Leitfäden mit dem Schlagwort
PowerShell-Protokolle zu Erkennungen machen: 4104-Skriptblöcke zusammensetzen, AMSI- und Engine-Ereignisse nutzen, Verschleierung erkennen, Admin-Rauschen filtern.
Eine Sysmon-Konfiguration wählen, Rauschen ohne blinde Flecken reduzieren, Updates sicher auf Tausende Hosts ausrollen und Sysmon selbst überwachen.
Windows Event Forwarding, das trägt: Collectors, quellinitiierte Abonnements, XPath-Abfragen, Zustellungsoptimierung, Zugriff aufs Sicherheitsprotokoll und Zustandsprüfungen.
Praxisreferenz der Windows-Ereignis-IDs, die sich zu erfassen und alarmieren lohnen: Anmeldungen, Fehlercodes, Kerberos, Kontoänderungen, Persistenz, Manipulation.
Erweiterte Überwachungsrichtlinie, Befehlszeilen-Erfassung, Loggrößen, Sysmon und Event Forwarding so konfigurieren, dass Windows-Logs wer, was, wo und wann beantworten.