# \[Cheat Sheet] ТОП-10 событий для мониторинга

<table data-header-hidden><thead><tr><th width="180"></th><th width="177"></th><th></th></tr></thead><tbody><tr><td><strong>Журнал и EventID</strong></td><td><strong>Название события</strong></td><td><strong>Описание и полезность</strong></td></tr><tr><td><strong>Security 4688</strong><br><strong>Sysmon 1</strong></td><td>Создание нового процесса</td><td>Регистрирует запуск новых процессов. Позволяет выявлять наличие подозрительных или неизвестных исполняемых файлов, подозрительные строки запуска, использование <a href="https://lolbas-project.github.io/">LolBas</a>.<br>Sysmon позволяет анализировать хеши и метаинформацию исполняемых файлов.</td></tr><tr><td><strong>Security 4624</strong></td><td>Успешный вход в систему</td><td>Позволяет отслеживать успешные аутентификации, в том числе аномальные, например неинтерактивные, с необычных узлов или необычным способом.</td></tr><tr><td><strong>Security 4625</strong></td><td>Неудачная попытка входа в систему</td><td>Позволяет выявлять атаки методом перебора: BruteForce и Password Spraying. Следует проверять EventID 4624 для выявления успешных попыток после множества неудачных 4625.</td></tr><tr><td><a href="/pages/sZmwWEGz6bTxxWqfLiaE"><strong>Security 5140, 5145</strong></a></td><td>Доступ к сетевому ресурсу</td><td>Показывает, кто и к каким сетевым ресурсам обращался. Указывает на доступ к объектам в сети (файлам, папкам) или именованным каналам. Позволяет обнаруживать горизонтальное перемещение через RPC.</td></tr><tr><td><strong>Security 5156</strong><br><strong>Sysmon 3</strong></td><td>Фильтрация сетевых подключений</td><td>Показывает, какие сетевые подключения были разрешены или установлены.<br>Само по сете для обнаружения подозрительных IP или портов может быть не очень полезно.<br>Чаще используется в связке в другими событиями, для выявления более сложных сценариев, эксплуатации уязвимостей, обратных шеллов...</td></tr><tr><td><a href="/pages/0lDS8m0k5ortLqGI1BYM"><strong>Security 4103/4104 (4104 более распространён для скрипт-блоков)</strong></a></td><td>Выполнение PowerShell-скриптов и команд</td><td>Показывает выполнение команд или скриптов в PowerShell. Позволяет проанализировать полное тело скрипта и проверять на наличие вредоносных команд или командлетов.</td></tr><tr><td><a href="/pages/XkOfLpEl4wfxVmmSNhFU"><strong>Security 4697, System 7045</strong></a></td><td>Установка службы</td><td>Показывает установку новой службы или изменение конфигурации существующей. Службы используются атакующими для закрепления или повышения привилегий.</td></tr><tr><td><strong>Security 4698</strong></td><td>Создание планировщика задач</td><td>Показывает создание новой задачи в планировщике. Аналогично, используются для закрепления или повышения привилегий. Как и службы могут использоваться при горизонтальном перемещении.<br>[TODO: ссылка на материал по impacket]</td></tr><tr><td><strong>Security 4720</strong></td><td>Создание учетной записи пользователя</td><td>Показывает создание новой учетной записи локальной или доменной. После имеет смысл проверить добавление в группы или изменение прав.</td></tr><tr><td><a href="/pages/X3f2X37m2Ojarvi1Ut9R"><strong>Sysmon EID 12,13</strong></a></td><td>Создание и изменение параметров реестра</td><td>Мониторинг изменения в реестре, позволяет обнаружить закрепление или изменение конфигураций.</td></tr><tr><td><strong>Sysmon EID 11</strong></td><td>Создание файлов</td><td>Позволяет обнаруживать создание Web-шеллов или вредоносных исполняемых файлов, скриптов</td></tr><tr><td><strong>Sysmon EID 17, 18</strong></td><td>Создание и подключение к именованным каналам</td><td>Позволяет обнаруживать различные способы повышения привилегий: <a href="/pages/AwbYIXbmJnSjJDWT0bM8">Named Pipe Impersonation</a> или <a href="/pages/36JzhR2nVkMgS5wcLV6P">Potato Exploits</a>.</td></tr></tbody></table>

Windows Ultimate Security содержит примеры и описание всех событий безопасности:

{% embed url="<https://www.ultimatewindowssecurity.com/securitylog/encyclopedia/default.aspx?i=j>" %}

### Термины:

* **LOLBAS**: *Living Off the Land Binaries and Scripts* (например, `certutil.exe`, `bitsadmin` - использование утилит ОС для выполнение вредоносных действий).
* **RPC**: *Remote Procedure Call* (удаленный вызов процедур - обычно применяется для горизонтального перемещения).
* **C2**: *Command and Control* (управляющий сервер, посылает команды вредоносному ПО, которые необходимо исполнить на зараженном узле).
* **SMB**: *Server Message Block* (протокол доступа к общим сетевым ресурсам и не только).


---

# Agent Instructions: Querying This Documentation

If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question.

Perform an HTTP GET request on the current page URL with the `ask` query parameter:

```
GET https://vasilisa-l.gitbook.io/blue-team-cookbook/windows/top-events-to-monitor.md?ask=<question>
```

The question should be specific, self-contained, and written in natural language.
The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.

Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.