☑️ Windows IR: системный подход. Часть 3 — задачи, автозапуск, учетные записи, журналы

Это третья часть материала, посвященного Windows IR. Вторая часть была посвящена изоляции хоста и разбору процессов и служб.

В этой части — проверяем еще две частые точки закрепления, задачи планировщика и автозапуск через реестр, смотрим на локальные учетные записи и группы, и наконец садимся за журналы событий, чтобы связать разрозненные находки в единую хронологию. Здесь же выводы из демонстрационной лабы складываются в цельную картину атаки.

Задача в планировщике отличается от службы тем, что срабатывает по триггеру: по времени, при входе пользователя, при загрузке, по событию в журнале.

🖥 Читать материал

☑️ Записки Безопасника ⭐️ max.ru/infosec_globe