Playbook für T1070 – Windows-Ereignisprotokolle gelöscht

Dieses Playbook bietet Korrekturschritte zur Untersuchung von Incidents, die Ereignistypen nachverfolgen, bei denen der Anwender Sicherheitsprotokolle entfernt. Wenn das Sicherheitsprotokoll gelöscht wird, werden die Ereignisse 517 und 1102 unabhängig vom Status der Audit-Systemereignisrichtlinie protokolliert.

Diese Warnung kann die folgenden Ereignistypen nachverfolgen:

• Ereignis 517 : Die Felder Primär. Anwendername und Client-Anwendername geben den Anwender an, der das Protokoll gelöscht hat. Der primäre Anwendername entspricht dem System, und der Anwendername des Clients gibt den Anwender an, der das Protokoll gelöscht hat.
• Ereignis 1102 : Die Felder „Account-Name“ und „Domänenname“ geben den Anwender an, der das Protokoll gelöscht hat. Mit der Anmelde-ID können Sie rückwärts mit dem Anmeldereignis und anderen während derselben Anmeldesitzung protokollierten Ereignissen korrelieren.

• Richten Sie das Playbook T1070 – gelöschte Windows-Ereignisprotokolle ein
  Führen Sie die folgenden Schritte aus, um das Playbook T1070 – gelöschte Windows-Ereignisprotokolle einzurichten.
• Verwenden Sie das Playbook T1070 – gelöschte Windows-Ereignisprotokolle
  Verwenden Sie dieses Playbook, um Incidents zu untersuchen, die Ereignistypen nachverfolgen, bei denen der Anwender Sicherheitsprotokolle entfernt. Die folgenden Schritte geben Ihnen einen Überblick über die Aktionen, Aufgaben und Subflows, die im Playbook T1070 – gelöschte Windows-Ereignisprotokolle verfügbar sind.