Интернетмагазин

ж
урналы
 
операционной
 
системы
 
Типы журналов, доступных в операционной системе, могут различаться. В этой 
книге мы сосредоточимся на основных журналах, которые актуальны с точки 
зрения безопасности. Будем использовать операционные системы Windows 
и Linux, чтобы продемонстрировать это.

---

Журналы операционной системы 
 
317
Журналы Windows 
В операционной системе Windows наиболее важные журналы, связанные 
с безопас ностью, доступны через 
Просмотр событий. В главе 13 «Расследова-
ние инцидента» мы рассказали о наиболее распространенных событиях, кото-
рые следует рассмотреть в ходе расследования. Хотя события могут легко рас-
полагаться в окне 
Просмотр событий, вы также можете получить отдельные 
файлы в Windows\System32\winevt\Logs, как показано на рис. 16.2.
Рис. 16.2
Однако анализ журналов в операционной системе не обязательно ограни-
чивается информацией о логировании, предоставляемой ОС, особенно в Win-
dows. Есть и другие источники информации, которые вы можете использовать, 
включая файлы предварительной выборки (Windows Prefetch). Они содержат 
соответствующую информацию, касающуюся выполнения процесса, и могут 
быть полезны при попытке понять, был ли запущен вредоносный процесс 
и какие действия были выполнены в результате этого.
В Windows 10 у вас также есть журналы OneDrive (C:\Users\\AppData\
Local\Microsoft\OneDrive\logs
), что может быть полезно. Если вы исследуете из-
влечение данных, это может быть удобно, чтобы проверить, было ли соверше-
но какое-либо нарушение. Просмотрите файл SyncDiagnostics.log для получе-
ния дополнительной информации.

Для синтаксического анализа файлов предварительной загрузки Windows используйте 
этот сценарий на языке Python по адресу: