🖥 windows-forensic-artifacts: связываем следы Windows по Logon ID

Справочник артефактов Windows для расследований: где искать каждый артефакт, какими инструментами его разбирать и как интерпретировать результаты извлечения данных.

— Раздел Logon ID помогает связать вход в систему с другой активностью на хосте. Отправной точкой может быть Logon ID из события входа 4624: справочник перечисляет другие артефакты с этим полем, чтобы сопоставить действия с сеансом.

🖥 Читать материал

☑️ Записки Безопасника ⭐️ max.ru/infosec_globe