O Windows registra muito mais do que a maioria imagina, e quase ninguém olha até precisar. Logins, criação de contas, execução de programas, alterações de privilégio: tudo isso vira evento numerado, com carimbo de tempo, guardado no próprio sistema.
O problema não é falta de dado. É saber quais dos milhares de eventos contam a história que interessa.
Onde os registros ficam
Os logs de eventos do Windows são arquivos com extensão .evtx, guardados em C:\Windows\System32\winevt\Logs. Os três que mais interessam em investigação:
| Log | O que registra |
|---|---|
| Security | Autenticação, contas, privilégios, acesso a objetos |
| System | Serviços, drivers, desligamentos, eventos do sistema |
| Application | Erros e eventos de aplicativos instalados |
Como todo artefato, esses arquivos devem ser copiados antes de analisar, com hash gerado na coleta, pelo mesmo princípio de Artefatos de navegador em investigação forense. Analisar o .evtx em outra máquina, sobre cópia, evita alterar o original.
Os eventos de autenticação
A pergunta “quem entrou, quando e de onde” se responde no log de Security.
| ID | Significado |
|---|---|
| 4624 | Login bem-sucedido |
| 4625 | Falha de login |
| 4634 e 4647 | Logout e encerramento de sessão |
| 4648 | Login usando credencial explícita, comum em movimentação lateral |
O detalhe que transforma o 4624 em ouro é o tipo de logon que ele carrega. Tipo 2 é login no teclado da máquina; tipo 3 é acesso pela rede; tipo 10 é acesso remoto por área de trabalho. Uma sequência de tipo 3 vindo de várias máquinas para uma só, em pouco tempo, é a assinatura de credencial comprometida se espalhando.
Uma sequência de falhas seguida de sucesso
Muitos 4625 seguidos, terminando em um 4624 para a mesma conta, é o retrato de força bruta que deu certo. É o evento defensivo correspondente ao ataque que descrevi em Quebra de senhas em pentest: do lado do alvo, cada tentativa deixou rastro.
Os eventos de persistência e privilégio
Depois de entrar, o atacante quer permanecer e crescer. Isso também deixa marca:
| ID | Significado |
|---|---|
| 4720 | Conta de usuário criada |
| 4728 e 4732 | Usuário adicionado a grupo privilegiado |
| 4672 | Login com privilégios especiais, útil para rastrear uso de conta administrativa |
| 7045 | Novo serviço instalado, no log de System, técnica comum de persistência |
Uma conta criada (4720) e, minutos depois, adicionada a um grupo de administradores (4732) é uma sequência que raramente é legítima fora de um provisionamento planejado. Cruzada com o ataque a Active Directory que descrevi em Ataques a Active Directory, ela conta o final da história do lado do defensor.
O evento que denuncia adulteração
Atacante experiente tenta apagar rastro limpando os logs. Mas a própria limpeza gera um evento:
- 1102 no log de Security: o log de auditoria foi apagado.
- 104 no log de System: um log de eventos foi limpo.
Encontrar um 1102 é, por si só, um forte indício de atividade maliciosa. Ninguém limpa o log de segurança no meio do expediente por acaso. E é por isso que enviar os eventos para um coletor central, fora da máquina, é tão importante: o que já saiu não pode ser apagado localmente, como tratei em Implementação e Configuração de um SIEM no SOC.
Extraindo e filtrando
Em análise sobre cópia, ferramentas de linha de comando leem o .evtx e permitem filtrar por ID e por janela de tempo. O fluxo é o mesmo da linha do tempo forense: recortar o período suspeito primeiro, depois isolar os IDs que interessam.
Esses eventos entram muito bem na linha do tempo unificada de Plaso e log2timeline, ao lado da execução de programas e da criação de arquivos, formando a sequência completa em vez de fatos isolados.
A cautela de sempre
O log prova que uma conta fez algo, em determinado horário, a partir de determinada máquina. Não prova quem operava a conta. Ligar o evento a uma pessoa exige os outros elementos que sempre acompanham uma atribuição responsável, e confundir as duas coisas é o erro que fragiliza o laudo.