device Guard 防護事件11漏洞緩解事件36系統基線盤點10程序與服務鑑識10檔案完整性證據10目錄與時間線鑑識10登錄檔安全基線10帳戶與權限稽核10網路組態與快取10單點網路診斷10DNS 記錄稽核10HTTP 安全標頭稽核10憑證與信任存放區10端點與防護組態10
A FEW PLACES TO START
從這些項目開始看。
4624｜An account was successfully logged on.
事件調查：An account was successfully logged on.。固定提供者 Microsoft-Windows-Security-Auditing；事件 ID 4624。讀取事件證據，不代表偵測到入侵；需結合上下文判讀。
sec4_evt_014 個參數 ↗4688｜A new process has been created.
事件調查：A new process has been created.。固定提供者 Microsoft-Windows-Security-Auditing；事件 ID 4688。讀取事件證據，不代表偵測到入侵；需結合上下文判讀。
sec4_evt_514 個參數 ↗4104｜Creating Scriptblock text (… of …):
事件調查：Creating Scriptblock text (… of …):。固定提供者 Microsoft-Windows-PowerShell；事件 ID 4104。讀取事件證據，不代表偵測到入侵；需結合上下文判讀。
sec4_evt_7913 個參數 ↗作業系統支援與開機資訊
讀取 Win32_OperatingSystem；可依 Caption 篩選與選擇證據屬性。 唯讀；不修改系統或目標。
sec4_os3 個參數 ↗YOUR NEXT WORKSPACE