מעקב אחר הליבה של וונדוס - Kernel
Event Viewer

תמלול ההרצאה: מעקב אחר הליבה של וונדוס - Kernel Event Viewer

הטקסט המלא של הדקות הראשונות בהרצאה «מעקב אחר הליבה של וונדוס - Kernel Event Viewer» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.

1. 00:02

   שלום לכולם, בהרצאה זו נדבר על אירועים סודיים בתוך Event Viewer. פעם במקור היו איזה 4-5 יומנים, והכל היה בבלאגן בתוך אותה רשימה, ואז בווינדוס ויסטה, אם אני לא טועה, מייקרוסופט הפרידו את התיעוד ליומנים נפרדים עבור כל מערכת, שיהיה מסודר.

2. 00:22

   כי במקור היו רק האלו, רק החמישה הראשונים האלו, הארבעה הראשונים האלו. ואחרי זה הם הוסיפו את כל זה למטה. וכל זה זה למעשה יומן נפרד עבור כל מערכת. אבל מה שאנחנו רואים פה זה ממש לא כל מה שקיים.

3. 00:38

   יש הרבה יותר ואפשר לעשות view בשואו אנליטיקס אין דיבאג לוגס. ברגע שאנחנו עושים את זה, פתאום מופיעים יומנים סודיים. אבל כברירת מחדל הם לא מופעלים, הם קיימים ולא מופעלים.

4. 00:50

   אם נעשה פה רייט קליק, אז אפשר להפעיל אותו על ידי enable log. לפני שאני עושה את זה, אני רוצה להראות לכם שהוא באמת יוסיף לנו לכאן עוד סשן מעקב.

5. 01:02

   אני בא להראות לכם שאיבנט פיוזר ממש משתמש ב-ETW מאחורי הקלעים, ואיך אני מראה לכם את זה? שכשאני מפעיל פה רייט קליק, הנה בלוג על איזשהו יומן אירועים נוסף, ברגע שעשיתי את זה, כאן ברשימה מתווסף לנו סשן מעקב חדש שלא היה לפני כן.

6. 01:22

   הנה הוא, איבנט לוג מייקרוסופט ווינדוס לוגון דיאגנוסטיק, אתם יכולים לראות פה בפרופרטיז שזה הספק שלו winlogon ושימו לב פה שהוא מקבל רק את האירועים של הדיאגנוסטיק אתם רואים יש פה v1 אני רואה את זה פה במסכה אתם רואים מסכה 0x8 שזה 8 באקסה ואפשר לראות באדיט שלו

7. 01:41

   שזה רק אירועים של דיאגנוסטיק זאת אומרת שהטרי סשן הזה עוקב אחרי ספק מסוים ומעביר את זה לאבנט פיואר ואם אני אעשה פה disable log אני עוצר אותו ונעשה