Windows EventLog (.evtx) 분석¶

C:\Windows\System32\winevt\Logs\*.evtx

$logRoot = "$env:SystemRoot\System32\winevt\Logs"

# 침해 대응 우선 채널 (이름 일부 매칭)
$priority = @(
    'Security','System','Microsoft-Windows-Sysmon/Operational',
    'Microsoft-Windows-PowerShell/Operational','Windows PowerShell',
    'Microsoft-Windows-TaskScheduler/Operational',
    'Microsoft-Windows-WMI-Activity/Operational',
    'Microsoft-Windows-TerminalServices-RemoteConnectionManager/Operational',
    'Microsoft-Windows-TerminalServices-LocalSessionManager/Operational',
    'Microsoft-Windows-TerminalServices-RDPClient/Operational',
    'Microsoft-Windows-WinRM/Operational',
    'Microsoft-Windows-SMBClient/Security',
    'Microsoft-Windows-Windows Defender/Operational',
    'Microsoft-Windows-Eventlog/Operational',
    'Microsoft-Windows-CodeIntegrity/Operational',
    'Microsoft-Windows-Bits-Client/Operational'
)

Get-WinEvent -ListLog * -ErrorAction SilentlyContinue |
    Where-Object { $_.LogName -in $priority -or $_.LogName -like '*TerminalServices*' } |
    Sort-Object LogName |
    Select-Object LogName, IsEnabled, RecordCount,
        @{n='SizeMB';e={[math]::Round($_.FileSize/1MB,2)}},
        @{n='Oldest';e={$_.OldestRecordTime}},
        @{n='Newest';e={$_.NewestRecordTime}}

# 실제 파일 목록 (증거 수집용)
Get-ChildItem $logRoot -Filter *.evtx |
    Sort-Object Length -Descending |
    Select-Object Name, @{n='MB';e={[math]::Round($_.Length/1MB,2)}}, LastWriteTime

$out = 'D:\IR\evtx'
New-Item -ItemType Directory -Force -Path $out | Out-Null
foreach ($name in $priority) {
    wevtutil epl $name "$out\$($name -replace '[\\/:*?"<>|]','_').evtx" 2>$null
}

# 최신(채널) 방식
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\WINEVT\Channels\<Channel>
  Enabled     : 0이면 해당 채널 기록 중단 (안티포렌식 지표)
  MaxSize     : 최대 파일 크기 (바이트)
  Retention   : 1이면 가득 찰 때 기록 중단, 0이면 오래된 이벤트 덮어쓰기
  File        : 실제 저장 경로

# 클래식(Security/System/Application)
HKLM\SYSTEM\CurrentControlSet\Services\EventLog\<Log>

auditpol /get /category:*
Get-WinEvent -ListLog * | Where-Object RecordCount -gt 0 |
  Sort-Object RecordCount -Descending |
  Select-Object LogName, RecordCount, FileSize, IsEnabled

┌─────────────────────────────────────┐
│ File Header (4096 bytes)            │  "ElfFile\x00"
├─────────────────────────────────────┤
│ Chunk 0 (65536 bytes)               │  "ElfChnk\x00"
│  ├ Chunk Header (128 bytes)         │
│  ├ String Table (64 × 4 bytes)      │
│  ├ Template Table (32 × 4 bytes)    │
│  └ Event Records                    │  "\x2A\x2A\x00\x00"
├─────────────────────────────────────┤
│ Chunk 1 ...                         │
└─────────────────────────────────────┘

[datetime]::FromFileTimeUtc(133500000000000000)

<Event xmlns="http://schemas.microsoft.com/win/2004/08/events/event">
  <System>
    <Provider Name="Microsoft-Windows-Security-Auditing"
              Guid="{54849625-5478-4994-a5ba-3e3b0328c30d}" />
    <EventID>4624</EventID>
    <Version>2</Version>
    <Level>0</Level>
    <Task>12544</Task>
    <Opcode>0</Opcode>
    <Keywords>0x8020000000000000</Keywords>
    <TimeCreated SystemTime="2026-09-19T03:14:07.1234567Z" />
    <EventRecordID>184512</EventRecordID>
    <Correlation ActivityID="{...}" />
    <Execution ProcessID="712" ThreadID="4820" />
    <Channel>Security</Channel>
    <Computer>WIN-DC01.corp.local</Computer>
    <Security />
  </System>
  <EventData>
    <Data Name="SubjectUserSid">S-1-5-18</Data>
    <Data Name="TargetUserName">Administrator</Data>
    <Data Name="TargetLogonId">0x3e7a91</Data>
    <Data Name="LogonType">10</Data>
    <Data Name="IpAddress">192.168.10.55</Data>
    <Data Name="ProcessName">C:\Windows\System32\svchost.exe</Data>
  </EventData>
</Event>

# 특정 Provider가 정의한 모든 Event ID와 설명
(Get-WinEvent -ListProvider Microsoft-Windows-Security-Auditing).Events |
  Select-Object Id, Version, Level, @{n='Desc';e={$_.Description}} |
  Where-Object Id -eq 4624 | Format-List

# Provider 목록과 각 Provider가 기록하는 채널
Get-WinEvent -ListProvider * | Select-Object Name, LogLinks

# 매니페스트(이벤트 정의 + 템플릿) 원문 XML
wevtutil gp Microsoft-Windows-Sysmon /ge:true /gm:true

로그온 실패
  4625 ── 같은 계정/IP/LogonType의 반복 실패, Status·SubStatus 확인
       └─ 4771 (Kerberos) / 4776 (NTLM) 로 인증 경로 구분
       └─ 4740 계정 잠금으로 이어지는지 확인

명시 자격 증명 사용
  4648 ── LogonGuid·계정·프로세스·시간 ──> 4624

로그온 성공
  4624 ── TargetLogonId ──> 4672   관리자급 특권 할당
       ├─ LogonId ───────> 4688   해당 세션의 프로세스 생성
       ├─ LogonId ───────> 4720/4732/4698  계정 생성·그룹 추가·작업 등록
       ├─ TargetLogonId ─> 4647   사용자가 로그오프 시작
       └─ TargetLogonId ─> 4634   세션 완전 종료

공격자 호스트                        대상 서버
────────────                        ─────────
RDPClient/Operational 1024,1102
        │
        └──────────────────────────> RemoteConnectionManager 1149  (인증 성공, 출발지 IP)
                                            ↓
                                     Security 4624  LogonType=10
                                            ↓
                                     Security 4672  (관리자급이면)
                                            ↓
                                     LocalSessionManager 21 → 22  (세션 로그온 → 셸 시작)
                                            ↓
                                     Security 4688  세션 내 프로세스 실행
                                            ↓
                                     LocalSessionManager 24/25, Security 4779/4778
                                            ↓
                                     Security 4647 → 4634, LSM 23

4688 / Sysmon 1        실행
   ├─ 4698, TaskScheduler 106      예약 작업
   ├─ 4697, System 7045            서비스
   ├─ Sysmon 13 (Run 키)           레지스트리 자동 실행
   ├─ Sysmon 19/20/21, WMI 5861    WMI 영구 소비자
   └─ 4720 → 4732                  계정 생성 후 Administrators 추가

4616  시스템 시간 변경          → 이후 이벤트 시간 신뢰도 하락
Sysmon 2  파일 생성 시간 변경   → 타임스톰핑
1102  Security 로그 삭제        → SubjectUserName, SubjectLogonId 로 수행자 특정
104   기타 채널 로그 삭제
1100 + System 6006/7036/7040    → EventLog 서비스 중지
WINEVT\Channels\*\Enabled=0     → 채널 무력화 (Sysmon 13으로 탐지)
4719  감사 정책 변경            → 감사 항목 비활성화

wevtutil el                       # 사용 가능한 채널 목록
wevtutil gl Security              # 채널 설정 (최대 크기, 보존 정책, 경로)
wevtutil gli Security             # 로그 상태 (레코드 수, 최초/최종 레코드)
wevtutil gp Microsoft-Windows-Sysmon /ge:true /gm:true   # Provider 이벤트 정의

# 분석용 사본 내보내기 (원본 잠금 회피)
wevtutil epl Security D:\case\Security.evtx

# 저장된 파일에 직접 질의
wevtutil qe D:\case\Security.evtx /lf:true /f:xml /q:"*[System[EventID=4624]]"

# 해시테이블 필터 (가장 권장)
Get-WinEvent -FilterHashtable @{
    Path      = 'D:\case\Security.evtx'
    Id        = 4624, 4625, 4672
    StartTime = '2026-09-18 00:00:00'
    EndTime   = '2026-09-19 00:00:00'
}

# EventData 필드까지 필터링
$xpath = @"
*[System[EventID=4624]]
and
*[EventData[Data[@Name='LogonType']='10']]
"@
Get-WinEvent -Path 'D:\case\Security.evtx' -FilterXPath $xpath

# Level·Keywords 조합
Get-WinEvent -FilterHashtable @{
    LogName  = 'Microsoft-Windows-PowerShell/Operational'
    Id       = 4104
    Level    = 3          # Warning = 의심 스크립트 블록
}

function Expand-EventData {
    param([Parameter(ValueFromPipeline)]$Event)
    process {
        $xml  = [xml]$Event.ToXml()
        $data = @{}
        $xml.Event.EventData.Data | ForEach-Object { $data[$_.Name] = $_.'#text' }

        [pscustomobject]@{
            TimeUtc   = $Event.TimeCreated.ToUniversalTime()
            RecordId  = $Event.RecordId
            Channel   = $Event.LogName
            EventId   = $Event.Id
            Computer  = $Event.MachineName
            Subject   = $data['SubjectUserName']
            SubjectId = $data['SubjectLogonId']
            Target    = $data['TargetUserName']
            TargetId  = $data['TargetLogonId']
            LogonType = $data['LogonType']
            IpAddress = $data['IpAddress']
            Process   = $data['ProcessName']
            Status    = $data['Status']
            SubStatus = $data['SubStatus']
        }
    }
}

Get-WinEvent -FilterHashtable @{Path='D:\case\Security.evtx'; Id=4624} |
  Expand-EventData |
  Where-Object LogonType -in 3,10 |
  Sort-Object TimeUtc |
  Export-Csv .\logon.csv -NoTypeInformation -Encoding UTF8

$ev = Get-WinEvent -FilterHashtable @{Path='D:\case\Security.evtx'; Id=4624,4634} |
        Expand-EventData
$ev | Group-Object TargetId | ForEach-Object {
    $on  = ($_.Group | Where-Object EventId -eq 4624).TimeUtc
    $off = ($_.Group | Where-Object EventId -eq 4634).TimeUtc
    if ($on -and $off) {
        [pscustomobject]@{
            LogonId  = $_.Name
            User     = ($_.Group | Where-Object EventId -eq 4624).Target
            Logon    = $on
            Logoff   = $off
            Duration = $off - $on
        }
    }
}

# 0. Map 최신화 (필수). 안 하면 주요 컬럼이 비어 있다
.\EvtxECmd.exe --sync

# 1. 단일 파일 → CSV
.\EvtxECmd.exe -f "D:\case\Security.evtx" --csv "D:\out" --csvf "Security.csv"

# 2. 디렉터리 일괄 처리 (모든 채널 통합 타임라인)
.\EvtxECmd.exe -d "D:\case\winevt\Logs" --csv "D:\out" --csvf "all-events.csv"

# 3. 특정 ID만 포함 / 제외
.\EvtxECmd.exe -f "D:\case\Security.evtx" --csv "D:\out" --inc 4624,4625,4648,4672,4688
.\EvtxECmd.exe -f "D:\case\Security.evtx" --csv "D:\out" --exc 5058,5061,5056

# 4. 상세 검증용 XML
.\EvtxECmd.exe -f "D:\case\Security.evtx" --xml "D:\out" --xmlf "Security.xml"

# 5. 전체 필드 JSON (자동화용)
.\EvtxECmd.exe -f "D:\case\Security.evtx" --json "D:\out" --jsonf "Security.json" --fj

# 6. 볼륨 섀도 카피 포함 (삭제된 로그 복구 가능성)
.\EvtxECmd.exe -d "C:\Windows\System32\winevt\Logs" --csv "D:\out" --vss

# 로그가 포함하는 실제 기간
$e = Get-WinEvent -Path .\Security.evtx -Oldest -MaxEvents 1
$l = Get-WinEvent -Path .\Security.evtx -MaxEvents 1
"{0} ~ {1}" -f $e.TimeCreated, $l.TimeCreated

# 시간대별 이벤트 밀도로 공백 구간 찾기
Get-WinEvent -Path .\Security.evtx |
  Group-Object { $_.TimeCreated.ToString('yyyy-MM-dd HH') } |
  Select-Object Name, Count | Sort-Object Name

$ids = (Get-WinEvent -Path .\Security.evtx -Oldest).RecordId | Sort-Object
$ids | ForEach-Object -Begin { $p = $null } -Process {
    if ($p -and ($_ - $p) -gt 1) { "공백: $($p+1) ~ $($_-1)  ($($_-$p-1)개)" }
    $p = $_
}

Copy-Item C:\Windows\System32\winevt\Logs\*.evtx D:\case\ -Force
Get-ChildItem D:\case\*.evtx | Get-FileHash -Algorithm SHA256 |
  Export-Csv D:\case\hashes.csv -NoTypeInformation

.\EvtxECmd.exe --sync
.\EvtxECmd.exe -d "D:\case" --csv "D:\out" --csvf "timeline.csv"

.\EvtxECmd.exe -f "D:\case\Security.evtx" --xml "D:\out" --xmlf "Security.xml"