مقدمة

في هذا الفيديو الإرشادي، تناولنا إدارة السجلات في النوافذ باستخدام عارض الأحداث وPowershell وسطر أوامر Windows. لقد درسنا أيضًا سيناريو للتحقيق في حادث سيبراني.

بحسب ويكيبيديا، “سجلات الأحداث تسجيل الأحداث التي تحدث أثناء تنفيذ النظام لتوفير مسار تدقيق يمكن استخدامه لفهم نشاط النظام وتشخيص المشكلات. وهي ضرورية لفهم أنشطة الأنظمة المعقدة، خاصة في التطبيقات ذات التفاعل القليل من المستخدم (مثل تطبيقات الخادم).”

سينطبق هذا التعريف على مسؤولي النظام، وفنيي تكنولوجيا المعلومات، ومهندسي سطح المكتب، وما إلى ذلك. إذا كانت نقطة النهاية تواجه مشكلة، فيمكن الاستعلام عن سجلات الأحداث لمعرفة أي أدلة حول سبب المشكلة. يقوم نظام التشغيل بشكل افتراضي بكتابة الرسائل إلى هذه السجلات.

كمدافعين (أعضاء الفريق الأزرق)، هناك حالة استخدام أخرى لسجلات الأحداث. "قد يكون من المفيد أيضًا دمج إدخالات ملف السجل من مصادر متعددة. قد يؤدي هذا النهج، بالاشتراك مع التحليل الإحصائي، إلى وجود ارتباطات بين الأحداث التي تبدو غير ذات صلة على خوادم مختلفة.”

هذا هو المكان SIEMs (المعلومات الأمنية وإدارة الأحداث) مثل Splunk و Elastic.

على الرغم من أنه من الممكن الوصول إلى سجلات أحداث جهاز بعيد، إلا أن ذلك لن يكون ممكنًا في بيئة مؤسسة كبيرة. وبدلاً من ذلك، يمكن للمرء عرض السجلات من جميع نقاط النهاية والأجهزة وما إلى ذلك في SIEM. سيسمح لك هذا بالاستعلام عن السجلات من أجهزة متعددة بدلاً من الاتصال يدويًا بجهاز واحد لعرض سجلاته.

Windows ليس نظام التشغيل الوحيد الذي يستخدم نظام التسجيل. لينكس وmacOS يفعل ذلك أيضًا. على سبيل المثال، في أنظمة Linux، يُعرف نظام التسجيل باسم سجل النظام. ومع ذلك، داخل هذه الغرفة، نحن نركز فقط على نظام تسجيل Windows الذي يسمى سجلات أحداث Windows.

احصل على ملاحظات الفريق الأزرق

إجابات الغرفة

جولة بالفيديو