分类目录应急响应

Sysmon (System Monitor) 是一种 Windows 系统服务和设备驱动程序，一旦安装在系统上，它就会在系统重启后继续驻留，以监视系统活动并将其记录到 Windows 事件日志中。Sysmon 记录的事件日志非常详细，提供了进程执行、文件系统活动、网络级事件、Windows 注册表事件和其他 Windows 特定进程（如命名管道）的可视化。

在某次应急排查中，收到网安的自查通告。xxx系统在某一天被某境外组织访问，通信流量xxMb。

阅读更多

阅读更多

阅读更多

在Windows注册表基础中已经介绍了注册表的详细信息，本文主要对注册表进行取证实践，制作系统镜像导出注册表副本。