#evtx — Public Fediverse posts

Ваш парсер .evtx молча прочитал 4% журнала — и не считает это ошибкой

Скрипт на python-evtx отработал без единой ошибки, с кодом возврата 0, и вернул 94 записи. В файле их было 2309, и вся атака — от создания админской учётки до запуска шифровальщика — оказалась в потерянных 96%. Разбираемся, почему два байта в заголовке .evtx нельзя принимать на веру и почему проверка непрерывности EventRecordID в этом случае отвечает «пропусков нет».

https://habr.com/ru/articles/1063518/

#evtx #dfir #форензика #windows_event_log #pythonevtx #sysmon #расследование_инцидентов #парсинг_логов #целостность_данных #chainsaw

If you're interested in getting into #Linux #logging and evidence collection, this is an excellent write-up from @kostastsale that compares #EVTX logs on Windows with #Auditd, #SysMon for Linux, and native Linux logging.

#DFIR #LinuxForensics #SIEM #CSIRT

https://kostas-ts.medium.com/telemetry-on-linux-vs-windows-a-comparative-analysis-849f6b43ef8e

If you're interested in getting into #Linux #logging and evidence collection, this is an excellent write-up from @kostastsale that compares #EVTX logs on Windows with #Auditd, #SysMon for Linux, and native Linux logging.

#DFIR #LinuxForensics #SIEM #CSIRT

https://kostas-ts.medium.com/telemetry-on-linux-vs-windows-a-comparative-analysis-849f6b43ef8e

#SecurityOnion 2.4 Feature o' the Day

SOC can now import #PCAP and #EVTX files:
https://blog.securityonion.net/2023/10/security-onion-24-feature-o-day-soc-can.html

#SecurityOnion 2.4 Feature o' the Day

SOC can now import #PCAP and #EVTX files:
https://blog.securityonion.net/2023/10/security-onion-24-feature-o-day-soc-can.html

I wrote a guide on how to use our evtx-sigma-checker tool
- applies #Sigma rules to #EVTX files
- outputs JSON
- Linux, macOS, Windows binaries
- blazingly fast (cause it uses our private go-sigma library)
- it's a byproduct of our CI checks
#DFIR
https://gist.github.com/Neo23x0/9eb505a00f7ba591645a6246fa6c5246

I wrote a guide on how to use our evtx-sigma-checker tool
- applies #Sigma rules to #EVTX files
- outputs JSON
- Linux, macOS, Windows binaries
- blazingly fast (cause it uses our private go-sigma library)
- it's a byproduct of our CI checks
#DFIR
https://gist.github.com/Neo23x0/9eb505a00f7ba591645a6246fa6c5246