Docs mówi skąd biorą się dane. Ściąga Event ID mówi który numer zapytać. Numer bez kanału i audytu nic nie znaczy.
Kanały w labie
- Security — logon, proces, konto (4624 / 4625 / 4688, jeśli włączone)
- System — usługi, m.in. 7045 (nowa usługa)
- Application — tylko gdy aplikacja w ogóle loguje
- PowerShell — 4103 / 4104 tylko jeśli audyt skryptów jest włączony
- Microsoft-Windows-Windows Defender/Operational — jeśli Defender jest w grze
Szybki test kanału: Event Viewer → odpowiedni log, albo wevtutil qe Security /c:5 /rd:true /f:text. Pusty Security po „ataku” zwykle znaczy: audyt nie zapisuje, nie „SIEM zgubił event”.
Priorytet nauki
authentication → process creation → privilege use → account change → service install → PowerShell
Włącz 4688 z linią poleceń świadomie: to telemetria, nie domyślny Windows Home. Sysmon jest opcją, nie wymaganiem dnia pierwszego — najpierw Security, które w ogóle istnieje.
Korelacja
Sam 4624 nie jest incydentem. Jest logonem o danym typie, na danym hoście, o danym czasie. Do SIEM-a (Wazuh) idzie ten sam fakt; wpis o Event Logach rozpisuje schemat:
zdarzenie → kontekst → korelacja → hipoteza → sprawdzenie
Bez NTP / wspólnej strefy z Linuxem oś czasu w notatce L1 kłamie.