• Проблемы с настройками журналов Windows по умолчанию
• Предупреждение: Вносите изменения в свои системы на свой страх и риск!
• Важные журналы событий Windows
◦ Основные источники логов по Sigma
◦ Основные источники логов по Sigma
◦ Основные идентификаторы событий безопасности
• Увеличение максимального размера файла
◦ Вариант 1: Вручную через Viewer журналов событий
◦ Вариант 2: Встроенный инструмент Windows
◦ Вариант 3: PowerShell
◦ Вариант 4: Групповая политика
• Сценарий конфигурации
• Настройка параметров журналов
◦ Журнал Sysmon (1382 правила Sigma)
◦ Журнал безопасности (1045 правил Sigma (903 правил создания процессов + 142 других правила))
◦ Журналы PowerShell (175 правил Sigma)
◦ Логирование модулей (30 правил Sigma)
◦ Включение логирования модулей
◦ Вариант 1: Включение через групповую политику
◦ Вариант 2: Включение через реестр
◦ Логирование блоков скриптов (134 правила Sigma)
◦ Включение логирования блоков скриптов
◦ Вариант 1: Включение через групповую политику
◦ Вариант 2: Включение через реестр
◦ Логирование транскрипции
◦ Включение логирования транскрипции
◦ Вариант 1: Включение через групповую политику
◦ Вариант 2: Включение через реестр
◦ Ссылки
◦ Журнал системы (55 правил Sigma)
◦ Журнал приложений (16 правил Sigma)
◦ Операционный журнал Windows Defender (10 правил Sigma)
◦ Операционный журнал Bits-Client (6 правил Sigma)
◦ Журнал файрволла (6 правил Sigma)
◦ Операционный журнал NTLM (3 правила Sigma)
◦ Журналы Security-Mitigations KernelMode и UserMode (2 правила Sigma)
◦ Журналы службы печати (2 правила Sigma)
◦ Администрирование (1 правило Sigma)
◦ Операционные (1 правило Sigma)
◦ Журнал безопасности SMBClient (2 правила Sigma)
◦ Журналы AppLocker (1 правило Sigma)
◦ Операционный журнал CodeIntegrity (1 правило Sigma)
◦ Операционный журнал Diagnosis-Scripted (1 правило Sigma)
◦ Операционный журнал DriverFrameworks-UserMode (1 правило Sigma)
◦ Операционный журнал WMI-Activity (1 правило Sigma)
◦ Операционный журнал TerminalServices-LocalSessionManager (1 правило Sigma)
◦ Операционный журнал TaskScheduler (1 правило Sigma)