توی لاگ‌ها به یه Event خیلی مهم رسیدم:
Event ID = 4663
این لاگ نشون میده:
چه کاربری
با چه برنامه‌ای
روی چه فایلی
چه عملیاتی انجام داده
یعنی دقیقاً می‌فهمی چه کسی به فایل دست زده و چی تغییر کرده.
⚠️ نکته: این لاگ فقط وقتی ثبت میشه که Audit روی فایل درست تنظیم شده باشه.
🔥 کاربرد مهمش تو SOC و مخصوصاً Honeytokenهاست.
@Socroot