Guides avec l'étiquette
Transformez les journaux PowerShell en détections : blocs 4104 reconstitués, événements AMSI et moteur, obfuscation, PowerShell non géré, bruit d'administration filtré.
Faites du pare-feu Windows une source de détection : pfirewall.log, événements WFP 5156/5157, événements de modification 4946-4950 et transfert centralisé.
Choisissez une configuration Sysmon, réduisez le bruit sans créer d'angles morts, déployez les mises à jour sur des milliers d'hôtes et surveillez Sysmon lui-même.
Référence pratique des ID d'événements Windows à collecter et surveiller : ouvertures de session, codes d'échec, Kerberos, comptes, persistance et altérations.
Configurez les sous-catégories d'audit avancé, la capture des lignes de commande, la taille des journaux, Sysmon et WEF pour savoir qui, quoi, où et quand.