FULL COURSE SOC SPECIALIST • BLUE TEAM FUNDAMENTALS

Windows Log Analysis

"Logs Tell Stories: What Happened, How It Happened, and Who Did It."
Kurikulum intensif Security Operations Center (SOC) berbasis materi Josh Speshock (Healthcare SOC Analyst). Pelajari cara mendeteksi aktivitas mencurigakan, investigasi insiden, pelacakan proses normal Windows vs LOLBins, telemetri Sysmon, pemetaan MITRE ATT&CK, hingga otomasi investigasi dengan EvtxECmd, Hayabusa, Chainsaw, dan Timeline Explorer.

🚀 Mulai Belajar Silabus 🛠️ 4 Open Source Tools ⚡ Kuis Pemahaman SOC

🎯 Capaian Pembelajaran Windows Log Analysis

SOC TRAINING

Memahami 21 Windows Core Processes & Verifikasi Konteks (Parent, Path, User, CLI) Menguasai 17 Windows Security Event IDs Kritis (4624, 4625, 4688, 4698, 4720, 1102, dll) Analisis Telemetri Sysmon (Event 1 Process, 3 Network, 7 DLL, 10 LSASS, 22 DNS, 25 Hollowing) Pemetaan Event ID ke Taktik MITRE ATT&CK (Initial Access, Execution, Persistence, Evasion) Anatomi Event 4624 & 7-Step Workflow Identifikasi Tipe Logon (Tipe 2, 3, 10 RDP) Perbedaan & Penggunaan Praktis Friendly View vs XML Schema View untuk SIEM Ingestion Otomasi Investigasi EVTX: EvtxECmd, ULogViewer, Hayabusa, Chainsaw & Timeline Explorer Praktik Deteksi dengan Public Attack Datasets (EVTX-to-MITRE-Attack & EVTX-ATTACK-SAMPLES)

1. Fondasi Windows Log Analysis & 21 Core Processes

            🔥 RUMUS DASAR SOC BLUE TEAM: 

            Windows Core Processes + 
            Event Logs + 
            Sysmon = 
            Detect | Investigate | Stop Threats
          

Analis SOC tidak dapat mengenali anomali jika tidak memahami apa yang normal. Banyak serangan modern mengeksploitasi Living-off-the-Land Binaries (LOLBins) atau menyamar menggunakan nama file sistem asli.

💡 Golden Rule: "Context is Everything"

Jangan hanya melihat nama proses! Selalu verifikasi 4 pilar konteks:

1. Parent Process: Siapa yang melahirkan proses ini? (Contoh: services.exe boleh menjalankan svchost.exe, tetapi cmd.exe atau word.exe TIDAK BOLEH).

2. Image Path: Dari direktori mana biner dieksekusi? (Contoh: svchost.exe legal selalu dari C:\Windows\System32\, bukan C:\Users\AppData\).

3. Command Line & Flags: Argumen apa yang diteruskan? Apakah ada string base64 terenkode atau flag unduh web?

4. User Account: Siapa pemilik sesi eksekusi? (Akun SYSTEM, Local/Network Service, atau akun user biasa?).

21 Windows Core Processes Yang Wajib Diketahui

Process Name	Peran Standar Sistem	Expected Parent	Expected Path	Tanda Bahaya / Malicious Abuse
System (PID 4)	Kernel mode system worker threads	None (boot time)	N/A (Kernel space)	PID bukan 4, berada di folder selain kernel.
smss.exe	Session Manager Subsystem	System (PID 4)	`C:\Windows\System32\`	Parent bukan System; ada lebih dari 1 instance berjalan terus.
csrss.exe	Client Server Runtime Subsystem	smss.exe	`C:\Windows\System32\`	Parent bukan smss.exe; berjalan dari folder user.
wininit.exe	Windows Initialization Process	smss.exe	`C:\Windows\System32\`	Hanya ada 1 instance resmi di Session 0.
services.exe	Service Control Manager (SCM)	wininit.exe	`C:\Windows\System32\`	Parent bukan wininit.exe; memicu child process anomali.
lsass.exe	Local Security Authority Subsystem	wininit.exe	`C:\Windows\System32\`	Target utama Mimikatz! Child process aneh atau handle read memory tinggi.
svchost.exe	Host Process for Windows Services	services.exe	`C:\Windows\System32\`	Parent bukan services.exe (misal: cmd/powershell), tanpa flag -k.
winlogon.exe	User Logon Management	smss.exe	`C:\Windows\System32\`	Parent aneh; menangani login visual Windows.
explorer.exe	Windows Shell, Desktop, File Manager	Userinit -> None	`C:\Windows\`	Menjalankan koneksi jaringan luar mencurigakan ke IP asing.
rundll32.exe	Menjalankan fungsi DLL 32/64-bit	Bervariasi	`C:\Windows\System32\`	Sering disalahgunakan untuk menjalankan payload malware berekstensi .dll.
powershell.exe / pwsh.exe	Command line scripting engine	Bervariasi	`System32\WindowsPowerShell\`	Perintah obfuscation (-enc), executionpolicy bypass, download cradles.
mshta.exe / wscript.exe	Scripting host (VBScript/JScript/HTA)	Bervariasi	`C:\Windows\System32\`	Mengeksekusi kode script langsung dari URL web atau phishing attachment.
schtasks.exe / sc.exe / reg.exe	Task scheduler, service control, registry	Bervariasi	`C:\Windows\System32\`	Digunakan malware untuk membuat mekanisme persistensi dan eskalasi privilese.

2. Windows Event Log Channels & 17 Event IDs Kritis

Windows mencatat telemetri aktivitas ke berbagai saluran (Channels). Saluran utama meliputi: Security (otentikasi, pembuatan proses), System (driver, perubahan layanan), Application, PowerShell Operational (Event 4103/4104), dan TaskScheduler Operational (Event 106/140).

17 Windows Security Event IDs Yang Wajib Dihafal Analis SOC

Event ID	Nama Event	Mengapa Sangat Penting untuk Analis SOC?	Taktik MITRE ATT&CK Terkait
4624	Successful Logon	Baseline otentikasi normal; mendeteksi tipe login (Interactive, Network, RDP), user baru, dan lateral movement.	Initial Access / Lateral Movement
4625	Failed Logon	Kunci mendeteksi serangan brute force, password spraying, kamus kata sandi, dan lockout.	Credential Access
4634 / 4647	Logoff	Menandai berakhirnya sesi logon; digunakan untuk menghitung durasi aktif sesi penyerang.	Timeline Tracking
4648	Logon with Explicit Credentials	Mendeteksi penggunaan kredensial alternatif (seperti perintah `runas`) atau pergerakan lateral.	Lateral Movement / Defense Evasion
4672	Special Privileges Assigned	Mencatat login dengan hak istimewa super-admin (SeDebugPrivilege, SeTakeOwnership, dll).	Privilege Escalation
4688	A New Process Has Been Created	Merekam proses baru, Parent Process ID, dan Command Line lengkap (jika audit policy diaktifkan).	Execution
4689	A Process Has Exited	Mencatat proses yang berhenti; membantu merekonstruksi durasi hidup payload malware.	Execution Timeline
4698 / 4702	Scheduled Task Created / Updated	Metode persistensi paling umum! Penyerang menjadwalkan task berkala untuk mengeksekusi C2 beacon.	Persistence / Privilege Escalation
4720	User Account Created	Mendeteksi pembuatan akun backdoor liar oleh penyerang setelah berhasil mengompromikan sistem.	Persistence
4728 / 4732	Member Added to Security Group	Eskalasi privilese: akun biasa ditambahkan ke grup 'Domain Admins' atau 'Local Administrators'.	Privilege Escalation
1102	The Audit Log Was Cleared	INDIKASI ANTI-FORENSIK KUAT! Penyerang menghapus Security log untuk menutupi jejak.	Defense Evasion
7045 (System)	A New Service Was Installed	Pemasangan service Windows baru (misal: PsExec service, backdoor persistent service).	Persistence
4104 (PWS)	PowerShell Script Block Logging	Merekam seluruh blok kode PowerShell yang dieksekusi, termasuk kode terenkode Base64 yang di-deobfuscate!	Execution / Defense Evasion

3. Sysmon (System Monitor): Telemetri Endpoint Mendalam

Sysmon adalah device driver dan service gratis dari Microsoft Sysinternals yang mencatat telemetri tingkat rendah ke Windows Event Log (Microsoft-Windows-Sysmon/Operational). Sysmon memberikan visibilitas yang jauh melampaui log bawaan Windows.

Daftar Sysmon Event IDs Paling Kritis

Sysmon 1: Process Creation

Mencatat hash file (SHA-256, MD5), command line utuh, direktori kerja, user, dan proses induk. Sangat superior dibanding Event 4688 bawaan.

Sysmon 3: Network Connection

Merekam koneksi outbound TCP/UDP: IP sumber, IP tujuan, port, dan proses spesifik yang membukanya. Kunci deteksi C2 beaconing.

Sysmon 7: Image / DLL Loaded

Mendeteksi injeksi DLL mencurigakan (DLL Sideloading, DLL Hijacking) yang dimuat ke dalam proses sah.

Sysmon 8: CreateRemoteThread

Mendeteksi injeksi kode antar-proses (Process Injection) di mana satu proses membuat thread di dalam address space proses lain.

Sysmon 10: ProcessAccess (LSASS Dumping)

Mendeteksi saat suatu proses membuka handle ke proses lain (terutama TargetImage: lsass.exe dengan hak baca memori).

Sysmon 11: File Create

Mencatat file yang baru dibuat di direktori sensitif seperti C:\Users\...\AppData\Local\Temp atau folder Startup.

Sysmon 12, 13, 14: Registry Key / Value

Mendeteksi modifikasi Run keys (HKCU\Software\Microsoft\Windows\CurrentVersion\Run) untuk persistensi malware.

Sysmon 22: DNS Query

Mencatat setiap nama domain yang di-resolve oleh aplikasi, mendeteksi DGA (Domain Generation Algorithms) dan domain jahat.

Sysmon 25: Process Tampering

Mendeteksi teknik siluman tingkat tinggi seperti Process Hollowing dan Process Herpaderping.

4. Anatomi Windows Event Log: Bedah Tuntas Event ID 4624

Event ID 4624 (Successful Logon) adalah salah satu event paling sering dianalisis di SOC. Memahami anatomi dan tipe logon adalah keterampilan wajib analis keamanan siber.

Komponen Utama Event 4624:

1. Event Message: Ringkasan umum ("An account was successfully logged on").
2. Subject: Akun/proses yang meminta login (seringkali akun SYSTEM atau akun service).
3. New Logon: Akun yang berhasil login (TargetUserName, Domain, Security ID, Logon ID unik, dan LogonType).
4. Network Information: Workstation Name, Source Network Address (IP asal penyerang!), dan Source Port.
5. Authentication Information: Paket otentikasi (Kerberos, NTLM, NegSsp).
6. Key Metadata: Waktu TimeCreated, Komputer target, dan EventRecordID.

7 Langkah Praktis Menganalisis Event 4624:

Mulai dari pesan umum untuk memastikan keberhasilan login.
Bandingkan Subject vs New Logon (siapa yang memicu dan siapa yang masuk).
Periksa Logon Type! (Menentukan cara login dilakukan).
Evaluasi Source IP & Workstation (apakah IP internal sah atau IP luar asing?).
Cermati protokol otentikasi (NTLM vs Kerberos).
Gunakan Logon ID untuk melacak proses apa saja yang dijalankan oleh sesi login ini.
Korelasikan dengan event lain (misal: 4625 gagal berulang sebelum 4624 sukses = Brute Force tembus!).

Tabel Nilai 'LogonType' Windows

Logon Type	Nama Tipe	Arti & Konteks Penggunaan	Analisis Investigasi SOC
Type 2	Interactive	User login langsung secara fisik di keyboard & monitor lokal workstation.	Aktivitas fisik pegawai di kantor atau konsol langsung.
Type 3	Network	Login عبر jaringan (mengakses Shared Folder SMB, RPC, IIS Web).	Sangat sering terjadi; waspadai akses share folder administratif (C$).
Type 4	Batch	Eksekusi otomatis oleh Scheduled Tasks atau batch job server.	Verifikasi apakah task dijadwalkan oleh admin sah.
Type 5	Service	Windows Service yang distart oleh Service Control Manager di background.	Akun SYSTEM, LOCAL SERVICE, atau service account khusus.
Type 10	RemoteInteractive	User login jarak jauh menggunakan Remote Desktop Protocol (RDP).	Prioritas tinggi! Sumber serangan ransomware & penyerang eksternal.
Type 9	NewCredentials	Penggunaan `runas /netonly` untuk mengakses resource remote dengan kredensial berbeda.	Sering digunakan malware pergerakan lateral untuk menghindari deteksi lokal.

5. Details Tab: Friendly View vs XML Schema View

Di Windows Event Viewer, tab Details menyediakan dua mode representasi data. Keduanya menyajikan data yang sama, namun untuk kebutuhan analisis yang berbeda.

Friendly View (Tampilan Bersahabat)

Menyajikan data dalam pohon hierarki yang dapat dilipat (*collapsible tree*) dengan label deskriptif yang mudah dibaca analis manusia saat triage cepat manual.

XML View (Raw Schema Payload)

Format data asli mentah terstruktur berbasis skema XML. Sangat krusial untuk:

Otomasi parsing script (Python, PowerShell).
Ingestion ke SIEM (Splunk, Elastic ELK, Microsoft Sentinel).
Penulisan aturan deteksi Sigma dan XPath Filter Query.

Event 4624 - Cuplikan XML Schema Nyata

<Event xmlns="http://schemas.microsoft.com/win/2004/08/events/event">
  <System>
    <Provider Name="Microsoft-Windows-Security-Auditing" Guid="{54849625-5478-4994-A5BA-3E3B0328C30D}" />
    <EventID>4624</EventID>
    <Version>2</Version>
    <Level>0</Level>
    <Task>12544</Task>
    <TimeCreated SystemTime="2026-09-04T10:14:32.456789Z" />
    <EventRecordID>1234567</EventRecordID>
    <Channel>Security</Channel>
    <Computer>WS01.contoso.local</Computer>
  </System>
  <EventData>
    <Data Name="SubjectUserName">SYSTEM</Data>
    <Data Name="TargetUserName">jdoe</Data>
    <Data Name="TargetDomainName">CONTOSO</Data>
    <Data Name="LogonType">10</Data> <!-- RDP REMOTE LOGON -->
    <Data Name="LogonProcessName">User32</Data>
    <Data Name="AuthenticationPackageName">Negotiate</Data>
    <Data Name="WorkstationName">ATTACKER-PC</Data>
    <Data Name="IpAddress">192.168.1.55</Data>
    <Data Name="IpPort">52144</Data>
  </EventData>
</Event>

6. Open Source Windows Log Analysis Tools & Pipeline

Membuka log EVTX berukuran puluhan gigabyte menggunakan Event Viewer bawaan Windows sangat lambat dan kerap membekukan sistem (*freezing*). Komunitas Blue Team menggunakan alat analisis open-source berkinerja tinggi.

1. EvtxECmd (Eric Zimmerman)

Parser EVTX berkecepatan ultra tinggi yang mengekstrak ribuan log biner menjadi format CSV, JSON, atau XML. Memiliki built-in mapping untuk ratusan Event ID.

# Parse 1 berkas Security.evtx ke CSV:
EvtxECmd.exe -f Security.evtx --csv "C:\Output" --csvf Security.csv

# Parse seluruh folder log dan filter event penting:
EvtxECmd.exe -d "C:\Logs" --csv "C:\Output" --inc 4624,4625,4688

2. Hayabusa (Yamato Security)

Tool threat-hunting dan timeline generator berbasis bahasa Rust yang mengevaluasi rules Sigma terhadap berkas EVTX dan mengkategorikan temuan berdasarkan tingkat keparahan (High, Medium, Low).

# Jalankan scan threat-hunting menyeluruh:
hayabusa.exe csv-timeline -d "C:\EVTX" -o timeline.csv

3. Chainsaw (WithSecure Labs)

Tool pencari ancaman cepat yang memanfaatkan detection logic Sigma untuk mendeteksi tanda kompromi (IoC) di log Windows secara instan.

# Hunting dengan rules Sigma:
chainsaw.exe hunt "C:\EVTX" --sigma "sigma\rules" --csv -o Results

4. ULogViewer & Timeline Explorer

Aplikasi GUI visualizer untuk memuat file CSV keluaran parser log. Memungkinkan filter kolom instan, pengelompokan tanggal, dan pencarian regex super cepat.

# Buka CSV di Timeline Explorer:
TimelineExplorer.exe "C:\Output\Security.csv"

Suggested SOC Investigation Workflow:
              [ 1. EvtxECmd ] ---> Ekstraksi EVTX ke CSV terstruktur

                    ↓

              [ 2. Chainsaw & Hayabusa ] ---> Pemindaian otomatis rules Sigma untuk mendeteksi anomali & timeline

                    ↓

              [ 3. Timeline Explorer / ULogViewer ] ---> Triage visual, filter IP asing, dan rekonstruksi narasi insiden

⚡ Kuis Evaluasi Windows Log Analysis

5 SOAL SOC EVALUATION