Event-Logs on Roduygo | Blog

Tổng quan Windows Event Logs và kỹ năng lọc log bằng PowerShell XML

Fri, 08 May 2026 12:00:00 +0700

Chào mừng các bạn quay trở lại với Series Giải phẫu Windows OS & SOC Analytics! Bất kỳ một tên trộm nào khi đột nhập cũng sẽ cố gắng xóa dấu vết, trốn tránh camera. Trong hệ điều hành Windows, “camera an ninh” đó chính là Event Logs (Nhật ký sự kiện). Mã độc có thể ẩn mình dưới lớp vỏ bọc svchost.exe hay lách qua UAC, nhưng mọi hành động của chúng đều để lại những “gợn sóng” trong nhật ký hệ thống. Hôm nay, chúng ta sẽ học cách đọc hiểu các Event ID sinh tử và sử dụng PowerShell kết hợp XML để truy vết hacker với tốc độ ánh sáng!

1. Tổng quan về Windows Event Logs

Event Logs là nơi lưu trữ mọi “nhịp đập” của máy tính. Bất kể là bạn cắm một chiếc USB, cài một phần mềm, khởi động dịch vụ hay gõ sai mật khẩu, Windows đều ghi chép lại một cách tỉ mỉ.

1.1 Phân loại Nhật ký (Log Types)

Hệ thống phân chia nhật ký thành nhiều nhánh để dễ quản lý:

System (Hệ thống): Ghi lại các sự kiện liên quan đến hệ điều hành, thay đổi phần cứng, khởi động/tắt máy và hoạt động của trình điều khiển (Driver).
Security (Bảo mật): Đây là mỏ vàng của SOC. Ghi lại các sự kiện Đăng nhập/Đăng xuất (Logon/Logoff), thay đổi quyền hạn và quản lý người dùng.
Application (Ứng dụng): Ghi lại lỗi phần mềm (crash), cảnh báo từ các ứng dụng cài đặt trên máy.

1.2 Mức độ Sự kiện (Event Levels)

Mỗi sự kiện được gắn một mức độ nghiêm trọng:

Information: Hoạt động bình thường, thành công.
Warning: Có vấn đề tiềm tàng nhưng chưa làm sập chức năng (ví dụ: ổ đĩa sắp đầy).
Error: Vấn đề nghiêm trọng (mất dữ liệu, phần mềm bị crash).
Success/Failure Audit: Cực kỳ quan trọng trong nhánh Security, ghi nhận các nỗ lực truy cập tài nguyên (đăng nhập đúng hoặc sai pass).

Góc nhìn SOC - Cấu hình dung lượng Log: Mặc định, file log (như Security.evtx) bị giới hạn dung lượng (thường là 20MB) và được cấu hình ghi đè sự kiện cũ nhất (Overwrite events as needed). Hacker hiểu điều này, chúng có thể “xả rác” (Spam logs) để đẩy các log độc hại trôi đi mất. Do đó, trên các máy chủ quan trọng, quản trị viên thường phải chỉnh thành cấu hình Archive the log when full (Nén lại khi đầy) để không mất dấu vết lịch sử.

2. Từ điển Event ID “Gối đầu giường” của SOC

Để săn tìm mã độc, bạn không thể đọc từng dòng log một. Bạn phải thuộc lòng những Event ID (EID) mang tính “chỉ điểm” sau đây:

2.1 Nhóm Application (Ứng dụng)

EID 1000 (Application Error): Phần mềm bị treo cứng và tự đóng. Nếu một dịch vụ quan trọng (như lsass.exe) liên tục báo lỗi 1000, có thể hacker đang dùng tool dump bộ nhớ bị lỗi.
EID 11724 (MsiInstaller): Thông báo một phần mềm vừa bị gỡ bỏ. Nếu phần mềm bị gỡ là Antivirus, đây là báo động đỏ cực độ (Red Flag)!

2.2 Nhóm System (Hệ thống)

EID 12 / 13: Máy tính bắt đầu Boot (12) và Tắt máy bình thường (13).
EID 7040: Thay đổi loại khởi động của một dịch vụ (ví dụ: bật lại một dịch vụ từ Disable sang Auto).
EID 7045: Một dịch vụ (Service) mới vừa được cài đặt. Hacker cực kỳ thích cài “Backdoor” dưới dạng một Service để tự chạy ngầm cùng quyền LocalSystem.

2.3 Nhóm Security (Bảo mật) - Trái tim của SOC

EID 4624 (Logon Success): Đăng nhập thành công. Cần soi kỹ Logon Type (Type 2 là ngồi gõ trực tiếp, Type 3 là qua mạng/Share, Type 10 là Remote Desktop).
EID 4625 (Logon Failure): Gõ sai pass. Nếu EID này xuất hiện dồn dập hàng loạt với nhiều user khác nhau, bạn đang đối mặt với tấn công Password Spraying hoặc Brute Force.
EID 4672 (Special Logon): Phiên đăng nhập được gán đặc quyền Admin (SYSTEM). Nếu một tài khoản người dùng thường (như nhân viên lễ tân) có log này, họ đã leo quyền (Privilege Escalation) thành công.
EID 4720 (User Created) & 4732 (Added to Group): Hacker tạo tài khoản Backdoor mới và nhét nó vào nhóm Administrators. Mọi sự kiện 4732 tác động vào nhóm Admin đều phải được điều tra lập tức.
EID 4688 (Process Creation): Ghi nhận một tiến trình/câu lệnh mới vừa chạy. Kết hợp dòng log này, ta biết chính xác mã độc đã gõ lệnh gì trên CMD/PowerShell.
EID 1102 (Log Cleared): Nhật ký an ninh đã bị xóa trắng. Dấu vết lẩn trốn rõ ràng nhất.

3. Giải phẫu cấu trúc XML của một Sự kiện

Mở giao diện Event Viewer (Friendly View) và bấm xem bằng mắt thường rất dễ hiểu, nhưng lại quá chậm để tự động hóa. Thực chất, giao diện này chỉ là bản “dịch” lại từ ngôn ngữ lưu trữ gốc của Windows: XML.

Chuyển sang tab XML View, bạn sẽ thấy một sự kiện luôn chia làm 2 khối chính:

<Event xmlns="http://schemas.microsoft.com/win/2004/08/events/event">
 <!-- KHỐI SYSTEM: Chứa siêu dữ liệu chung -->
 <System>
 <Provider Name="Microsoft-Windows-Security-Auditing" ... />
 <EventID>4672</EventID>
 <Level>0</Level>
 <TimeCreated SystemTime="2026-02-02T17:22:57.0339579Z" />
 <Execution ProcessID="1504" ThreadID="1600" />
 <Computer>NguyenDuy</Computer>
 </System>
 
 <!-- KHỐI EVENT DATA: Phần "thịt" chứa thông tin điều tra -->
 <EventData>
 <Data Name="SubjectUserSid">S-1-5-18</Data>
 <Data Name="SubjectUserName">SYSTEM</Data>
 <Data Name="PrivilegeList">SeAssignPrimaryTokenPrivilege
 SeSecurityPrivilege
 SeTakeOwnershipPrivilege
 SeDebugPrivilege
 SeImpersonatePrivilege</Data>
 </EventData>
</Event>

Tại sao phải quan tâm XML? Bởi vì những thông tin sinh tử như Tên tài khoản (SubjectUserName) hay Đặc quyền (PrivilegeList) được giấu sâu bên trong các node <Data>. Nếu bạn hiểu cấu trúc này, bạn có thể viết script lọc ra chính xác các đăng nhập mờ ám có đặc quyền SeDebugPrivilege (đặc quyền cho phép can thiệp bộ nhớ, cực kỳ nguy hiểm, thường dùng để dump mật khẩu lsass.exe).

4. Kỹ năng lọc log thực chiến bằng PowerShell (XPath)

Event Viewer rất nặng và chậm khi load hàng chục GB logs. Thay vào đó, SOC Analyst sử dụng PowerShell với Cmdlet Get-WinEvent kết hợp cú pháp truy vấn XPath để quét logs trong chớp mắt.

4.1 Thống kê nhanh bằng Wevtutil

Để đếm tổng số tệp nhật ký trên máy mà không cần mở giao diện đồ họa, bạn có thể dùng lệnh:

wevtutil.exe el | find /c /v ""

(Lệnh này liệt kê tất cả các log el và đếm tổng số dòng)

4.2 Săn tìm mã độc với Get-WinEvent & XPath

Giả sử bạn nghi ngờ có kẻ đang liệt kê danh sách nhóm cục bộ (Event ID 4798) để tìm nhóm Admin. Thay vì cuộn chuột thủ công, hãy ném cú pháp XPath này vào PowerShell:

# Lọc toàn bộ Log Security, chỉ lấy các sự kiện có Event ID = 4798
Get-WinEvent -LogName Security -FilterXPath "*[System[(EventID=4798)]]"

Nâng cao hơn: Lọc dựa trên EventData (Dữ liệu bên trong) Nếu bạn muốn tìm đích danh Log Logon thất bại (EID 4625) nhưng chỉ lọc các lần thất bại có mã lỗi 0xC0000064 (Tên người dùng không tồn tại - Dấu hiệu của việc dò quét tài khoản), bạn có thể viết Rule XPath truy vấn thẳng vào lớp <EventData>:

# Tìm các log đăng nhập sai (4625) với mã lỗi (Status) là 0xC0000064
$Query = "*[System[EventID=4625] and EventData[Data[@Name='Status']='0xc0000064']]"
Get-WinEvent -LogName Security -FilterXPath $Query | Select-Object TimeCreated, Message

Sức mạnh của XPath cho phép các nhà phân tích SOC trích xuất hàng triệu sự kiện (Events) chỉ trong vài giây, và đây cũng chính là cơ sở cốt lõi để xây dựng các tập luật (Rules) tự động cho hệ thống SIEM (như Wazuh hay Splunk).

Như vậy, chúng ta đã nắm trong tay cách hệ điều hành “ghi sổ” mọi biến động. Bằng cách làm chủ các mã Event ID và kỹ thuật lọc XML bằng PowerShell, bạn đã biến mình từ một người bị động trở thành một “thợ săn” (Threat Hunter) chủ động đi tìm những bất thường trên hệ thống. Ở bài viết tới, chúng ta sẽ tìm hiểu về cách kết hợp Event Logs với Sysmon (System Monitor) – một công cụ biến nhật ký Windows thành hệ thống giám sát cấp độ quân sự. Đừng bỏ lỡ nhé!

Truy vết Đăng nhập

Fri, 08 May 2026 12:00:00 +0700

Chào mừng các bạn tiếp tục với Series Giải phẫu Windows OS & SOC Analytics! Bất kỳ cuộc tấn công mạng nào, dù tinh vi đến đâu, cũng thường bắt đầu hoặc kết thúc bằng việc kẻ tấn công cố gắng “gõ cửa” hệ thống qua cơ chế đăng nhập. Đối với một nhà phân tích SOC, nhánh Security Logs là mỏ vàng, và các sự kiện Đăng nhập/Đăng xuất (Logon/Logoff) chính là chìa khóa để nhận diện kẻ xâm nhập. Hôm nay, chúng ta sẽ “mổ xẻ” bộ 3 Event ID sinh tử: 4624, 4625, 4648 cùng từ điển Logon Types để vạch trần mọi kỹ thuật dò mật khẩu hay mạo danh trên hệ thống.

1. Từ điển “Logon Types”: Ngôn ngữ giao tiếp của Hệ điều hành

Khi bạn phân tích một log đăng nhập (dù thành công hay thất bại), việc chỉ nhìn vào tài khoản (Account Name) là chưa đủ. Bạn bắt buộc phải nhìn vào Logon Type (Cách thức đăng nhập) để biết kẻ đó đang “vào nhà” bằng cửa chính, cửa sổ hay leo rào.

Dưới đây là các Logon Type quan trọng nhất mà một SOC Analyst phải thuộc nằm lòng:

Type 2 (Interactive): Đăng nhập tương tác trực tiếp. Nghĩa là người dùng (hoặc kẻ tấn công) đang thực sự ngồi trước bàn phím vật lý của cái máy tính đó để gõ mật khẩu.
Type 3 (Network): Truy cập qua mạng. Thường thấy khi người dùng truy cập vào thư mục dùng chung (File Share), máy in mạng hoặc khi một tập lệnh từ xa được thực thi.
Type 4 (Batch): Đăng nhập dạng khối. Thường được sử dụng bởi các tác vụ lập lịch (Scheduled Tasks) tự động chạy định kỳ.
Type 5 (Service): Đăng nhập dạng dịch vụ. Đây là lúc một dịch vụ hệ thống khởi chạy ngầm dưới quyền một tài khoản cụ thể. Góc nhìn SOC: Nếu hàng trăm log Type 5 nổ ra từ các dịch vụ lạ, có thể mã độc đang tự động gọi tiến trình (spawn process) hàng loạt.
Type 10 (Remote Interactive): Đăng nhập qua Remote Desktop Protocol (RDP). Đây là Logon Type bị hacker lợi dụng nhiều nhất để tấn công từ xa.

2. Event ID 4625: Tiếng “gõ cửa” của kẻ lạ mặt (Logon Failure)

Mỗi khi có người nhập sai mật khẩu, Windows sẽ sinh ra Event ID 4625. Một vài log 4625 rải rác là bình thường (do người dùng gõ nhầm), nhưng nếu nó nổ ra hàng loạt, hệ thống của bạn đang bị tấn công.

Để biết chính xác mục tiêu của kẻ tấn công, chúng ta dựa vào trường Status và Sub Status (Mã lỗi):

0xC000006A (Bad Password): Tài khoản có tồn tại, nhưng gõ sai mật khẩu.
0xC0000064 (User Does Not Exist): Tên người dùng không tồn tại. Nếu bạn thấy mã này nhiều lần, hacker đang thực hiện dò quét liệt kê tài khoản (Username Enumeration).
0xC0000234 (Account Locked): Đăng nhập vào một tài khoản đã bị khóa do gõ sai quá số lần quy định.

2.1 Kỹ năng phân biệt Brute Force và Password Spraying

Brute Force (Vét cạn): Hacker nhắm vào 1 tài khoản (VD: Administrator) và thử hàng nghìn mật khẩu khác nhau. Dấu hiệu: Nhiều log 4625 liên tiếp, cùng một Account Name, mã lỗi 0xC000006A, dồn dập trong vài giây từ một IP lạ (Source Network Address).
Password Spraying (Phun mật khẩu): Để tránh bị khóa tài khoản (Account Lockout), hacker lấy 1 mật khẩu phổ biến (VD: “Admin@123”) và thử lần lượt trên hàng trăm user khác nhau. Dấu hiệu: Nhiều log 4625, cùng một IP nguồn, nhưng Account Name thay đổi liên tục, xuất hiện mã lỗi trộn lẫn giữa 0xC000006A và 0xC0000064.

3. Event ID 4624: Khi cánh cửa mở ra (Logon Success)

Event ID 4624 cho biết một tài khoản đã đăng nhập thành công vào hệ thống. Nếu log này xuất hiện ngay sau một chuỗi dài các log 4625, xin chia buồn, hệ thống của bạn đã bị xuyên thủng!

Mẹo điều tra với RDP (Network Level Authentication - NLA): Khi hệ thống bật tính năng xác thực cấp mạng (NLA) cho Remote Desktop, quy trình sinh log sẽ hơi “đánh lừa” bạn một chút:

Đầu tiên, máy khách gửi thông tin xác thực lên. Windows xử lý việc này như một kết nối mạng thông thường và ghi nhận Log 4624 với Logon Type 3.

Sau khi xác thực Type 3 thành công, phiên giao diện đồ họa RDP mới thực sự được vẽ ra. Lúc này Windows mới tiếp tục ghi nhận thêm một Log 4624 với Logon Type 10.

Khi điều tra, bạn nhớ ghi lại trường thông tin Logon ID (VD: 0x183C36D). Đây là mã định danh phiên làm việc, giúp bạn xâu chuỗi mọi hoạt động (tạo tiến trình, truy cập file) mà tài khoản đó thực hiện sau khi vào máy.

4. Event ID 4648: Kỹ thuật Mạo danh (Explicit Credentials)

Hacker không phải lúc nào cũng đăng nhập từ bên ngoài vào. Nếu chúng đã lọt vào máy bạn dưới quyền một người dùng thường (nhân viên lễ tân), chúng sẽ cố gắng mạo danh Admin bằng kỹ thuật sử dụng thông tin xác thực rõ ràng (Explicit Credentials) - sinh ra Event ID 4648.

Log 4648 ghi lại việc một tiến trình cố gắng đăng nhập vào một tài khoản bằng cách “mượn” danh tính (như lệnh runas) thay vì đăng nhập trực tiếp qua màn hình.

Dấu hiệu báo động đỏ (Red Flag) từ 4648:

SubjectUserName: Người dùng thường.
TargetUserName: Administrator hoặc Service account.
Process Name: Bình thường sẽ là explorer.exe hoặc mmc.exe. Nếu bạn thấy tiến trình thực hiện hành động này là powershell.exe, cmd.exe hoặc rundll32.exe, 100% đó là mã độc đang thực hiện leo thang đặc quyền (Privilege Escalation) hoặc di chuyển ngang (Lateral Movement) sang máy chủ khác.

5. Thực chiến SOC: Viết Rule giám sát bằng SIEM (Wazuh)

Đứng ở góc độ một SOC Analyst, chúng ta không đếm log bằng tay mà sẽ cấu hình các SIEM rule tự động báo động. Dưới đây là ví dụ cấu hình mã XML cho Wazuh để phát hiện hành vi Brute Force và Password Spraying:

Phát hiện Brute Force (Vét cạn 1 tài khoản)

Rule này sẽ cảnh báo nếu có 5 lần gõ sai mật khẩu (EID 4625) vào cùng một tài khoản trong vòng 60 giây:

<rule id="100001" level="10">
 <if_sid>4625</if_sid>
 <frequency>5</frequency>
 <timeframe>60</timeframe>
 <same_field>win.eventdata.TargetUserName</same_field>
 <description>Multiple failed logon - possible brute force nhắm vào 1 tài khoản</description>
</rule>

Phát hiện Password Spraying (Phun mật khẩu qua RDP)

Rule này cực kỳ sắc bén: Nếu Logon Type là 10 (RDP) bị lỗi sai mật khẩu (0xC000006A) trên 5 tài khoản khác nhau trong vòng 5 phút (300 giây):

<rule id="100013" level="12">
 <if_sid>4625</if_sid>
 <field name="win.eventdata.LogonType">10</field>
 <field name="win.eventdata.Status">0xC000006A</field>
 <different_field>win.eventdata.TargetUserName</different_field>
 <frequency>5</frequency>
 <timeframe>300</timeframe>
 <description>RDP Password Spray - {frequency} tài khoản khác nhau đăng nhập RDP thất bại trong {timeframe} giây</description>
</rule>

Việc đọc hiểu cấu trúc Event Logs liên quan đến Authentication là kỹ năng nền tảng giúp SOC Analyst phân tách được các nỗ lực truy cập mạng hợp lệ khỏi các chiến dịch xâm nhập. Chỉ cần bắt được một gợn sóng nhỏ từ 4625 hay 4648, bạn hoàn toàn có thể chặt đứt cuộc tấn công ngay từ lúc kẻ gian đang đứng ngoài cửa. Ở bài viết tiếp theo, chúng bản phân tích kỹ hơn về dấu vết của Hacker sau khi chúng đã xâm nhập: Quản lý người dùng, tạo Backdoor và các log báo hiệu bị thay đổi đặc quyền (EID 4672, 4720, 4732). Hãy cùng theo dõi nhé!