Guides avec l'étiquette
Transformez les journaux PowerShell en détections : blocs 4104 reconstitués, événements AMSI et moteur, obfuscation, PowerShell non géré, bruit d'administration filtré.
Choisissez une configuration Sysmon, réduisez le bruit sans créer d'angles morts, déployez les mises à jour sur des milliers d'hôtes et surveillez Sysmon lui-même.
Un Windows Event Forwarding qui tient la charge : collecteurs, abonnements initiés par la source, requêtes XPath, livraison, accès au journal Sécurité et supervision.
Référence pratique des ID d'événements Windows à collecter et surveiller : ouvertures de session, codes d'échec, Kerberos, comptes, persistance et altérations.
Configurez les sous-catégories d'audit avancé, la capture des lignes de commande, la taille des journaux, Sysmon et WEF pour savoir qui, quoi, où et quand.