Windows Event Logs

Trong điều tra số, một trong những vị trí đem đến những thông tin vô cùng hữu ích cho người điều tra là Windows Event Logs.

Windows Event Logs gồm những sự kiện liên quan đến software, hardware, OS, security. Service Windows Event Log chịu trách nhiệm quản lý các sự kiện, nhật ký sự kiện; nó thu thập các sự kiện từ nhiều nguồn khác nhau và lưu trự tập chung tại một thư mục. Các sự kiện này có thể giúp người điều tra biết được chuyện gì đã xảy ra trên hệ thống, chúng xảy ra vào thời gian nào, tham chiếu đến người dùng cụ thể liên quan đến những hành vi đó hay các thông tin của các hệ thống, tài nguyên truy cập từ xa.

Trước khi đi phân tích một cái gì đó chúng ta phải hiểu nó trước, vì vậy phần này mình sẽ trình bày một số đặc điểm của Windows Event Logs.

Windows Event Logs nằm ở đâu?

Ban đầu, ở những phiên bản hệ điều hành cũ (trước Windows Vista) event log sẽ được lưu trữ tập chung tại systemroot%\System32\config ở định dạng nhị phân và với phần mở rộng đuôi .evt.

Nhưng bắt đầu từ Win server 2008 và Windwos Vista thì đã có sự thay đổi về định dạng log và vị trí lưu trữ của chúng. Event log được chuyển sang định dạng XML và với phần mở rộng .evtx và chúng được lưu trữ tại  %systemroot%\System32\winevt\logs.

Vị trí lưu của từng loại log có thể tìm thấy trong Registry:

Chẳng hạn như trong hình trên với các event liên quan đến Application sẽ được lưu trữ trong %systemroot%\System32\winevt\Logs\Application.evtx

Và người quản trị có thể thay đổi được vị trí này bằng cách thay đổi data value của registry key.

Format log

Với Win2008 trở về trước toàn bộ tệp log sẽ được ánh xạ vào bộ nhớ và điều này thực sự là một vấn đề với việc quản lý bộ nhớ, bộ nhớ luôn phải dành một không gian tối đa tới 300MB để cấp phát chỉ cho Event Log và tất nhiên hiệu suất sẽ bị giảm nhất là đối với thời điểm đó khi mà dung lượng bộ nhớ thực sự không lớn. Và đôi khi có thể dẫn đến vấn đề là người dùng sẽ tắt logging đi để nâng cao hiệu suất.

Nhưng với các bản windows OS mới hơn thì điều này đã được khắc phục, service Windows Event Log quản lý các event và event logs (logging events, querying events, subscribing to events, archiving event logs, and managing event metadata). Trong bộ nhớ lúc này chỉ chứa hững header nhỏ với các đoạn mã 64KB nằm trong bộ nhớ và nó thực sự đã giải quyết được vấn đề quản lý bộ nhớ mà không làm giảm hiệu suất.

Định dạng của event log cũng thay đổi với extension là .EVTX và được lưu trữ ở định dạng XML, giúp việc giải mã cấu trúc nhật ký trở nên trực quan hơn và cũng dễ dàng để tạo bộ lọc hỗ trợ việc tìm kiếm. VD với 1 event dưới đây:

Số lượng log đã tăng lên rất nhiều và cũng có các tùy chọn ghi log chi tiết hơn với sự tùy chỉnh của Advanced Audit Policy Configuration.

Event Types

Có năm loại sự kiện có thể được ghi lại. Mỗi sự kiện phải thuộc một loại nào đó trong 5 loại này và mỗi loại sẽ có một t biểu tượng khác nhau. VD như hình dưới: