santhiniparthipan40-svg/Windows-Authentication-Monitoring

# Windows 身份验证监控 ## 概述 本项目使用 Splunk 监控 Windows 身份验证日志，模拟基础的安全运营中心（SOC）调查。重点是检测和分析失败的登录尝试（Event ID 4625），以识别潜在的暴力破解或未经授权的访问尝试。 ## 目标 - 将 Windows Security Event Logs 导入 Splunk - 搜索失败的登录事件（Event ID 4625） - 分析身份验证活动 - 学习基础的 SIEM 调查 - 培养基础的威胁检测和日志分析技能 ## 使用工具 - Splunk Enterprise - Windows Event Viewer - Windows Security Event Logs (.evtx) ## 数据源 来自 Event Viewer 的 Windows Security Logs 关注 Event ID：4625（登录失败尝试） ## SPL 查询 ``` index=main "4625" ``` ## 调查过程 1. 收集 Windows Security Event Logs (.evtx) 2. 将日志导入 Splunk index 3. 使用 Event ID 4625 过滤身份验证失败事件 4. 分析： - 源 IP 地址 - 受影响的用户名 - 失败尝试的频率 5. 审查失败的身份验证事件，以寻找可疑登录活动的指标。 ## 发现 - 成功将 Windows Security Event Logs 接入 Splunk 进行分析。 - 使用 Windows Event ID 4625 检测失败的身份验证事件。 - 识别出源自本地主机 (127.0.0.1) 的身份验证失败。 - 审查了事件详细信息，包括 Logon Type、Failure Status 和 Process Information。 - 演示了如何在 SOC 工作流中使用 Splunk 调查 Windows 身份验证事件。 ## 展示的技能 - SIEM 日志分析 - Splunk SPL 查询 - Windows Security Event 监控 - 身份验证失败调查 - 安全监控 ## 调查截图 ### Window Event Viewer 导入 Splunk 之前，显示 Event ID 4625（登录失败）的原始 Windows Security Event Log。  ### Splunk 搜索结果 用于从已索引的日志数据中检索 Windows 身份验证失败事件的基础 SPL 查询。  ### 按用户分类的失败登录尝试 显示按用户账户分组的失败身份验证尝试次数。  ### 失败登录时间 基于时间的可视化，展示了在调查期间发生身份验证失败事件的时间点。  ### 失败 IP 源地址 显示与失败登录尝试相关的源 IP 地址。在此实验环境中，所有尝试均源自本地主机 (127.0.0.1)。  ### 身份验证事件详细信息 展开的事件视图，显示身份验证失败的详细信息，包括 Logon Type、Failure Status、Process Information 和 Source Network Address。 

标签：Windows事件日志, 安全运营, 扫描框架, 身份验证监控