किसी संदिग्ध credential हमले की जांच करते वक्त कौन सी Windows event ID सबसे ज्यादा मायने रखती हैं?

4624 और 4625 आपको logon type और source के साथ कामयाब और नाकाम logon देते हैं; 4768, 4769 और 4771 Kerberos ticket की गतिविधि कवर करते हैं और आपके Kerberoasting तथा password spray के संकेत लाते हैं; 4648 credential का साफ इस्तेमाल दिखाता है; 4672 privileged logon पर निशान लगाता है; 4720 और 4732 account तथा group के बदलाव कवर करते हैं; 7045 और 4698 remote execution और persistence पकड़ते हैं। इन्हें account, source host और समय के हिसाब से जोड़ें।

मैं उन्हें इस हिसाब से बांटता हूं कि वे क्या साबित करती हैं। authentication: 4624 और 4625, और मुझे ID से कम परवाह logon type और source network address की होती है, क्योंकि किसी अनपेक्षित host से आया type 3 ही असली कहानी है। Kerberos: किसी service account के खिलाफ RC4 encryption वाला 4769 मेरा Kerberoasting संकेत है, और कई account पर 4771 की बाढ़ spraying है। privilege: 4672 बताता है कि उस logon के पास administrative अधिकार थे। credential का इस्तेमाल: 4648 runas जैसी साफ credential पकड़ता है, जो तब आम है जब कोई चुराए हुए password आजमा रहा हो। फिर execution और persistence: 7045 service install और 4698 scheduled task। मैं इन सबको account और source host पर टिकी एक ही timeline में खींच लाता हूं, क्योंकि अकेले एक 4624 का कोई मतलब नहीं और पूरा क्रम ही सब कुछ है। इन सबसे पहले मैं audit policy जांचता हूं, क्योंकि एक काम में हमारे पास 4769 लगभग थे ही नहीं: Kerberos auditing कभी चालू ही नहीं की गई थी, जो रिपोर्ट में अपने आप में एक finding बनी।