Журнал событий Windows
§§IBT7§§¶@definition¶Журнал событий Windows — системный журнал Windows с записями об аутентификации, службах, процессах, политиках и других событиях.¶@plain¶Проще говоря, «Журнал событий Windows» помогает команде отделить значимое событие от фонового шума, собрать контекст и выбрать следующий шаг аналитика. Смысл термина раскрывается через конкретный объект, действие и проверяемый результат.¶@use¶В практике ИБ термин «Журнал событий Windows» используют так: его используют при подключении телеметрии, разработке правил обнаружения, разборе срабатываний и эскалации инцидентов. Решение проверяют по наблюдаемому результату, а не только по наличию документа или средства.¶@example¶При разборе цепочки событий аналитик SOC обращается к понятию «Журнал событий Windows»: проверяет контекст актива и учётной записи, подтверждает признак и выбирает действие по сценарию реагирования.¶@compare¶Журнал аудита¦/slovar-informacionnoy-bezopasnosti/soc-i-blue-team/zhurnal-audita¦Журнал аудита — журнал действий и событий, необходимый для подотчётности, контроля и последующего расследования.¤Common Event Format (CEF)¦/slovar-informacionnoy-bezopasnosti/soc-i-blue-team/common-event-format-cef¦CEF — Common Event Format, формат нормализованного представления событий безопасности.¶@steps¶Система создаёт событие¦Windows фиксирует действие компонента в определённом канале журнала.¤Событие получает структуру¦Запись содержит Event ID, время, провайдера, компьютер и предметные поля.¤Телеметрия централизуется¦Агент или подписка передаёт нужные каналы в систему анализа.¤Аналитик связывает события¦Записи сопоставляют с активом, пользователем и другими источниками.¶@resources¶¶@related¶Журнал аудита¦/slovar-informacionnoy-bezopasnosti/soc-i-blue-team/zhurnal-audita¤Common Event Format (CEF)¦/slovar-informacionnoy-bezopasnosti/soc-i-blue-team/common-event-format-cef¤YARA¦/slovar-informacionnoy-bezopasnosti/soc-i-blue-team/yara¶@faq¶Что такое «Журнал событий Windows» простыми словами?¦Проще говоря, «Журнал событий Windows» помогает команде отделить значимое событие от фонового шума, собрать контекст и выбрать следующий шаг аналитика. Смысл термина раскрывается через конкретный объект, действие и проверяемый результат.¤Как «Журнал событий Windows» применяют на практике?¦В практике ИБ термин «Журнал событий Windows» используют так: его используют при подключении телеметрии, разработке правил обнаружения, разборе срабатываний и эскалации инцидентов. Решение проверяют по наблюдаемому результату, а не только по наличию документа или средства.