用途
本技能面向 Windows 系统的安全事件调查，通过分析事件日志（EVTX）来检测横向移动、权限提升和持久化机制。它适用于安全事件响应、威胁狩猎、需要审查身份验证与访问事件的合规审计，以及基于 Windows 系统活动构建取证时间线。
主要能力
- 从取证镜像或在线系统收集并优先处理关键日志（Security、System、Application、Sysmon、PowerShell、RDP 会话、任务计划、WinRM、BITS、Windows Defender 等），并进行 SHA256 完整性校验。
- 使用 Chainsaw 结合 Sigma 规则进行检测，支持文本、CSV、JSON 输出，并可按关键字或事件 ID 搜索。
- 使用 Hayabusa 快速生成 CSV/JSON 时间线、严重级别过滤、指标统计和登录摘要。
- 使用 python-evtx 解析关键事件 ID：4624、4625、4634、4648、4672、4688、4689、4697、4698、4720、4724、4728、4732、4756、1102。
- 内置攻击模式检测示例：Logon Type 9 + NTLM 的 Pass-the-Hash 指示、Logon Type 3 的 NTLM 网络登录、1102/104 日志清除等反取证行为。
使用方式
资料给出的工作流为：收集 EVTX 文件并计算哈希 → 运行 Chainsaw 进行 Sigma 检测 → 运行 Hayabusa 生成时间线 → 使用 Python 脚本解析关键事件 → 针对特定攻击模式进行筛选分析。相关安装命令与代码均按原文保留。
适用场景
- 检测横向移动：筛选 Logon Type 3/10 的 4624、4648 显式凭据、结合目标系统 4688 进程创建。
- 权限提升检测：4672 特殊权限、4728/4732 组变更、4697 服务安装、4720 账户创建。
- PowerShell 攻击检测：4104 脚本块日志、4688 命令行中的编码命令、AMSI 绕过、下载 cradle。
- 勒索软件事件重建：从外部 IP 的 4624 初始访问开始，追踪权限提升、服务安装持久化、加密进程创建及卷影副本删除。
限制
资料未说明该技能的运行环境要求、性能开销、支持的事件日志版本范围或许可方式；部分工具（如 EvtxECmd、LogParser、Event Log Explorer、KAPE、Velociraptor）仅列出用途，未提供安装与使用步骤。实际效果取决于审计策略配置、Sigma 规则集和日志完整性。