Playbook für T1070 – Windows-Ereignisprotokolle gelöscht

Dieses Playbook bietet Korrekturschritte zur Untersuchung von Incidents, die Ereignistypen nachverfolgen, bei denen der Anwender Sicherheitsprotokolle entfernt. Wenn das Sicherheitsprotokoll gelöscht wird, werden die Ereignisse 517 und 1102 unabhängig vom Richtlinienstatus für das Audit-Systemereignis protokolliert.

Diese Warnung kann die folgenden Ereignistypen nachverfolgen:

• Ereignis 517 : Die Felder „Primärer Anwendername“ und „Client-Anwendername“ geben den Anwender an, der das Protokoll gelöscht hat. Der primäre Anwendername entspricht dem System, und der Anwendername des Clients gibt den Anwender an, der das Protokoll gelöscht hat.
• Ereignis 1102 : Die Felder „Kontoname“ und „Domänenname“ geben den Anwender an, der das Protokoll gelöscht hat. Mit der Anmelde-ID können Sie rückwärts mit dem Anmeldereignis und anderen Ereignissen korrelieren, die während derselben Anmeldesitzung protokolliert wurden.

• Richten Sie das Playbook „T1070 – gelöschte Windows-Ereignisprotokolle“ ein
  Führen Sie die folgenden Schritte aus, um das Playbook „T1070 – gelöschte Windows-Ereignisprotokolle“ einzurichten.
• Verwenden Sie das Playbook „T1070 – gelöschte Windows-Ereignisprotokolle“
  Verwenden Sie dieses Playbook, um Incidents zu untersuchen, die Ereignistypen nachverfolgen, bei denen der Anwender Sicherheitsprotokolle entfernt. Die folgenden Schritte geben Ihnen einen Überblick über die Aktionen, Aufgaben und Subflows, die im Playbook „T1070 – gelöschte Windows-Ereignisprotokolle“ verfügbar sind.