分类「Windows 取证与蓝队检测」· 共 1 篇
攻击者清除 Windows 事件日志后，Event ID 1102 只是第一个信号。本文从文件系统、执行证据、注册表事务日志和多源遥测四个层面，拆解日志清除后的残余证据链，给出检测工程设计与取证边界判断。