Logon / Logoff (4624, 4625, 4634, 4647, 4648, 4672)#

Nhóm event được nhìn vào đầu tiên trong gần như mọi cuộc điều tra — vì mọi hành vi của attacker đều bắt đầu bằng việc đăng nhập vào đâu đó.

Điều quan trọng nhất của 4624 là trường Logon Type — cho biết đăng nhập diễn ra như thế nào, quyết định mức độ đáng ngờ:

Pattern đáng ngờ kinh điển: nhiều 4625 liên tiếp cùng 1 nguồn trong thời gian ngắn (brute-force), theo sau bởi một 4624 thành công (đăng nhập trót lọt sau khi dò đúng mật khẩu) — một trong những correlation rule cơ bản nhất mọi SIEM nên có sẵn.

4648 đáng chú ý vì nó log việc dùng credential khác với account đang đăng nhập hiện tại — attacker đã có một bộ credential khác (đánh cắp được) và đang thử dùng nó, thường thấy ngay trước một bước lateral movement.

Account Management (4720, 4722, 4724, 4728/4732/4756, 4738)#

Nhóm event theo dõi thay đổi tài khoản/nhóm — persistence hoặc privilege escalation thường để lại dấu vết ở đây.

Pattern đáng ngờ: 4720 (tạo account mới) theo ngay sau bởi 4732 thêm account đó vào nhóm Administrators — dấu hiệu kinh điển của việc attacker tự tạo backdoor account để duy trì quyền truy cập, kể cả khi credential ban đầu bị phát hiện và thu hồi.

Kerberos (4768, 4769, 4770, 4771)#

Nhóm event cực kỳ quan trọng trong môi trường Active Directory — gắn liền với nhiều kỹ thuật tấn công AD nổi tiếng.

Pattern đáng ngờ: một tài khoản gửi rất nhiều 4769 trong thời gian ngắn, với encryption type yếu (RC4 thay vì AES) — dấu hiệu kinh điển của Kerberoasting. Tương tự, 4624 với Logon Type 9 bất thường kết hợp ticket lifetime dài bất thường có thể liên quan tới Golden Ticket (giả mạo TGT bằng cách đánh cắp hash của tài khoản krbtgt).

Process Creation (4688, 4689)#

4688 là một trong những event giá trị nhất — nhưng mặc định Windows không log command-line argument đi kèm, phải bật riêng qua Group Policy (Include command line in process creation events). Thiếu bước này, SOC chỉ biết “có process X chạy” mà không biết nó chạy với tham số gì — gần như vô dụng để phát hiện living-off-the-land (ví dụ biết powershell.exe chạy là chưa đủ, cần thấy được -enc <base64> đi kèm mới biết đang chạy script bị obfuscate).

Vì giới hạn này của log Windows gốc, phần lớn SOC chuyển sang dùng Sysmon Event ID 1 (nói ở phần dưới) để thay thế hoàn toàn cho 4688, vì Sysmon log đầy đủ hơn nhiều (hash file, publisher, parent process…) ngay từ đầu không cần cấu hình thêm.

Object & Share Access (4663, 5140, 5145)#

Nhóm này hay dùng để phát hiện lateral movement qua SMB (ví dụ attacker copy tool qua ADMIN$ hoặc C$ share) hoặc truy cập trái phép vào thư mục nhạy cảm.

Audit Policy & Log Tampering (4719, 1102)#

Đây là nhóm event phải alert ngay lập tức, độ ưu tiên cao nhất — vì chúng không phải dấu hiệu attacker đang làm gì đó, mà là dấu hiệu attacker đang xóa dấu vết:

• 4719 — chính sách audit bị thay đổi (ví dụ tắt logging một loại event nào đó trước khi hành động)
• 1102 — Audit log đã bị xóa sạch. Đây gần như luôn luôn là red flag nghiêm trọng — admin hợp lệ gần như không bao giờ có lý do chính đáng để xóa toàn bộ security log, trong khi đây là bước dọn dẹp kinh điển cuối cùng của attacker sau khi hoàn thành mục tiêu.

Service Installation (7045, 4697)#

Tạo Windows Service là kỹ thuật persistence rất phổ biến (service tự khởi động cùng hệ thống) và cũng là cách PsExec hoạt động khi di chuyển ngang — nên 7045 xuất hiện bất thường (tên service lạ, binary path trỏ tới thư mục tạm như %TEMP%) là một trong những tín hiệu lateral movement/persistence đáng tin cậy nhất.

PowerShell Logging (4103, 4104)#

4104 cực kỳ giá trị vì PowerShell thường bị attacker obfuscate (encode base64, nối chuỗi rời rạc…) để né tránh phát hiện bằng pattern-matching đơn giản — nhưng Script Block Logging bắt được nội dung sau khi PowerShell tự giải mã để thực thi, nên dù obfuscate kiểu gì, log vẫn thấy được script thật. Đây là lý do bật Script Block Logging được xem là một trong những cấu hình “phải có” quan trọng nhất cho SOC trên môi trường Windows hiện đại.

Sysmon Event IDs#

Sysmon không phải một phần của Windows mặc định nhưng gần như là tiêu chuẩn bắt buộc của mọi SOC nghiêm túc — vì nó lấp đầy toàn bộ khoảng trống mà Windows Security Log để lại.

Hai event đáng nhớ nhất trong nhóm này với vai trò threat hunting: Event ID 10 nhắm vào lsass.exe (credential dumping, kiểu Mimikatz) và Event ID 8 (process injection) — cả hai đều là kỹ thuật cực kỳ phổ biến ở hầu hết các nhóm APT mình từng viết trong series “Đã Seen”.

Bảng tóm tắt nhanh — ưu tiên theo dõi#

Nếu chỉ được chọn một vài event để setup alert đầu tiên khi mới dựng SOC, đây là danh sách mình sẽ ưu tiên:

1. 1102 — audit log bị xóa (luôn luôn khẩn cấp)
2. 4625 hàng loạt rồi 4624 thành công — brute-force trót lọt
3. 4688 / Sysmon 1 với command line chứa pattern đáng ngờ (-enc, IEX, DownloadString…)
4. Sysmon 10 nhắm lsass.exe — credential dumping
5. 4769 số lượng lớn, encryption type yếu — Kerberoasting
6. 7045 với binary path lạ — persistence/lateral movement
7. 4104 — nội dung PowerShell script sau khi deobfuscate

Bài này mình sẽ cập nhật dần mỗi khi gặp thêm Event ID đáng chú ý trong quá trình làm lab/CTF — coi như một cheat-sheet sống cho riêng mình.