INTRODUZIONE ALL’EVENT LOG ANALYSIS
Windows Event Log Analysis: guida pratica ai log di sicurezza
I Windows Event Log registrano eventi generati dal sistema operativo, dalle applicazioni e dai componenti di sicurezza. Se raccolti e interpretati correttamente, permettono di ricostruire accessi, errori di autenticazione, attività RDP, avvio di servizi e altri segnali utili durante troubleshooting, audit e prime verifiche di cybersecurity.
La guida gratuita introduce un metodo pratico per usare Windows Event Viewer, leggere gli eventi nel loro contesto e riconoscere sequenze che richiedono un approfondimento. L’obiettivo non è attribuire automaticamente un incidente da un singolo Event ID, ma capire quali campi osservare e come collegare più evidenze.
Vuoi scoprire come difendere al meglio la tua organizzazione da attacchi esterni?
Il corso Cybersecurity Blue Team – Difendi la tua rete è la formazione sulla sicurezza dedicata ai professionisti IT che desiderano sviluppare le proprie abilità informatiche difensive pratiche. Attraverso il corso sarai in grado di analizzare e rispondere agli attacchi di phishing, eseguire indagini forensi, indagare su attività dannose, analizzare il registro e traffico di rete e molto altro ancora…
Cosa sono i Windows Event Log
Windows organizza gli eventi in registri come Application, Security e System, oltre ai canali presenti in Applications and Services Logs. Il contenuto disponibile dipende dai provider attivi, dalla configurazione del sistema e, per gli eventi di sicurezza, dalle audit policy abilitate. Per questo l’assenza di un evento non dimostra automaticamente che un’attività non sia avvenuta.
Event Viewer consente di consultare e filtrare questi registri su un singolo computer. Durante un’analisi, il valore non risiede nel numero dell’evento isolato, ma nella correlazione tra timestamp, account, host, processo, tipo di logon, indirizzo sorgente e altri eventi avvenuti prima o dopo.
A cosa serve l’analisi dei log Windows
- Verificare logon riusciti e tentativi di autenticazione falliti.
- Distinguere accessi interattivi, di rete, di servizio e sessioni Remote Desktop.
- Ricostruire avvio, arresto, installazione o modifica di servizi.
- Individuare sequenze ripetute compatibili con brute force o password spraying.
- Rilevare tracce di persistenza, cancellazione dei log o cambiamenti amministrativi da approfondire.
- Costruire una timeline tecnica per troubleshooting e triage iniziale di un incidente.
Cosa contiene la guida
- Struttura dei registri eventi Windows e differenza tra i principali canali.
- Uso di Event Viewer per consultare, filtrare e salvare gli eventi rilevanti.
- Analisi degli eventi di logon riuscito e dei tentativi di accesso falliti.
- Lettura delle attività RDP e dei campi utili a identificare origine e contesto.
- Riconoscimento di pattern compatibili con attacchi di forza bruta.
- Elementi iniziali per individuare persistenza e attività anomale.
Event ID 4624 e 4625: il numero non basta
Nel registro Security, l’Event ID 4624 documenta la creazione di una sessione di logon riuscita sul sistema di destinazione; l’Event ID 4625 registra un tentativo di logon fallito sul computer in cui è stato richiesto l’accesso. Nessuno dei due eventi, considerato da solo, stabilisce se l’attività sia legittima o malevola.
Per interpretare correttamente l’evento occorre verificare almeno:
- Logon Type e modalità di accesso richiesta.
- Account target, dominio e Security Identifier quando disponibili.
- Workstation, indirizzo IP e porta sorgente, se valorizzati.
- Processo chiamante, authentication package, status e substatus.
- Frequenza, distribuzione temporale e correlazione con 4624, 4634, 4648, 4740 o altri eventi pertinenti.
Metodo iniziale con Windows Event Viewer
- Definisci la domanda investigativa: accesso fallito, sessione RDP, servizio anomalo, modifica amministrativa o altro scenario.
- Seleziona il registro e l’intervallo temporale coerenti con l’evento da verificare.
- Filtra per Event ID, provider, livello, utente o parole chiave senza perdere gli eventi immediatamente correlati.
- Leggi i campi tecnici dell’evento e normalizza orario, host, account e origine.
- Costruisci una timeline e confrontala con attività note, change, ticket e altre fonti disponibili.
- Classifica il risultato come attività attesa, anomalia da monitorare o evidenza da escalare.
Per ricerche ripetibili o dataset più ampi, PowerShell consente di interrogare i registri con Get-WinEvent e filtri strutturati. La guida mantiene però un taglio introduttivo e non sostituisce un processo completo di detection engineering o digital forensics.
Dall’analisi locale alla raccolta centralizzata
L’analisi manuale è adeguata per verifiche puntuali su uno o pochi sistemi. In un’infrastruttura aziendale, Windows Event Forwarding può inoltrare eventi selezionati dalle sorgenti a un Windows Event Collector tramite subscription. La centralizzazione consente di conservare una vista più ampia e prepara i dati alla correlazione in una piattaforma di monitoring o SIEM.
Quando l’obiettivo è il monitoraggio continuativo con correlazione, alerting, triage e risposta, il perimetro corretto è il SOC as a Service di Nexsys.
Dalla guida alla formazione Blue Team
La guida fornisce le basi per leggere i log Windows. La formazione Blue Team estende il metodo alla correlazione tra identity, endpoint, email, DNS e rete, includendo triage, detection, threat hunting e gestione iniziale degli incidenti.
Percorso formativo: corso Cybersecurity Blue Team.
Altre guide tecniche Nexsys
Questa risorsa fa parte delle guide IT e cybersecurity gratuite dedicate a sistemisti, amministratori e professionisti della sicurezza.
Che cosa sono i Windows Event Log?
Sono registri generati da Windows, applicazioni e componenti del sistema. Documentano gli eventi prodotti dai provider attivi e, per il registro Security, quelli previsti dalle audit policy configurate.
A cosa serve Windows Event Viewer?
Event Viewer consente di consultare e filtrare registri locali o remoti, tra cui Application, Security, System e i canali presenti in Applications and Services Logs.
Qual è la differenza tra Event ID 4624 e 4625?
L’Event ID 4624 documenta la creazione di una sessione di logon riuscita sul sistema di destinazione. Il 4625 registra un tentativo di logon fallito. Il significato deve essere valutato insieme a Logon Type, account, origine, processo, status e sequenza temporale.
Un Event ID 4625 indica sempre un attacco brute force?
No. Un singolo tentativo fallito può dipendere da errore umano, password scaduta, servizio configurato male o credenziali non aggiornate. Diventa un indicatore quando frequenza, distribuzione, account e sorgenti formano un pattern anomalo.
Che cos’è Windows Event Forwarding?
Windows Event Forwarding consente di inoltrare eventi selezionati da computer sorgente a un Windows Event Collector tramite subscription, centralizzando la raccolta per analisi e conservazione.
L’analisi manuale dei log sostituisce SIEM o SOC?
No. Event Viewer è adatto a verifiche puntuali e all’apprendimento del dato. SIEM e SOC aggiungono raccolta centralizzata, correlazione, alerting, triage, processi di risposta e monitoraggio continuativo.
Qual è la differenza tra Event Log Analysis e guida ai codici evento?
Una guida ai codici evento è una reference per cercare il significato di un Event ID. L’Event Log Analysis è il processo con cui più eventi e campi vengono contestualizzati e correlati per rispondere a una domanda tecnica o investigativa.
