00:00 / 01:02
连播
清屏
智能
倍速
点赞158
日志分析 单一事件仅是线索,真正的威胁识别依赖于‌多日志关联分析‌。例如:登录失败(4625)→ 成功登录(4624)→ 新进程创建(4688)→ 服务安装(7045),可能构成完整攻击链。结合‌PowerShell日志(4104)‌与安全日志,可发现无文件攻击行为。4625(登录失败) 事件会高频出现。4624(登录成功) 事件紧随失败日志后出现。4688(新进程创建):攻击者成功登录后,可能会立即执行恶意命令或脚本。4720(用户账户创建) / 4732(用户被添加到安全组):攻击者可能创建后门账户或提升现有账户权限。7045(服务安装):攻击者可能安装恶意服务以实现持久化。5156(网络连接):恶意进程可能尝试对外建立连接(C2通信)。4688(新进程创建),特别是父进程为可疑程序,或子进程为powershell.exe、cmd.exe等,并带有可疑命令行参数(如从远程下载文件、执行编码命令等)。需结合 PowerShell日志(事件ID 4104) 进行深度分析。核心事件:4672(授予特殊权限的登录),或成功执行高权限命令后触发的日志。关键事件:4732(用户被添加到安全组),尤其是普通用户被加入管理员组。7045(服务安装):通过注册服务实现持久化。5156(网络连接):大量异常外联,可能是数据外传或C2通信。1116 / 1006(防病毒事件):如果攻击载荷被安全软件拦截,这里会产生告警。
00:00 / 03:23
连播
清屏
智能
倍速
点赞5