Log de segurança do Windows
O Windows registra cada login, cada falha de senha e cada programa aberto com um número de evento. Alguns números contam quase toda a história de uma invasão.
No Windows, o log Security (visto no Visualizador de Eventos) guarda os eventos de auditoria. Cada evento tem data, máquina, um Event ID e uma descrição com campos. Os que mais importam numa investigação:
| Event ID | O que significa |
|---|---|
| 4624 | Login com sucesso |
| 4625 | Login que falhou (senha errada, usuário inexistente) |
| 4634 | Logoff |
| 4648 | Login com credenciais explícitas: alguém usou usuário e senha digitados, por exemplo net use \\SERVIDOR /user:... |
| 4672 | Login com privilégios especiais (administrador) |
| 4688 | Programa iniciado, com a linha de comando quando a auditoria está ligada |
| 4656, 4663 | Acesso a objeto (um arquivo, ou a memória de um processo) |
| 5140, 5145 | Acesso a pasta compartilhada pela rede e ao arquivo dentro dela |
No 4624 e no 4625, o campo LogonType diz como a pessoa entrou: 2 é no teclado da própria máquina, 3 é pela rede (acessar uma pasta compartilhada, por exemplo), 7 é desbloquear a tela e 10 é área de trabalho remota (RDP). O campo IpAddress diz de onde veio.
Uma invasão típica aparece assim: uma pilha de 4625 vindos de um IP externo (força bruta), um 4624 do tipo 10 do mesmo IP (entrou por RDP), 4688 com comandos de reconhecimento (whoami, ipconfig, net user) e ferramentas estranhas, e depois 4648 na máquina invadida seguidos de 4624 do tipo 3 em outras máquinas (movimento lateral). Para saber se uma máquina foi comprometida, não basta ver tentativas: procure o 4624 que deu certo e o que foi feito depois dele.
Para analisar, junte os logs de todas as máquinas numa linha só do tempo (veja o conceito Linha do tempo do incidente). Com grep dá para filtrar por ID (grep -A12 "Event ID: 4624"), e ferramentas como o Chainsaw e o Hayabusa fazem isso em arquivos .evtx.