Windows produkuje dużo szumu. L1 nie polega na wyrecytowaniu Event ID, tylko na pytaniu: który kanał, które konto, jaki czas, co obok.
Zacznij od Security (logon, proces, konto), potem System (usługi), potem PowerShell — o ile policy w labie faktycznie loguje skrypt.
Ściąga numerów jest w Zasobach. Docs Windows mówi, które kanały w ogóle istnieją. Schemat analizy:
zdarzenie → kontekst → korelacja → hipoteza → sprawdzenie
Sam 4624 nie jest dowodem incydentu. Jest dowodem, że ktoś (albo co) zalogował się w pewnym typie logonu.