{"id":31289,"date":"2019-10-31T21:40:29","date_gmt":"2019-10-31T18:40:29","guid":{"rendered":"https:\/\/prohoster.info\/blog\/chto-poleznogo-mozhno-vytashhit-iz-logov-rabochej-stantsii-na-baze-os-windows\/"},"modified":"2019-10-31T21:40:29","modified_gmt":"2019-10-31T18:40:29","slug":"chto-poleznogo-mozhno-vytashhit-iz-logov-rabochej-stantsii-na-baze-os-windows","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pt\/blog\/administrirovanie\/chto-poleznogo-mozhno-vytashhit-iz-logov-rabochej-stantsii-na-baze-os-windows","title":{"rendered":"O que pode ser \u00fatil extrair dos logs de esta\u00e7\u00f5es de trabalho baseadas em Windows.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"<p>A esta\u00e7\u00e3o de trabalho do usu\u00e1rio \u00e9 o ponto mais vulner\u00e1vel da infraestrutura em termos de seguran\u00e7a da informa\u00e7\u00e3o. Os usu\u00e1rios podem receber um e-mail parecendo de uma fonte segura, mas com um link para um site infectado. \u00c9 poss\u00edvel que algu\u00e9m baixe uma ferramenta \u00fatil de um lugar desconhecido. \u00c9 f\u00e1cil criar v\u00e1rias situa\u00e7\u00f5es em que o malware pode se infiltrar nos recursos internos por meio dos usu\u00e1rios. Portanto, as esta\u00e7\u00f5es de trabalho requerem aten\u00e7\u00e3o especial, e neste artigo, discutiremos de onde e quais eventos coletar para monitorar ataques.<\/p>\n<p><img decoding=\"async\" alt=\"O que pode ser \u00fatil extrair dos logs de esta\u00e7\u00f5es de trabalho baseadas em Windows.\" src=\"\/wp-content\/uploads\/2019\/04\/6e0eddfc90ae158b3d532a6b7a069177.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\n<noindex><a rel=\"nofollow\" name=\"habracut\"><\/a><\/noindex><\/p>\n<p>Para identificar um ataque em seu est\u00e1gio mais inicial, o Windows possui tr\u00eas fontes de eventos \u00fateis: log de eventos de seguran\u00e7a, log de monitoramento do sistema e logs do PowerShell.<\/p>\n<h2>Log de eventos de seguran\u00e7a (Security Log)<\/h2>\n<p>\nEste \u00e9 o principal local de armazenamento dos logs de seguran\u00e7a do sistema. Aqui s\u00e3o registrados eventos de login\/logout dos usu\u00e1rios, acesso a objetos, altera\u00e7\u00f5es de pol\u00edticas e outras atividades relacionadas \u00e0 seguran\u00e7a. Naturalmente, isso depende da pol\u00edtica correspondente estar configurada.<\/p>\n<p><img decoding=\"async\" alt=\"O que pode ser \u00fatil extrair dos logs de esta\u00e7\u00f5es de trabalho baseadas em Windows.\" src=\"\/wp-content\/uploads\/2019\/04\/82e59ad17a09a8211dc6fe9737208fd7.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\n<b>Explora\u00e7\u00e3o de usu\u00e1rios e grupos (eventos 4798 e 4799).<\/b> O malware, no in\u00edcio do ataque, muitas vezes explora contas de usu\u00e1rios e grupos locais na esta\u00e7\u00e3o de trabalho para encontrar credenciais para suas atividades il\u00edcitas. Esses eventos podem ajudar a detectar o c\u00f3digo malicioso antes que ele avance e, usando os dados coletados, se espalhe para outros sistemas.<\/p>\n<p><b>Cria\u00e7\u00e3o de contas locais e altera\u00e7\u00f5es em grupos locais (eventos 4720, 4722\u20134726, 4738, 4740, 4767, 4780, 4781, 4794, 5376 e 5377).<\/b> Um ataque tamb\u00e9m pode come\u00e7ar, por exemplo, com a adi\u00e7\u00e3o de um novo usu\u00e1rio ao grupo de administradores locais.<\/p>\n<p><b>Tentativas de login com uma conta local (evento 4624).<\/b> Usu\u00e1rios leg\u00edtimos entram com uma conta de dom\u00ednio, e uma identifica\u00e7\u00e3o de login com uma conta local pode indicar o in\u00edcio de um ataque. O evento 4624 tamb\u00e9m inclui logins com contas de dom\u00ednio, portanto, ao processar os eventos, deve-se filtrar aqueles em que o dom\u00ednio difere do nome da esta\u00e7\u00e3o de trabalho.<\/p>\n<p><b>Tentativa de login com uma conta especificada (evento 4648).<\/b> Isso acontece quando o processo \u00e9 executado no modo \"Executar como\". Em condi\u00e7\u00f5es normais de opera\u00e7\u00e3o do sistema, isso n\u00e3o deveria ocorrer, portanto, esses eventos devem ser monitorados.<\/p>\n<p><b>Bloqueio\/desbloqueio da esta\u00e7\u00e3o de trabalho (eventos 4800-4803).<\/b> Podem ser considerados suspeitos quaisquer a\u00e7\u00f5es que ocorreram em uma esta\u00e7\u00e3o de trabalho bloqueada.<\/p>\n<p><b>Mudan\u00e7as na configura\u00e7\u00e3o do firewall (eventos 4944-4958).<\/b> \u00c9 evidente que ao instalar um novo software, as configura\u00e7\u00f5es do firewall podem ser alteradas, o que pode causar falsos positivos. Em muitos casos, n\u00e3o h\u00e1 necessidade de monitorar tais mudan\u00e7as, mas saber sobre elas certamente n\u00e3o \u00e9 demais.<\/p>\n<p><b>Conex\u00e3o de dispositivos Plug\u2019n\u2019play (evento 6416 e apenas para Windows 10).<\/b> \u00c9 importante ficar atento a isso, caso usu\u00e1rios normalmente n\u00e3o conectem novos dispositivos \u00e0 esta\u00e7\u00e3o de trabalho, e de repente a conex\u00e3o acontece.<\/p>\n<p>O Windows inclui 9 categorias de auditoria e 50 subcategorias para ajustes finos. O conjunto m\u00ednimo de subcategorias que deve ser habilitado nas configura\u00e7\u00f5es \u00e9:<\/p>\n<p><b>Logon\/Logout<\/b><\/p>\n<ul>\n<li>Logon;<\/li>\n<li>Logout;<\/li>\n<li>Bloqueio de Conta;<\/li>\n<li>Outros Eventos de Logon\/Logout.<\/li>\n<\/ul>\n<p>\n<b>Gerenciamento de Conta<\/b><\/p>\n<ul>\n<li>Gerenciamento de Conta de Usu\u00e1rio;<\/li>\n<li>Gerenciamento de Grupo de Seguran\u00e7a.<\/li>\n<\/ul>\n<p>\n<b>Mudan\u00e7as de Pol\u00edtica<\/b><\/p>\n<ul>\n<li>Mudan\u00e7a na Pol\u00edtica de Auditoria;<\/li>\n<li>Mudan\u00e7a na Pol\u00edtica de Autentica\u00e7\u00e3o;<\/li>\n<li>Mudan\u00e7a na Pol\u00edtica de Autoriza\u00e7\u00e3o.<\/li>\n<\/ul>\n<p><\/p>\n<h2>Monitor de Sistema (Sysmon)<\/h2>\n<p>\nSysmon \u00e9 uma ferramenta interna do Windows que registra eventos no log do sistema. Geralmente, requer instala\u00e7\u00e3o separada.<\/p>\n<p><img decoding=\"async\" alt=\"O que pode ser \u00fatil extrair dos logs de esta\u00e7\u00f5es de trabalho baseadas em Windows.\" src=\"\/wp-content\/uploads\/2019\/04\/0b1e14fb9ba4d63a4d9d94bd9d62d112.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nEsses mesmos eventos podem ser encontrados no log de seguran\u00e7a (ativando a pol\u00edtica de auditoria necess\u00e1ria), mas o Sysmon oferece mais detalhes. Quais eventos podem ser coletados do Sysmon?<\/p>\n<p><b>Cria\u00e7\u00e3o de processo (ID do evento 1).<\/b> O log do sistema de eventos de seguran\u00e7a tamb\u00e9m pode indicar quando algum *.exe foi iniciado e at\u00e9 mostrar seu nome e caminho de execu\u00e7\u00e3o. Mas, ao contr\u00e1rio do Sysmon, n\u00e3o pode mostrar o hash do aplicativo. Um malware pode ser nomeado como um inofensivo notepad.exe, mas o hash revelar\u00e1 sua verdadeira natureza.<\/p>\n<p><b>Conex\u00f5es de rede (ID do evento 3).<\/b> \u00c9 evidente que h\u00e1 muitas conex\u00f5es de rede e n\u00e3o \u00e9 poss\u00edvel monitorar todas. Mas \u00e9 importante considerar que o Sysmon, ao contr\u00e1rio do Security Log, consegue vincular a conex\u00e3o de rede aos campos ProcessID e ProcessGUID, mostrando a porta e <a class=\"wpil_keyword_link\" href=\"https:\/\/prohoster.info\/pt\/lir\/ipv4\/\"   title=\"endere\u00e7os IP\" data-wpil-keyword-link=\"linked\"  data-wpil-monitor-id=\"622\">endere\u00e7os IP<\/a> o endere\u00e7o de origem e destino.<\/p>\n<p><b>Mudan\u00e7as no registro do sistema (ID do evento 12-14).<\/b> A maneira mais simples de adicionar-se \u00e0 inicializa\u00e7\u00e3o autom\u00e1tica \u00e9 fazer uma entrada no registro. O Security Log faz isso, mas o Sysmon mostra quem fez as altera\u00e7\u00f5es, quando, de onde, o ID do processo e o valor anterior da chave.<\/p>\n<p><b>Cria\u00e7\u00e3o de arquivo (ID do evento 11).<\/b> O Sysmon, ao contr\u00e1rio do Security Log, mostrar\u00e1 n\u00e3o apenas a localiza\u00e7\u00e3o do arquivo, mas tamb\u00e9m seu nome. \u00c9 claro que n\u00e3o \u00e9 poss\u00edvel monitorar tudo, mas \u00e9 poss\u00edvel auditar diret\u00f3rios espec\u00edficos.<\/p>\n<p>E agora, o que n\u00e3o est\u00e1 nas pol\u00edticas do Security Log, mas est\u00e1 no Sysmon:<\/p>\n<p><b>Altera\u00e7\u00e3o da data de cria\u00e7\u00e3o do arquivo (ID do evento 2).<\/b> Algum malware pode alterar a data de cria\u00e7\u00e3o do arquivo para escond\u00ea-lo dos relat\u00f3rios de arquivos rec\u00e9m-criados.<\/p>\n<p><b>Carregamento de drivers e bibliotecas din\u00e2micas (IDs dos eventos 6-7).<\/b> Monitoramento do carregamento em mem\u00f3ria de DLLs e drivers de dispositivos, verifica\u00e7\u00e3o da assinatura digital e sua validade.<\/p>\n<p><b>Cria\u00e7\u00e3o de um fluxo em um processo em execu\u00e7\u00e3o (ID do evento 8).<\/b> Um dos tipos de ataque que tamb\u00e9m deve ser monitorado.<\/p>\n<p><b>Eventos RawAccessRead (ID do evento 9).<\/b> Opera\u00e7\u00f5es de leitura do disco usando \u201c.\u201d. Na quase totalidade dos casos, essa atividade deve ser considerada anormal.<\/p>\n<p><b>Cria\u00e7\u00e3o de um fluxo de arquivo nomeado (ID do evento 15).<\/b> O evento \u00e9 registrado quando um fluxo de arquivo nomeado \u00e9 criado, gerando eventos com o hash do conte\u00fado do arquivo.<\/p>\n<p><b>Cria\u00e7\u00e3o de named pipe e conex\u00f5es (IDs dos eventos 17-18).<\/b> Monitoramento de c\u00f3digo malicioso que se comunica com outros componentes atrav\u00e9s de named pipes.<\/p>\n<p><b>Atividade de WMI (ID do evento 19).<\/b> Registro de eventos gerados ao acessar o sistema atrav\u00e9s do protocolo WMI.<\/p>\n<p>Para proteger o pr\u00f3prio Sysmon, \u00e9 necess\u00e1rio monitorar eventos com ID 4 (parada e inicializa\u00e7\u00e3o do Sysmon) e ID 16 (altera\u00e7\u00e3o da configura\u00e7\u00e3o do Sysmon).<\/p>\n<h2>Logs do Power Shell<\/h2>\n<p>\nO Power Shell \u00e9 uma ferramenta poderosa para gerenciar a infraestrutura do Windows, portanto, h\u00e1 grandes chances de que um atacante escolha exatamente ele. Para obter dados sobre eventos do Power Shell, podem ser usados dois fontes: Windows PowerShell log e Microsoft-WindowsPowerShell \/ Operational log.<\/p>\n<h4>Windows PowerShell log<\/h4>\n<p>\n<img decoding=\"async\" alt=\"O que pode ser \u00fatil extrair dos logs de esta\u00e7\u00f5es de trabalho baseadas em Windows.\" src=\"\/wp-content\/uploads\/2019\/04\/03d830871fc2c47ceeb8f0822f3f20e0.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\n<b>Fornecedor de dados carregado (ID do evento 600).<\/b> Os provedores do PowerShell s\u00e3o programas que servem como fonte de dados para o PowerShell, permitindo a visualiza\u00e7\u00e3o e o gerenciamento deles. Por exemplo, provedores integrados podem incluir vari\u00e1veis de ambiente do Windows ou o registro do sistema. \u00c9 importante monitorar a adi\u00e7\u00e3o de novos provedores para detectar atividades maliciosas a tempo. Se, por exemplo, voc\u00ea notar que o WSMan apareceu entre os provedores, significa que uma sess\u00e3o remota do PowerShell foi iniciada.<\/p>\n<h4>Microsoft-WindowsPowerShell \/ Registro operacional (ou MicrosoftWindows-PowerShellCore \/ Registro operacional no PowerShell 6)<\/h4>\n<p>\n<img decoding=\"async\" alt=\"O que pode ser \u00fatil extrair dos logs de esta\u00e7\u00f5es de trabalho baseadas em Windows.\" src=\"\/wp-content\/uploads\/2019\/04\/d0a1a74aad59c7c4f64446b52846429f.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\n<b>Registro de m\u00f3dulos (ID do evento 4103).<\/b> Os eventos cont\u00eam informa\u00e7\u00f5es sobre cada comando executado e os par\u00e2metros com os quais foi chamado.<\/p>\n<p><b>Registro de bloqueio de scripts (ID do evento 4104).<\/b> O registro de bloqueio de scripts mostra cada bloco de c\u00f3digo do PowerShell executado. Mesmo que um invasor tente ocultar o comando, esse tipo de evento mostrar\u00e1 o comando do PowerShell que foi realmente executado. Al\u00e9m disso, nesse tipo de evento, alguns chamados de API de baixo n\u00edvel tamb\u00e9m podem ser registrados, esses eventos geralmente s\u00e3o gravados como Verbose, mas se um comando ou script suspeito for usado em um bloco de c\u00f3digo, ele ser\u00e1 registrado com a criticidade Warning.<\/p>\n<p>Observe que, ap\u00f3s configurar a ferramenta de coleta e an\u00e1lise desses eventos, ser\u00e1 necess\u00e1rio mais tempo para depura\u00e7\u00e3o a fim de reduzir o n\u00famero de falsos positivos.<\/p>\n<p>Compartilhe nos coment\u00e1rios quais logs voc\u00ea coleta para auditoria de seguran\u00e7a da informa\u00e7\u00e3o e quais ferramentas voc\u00ea utiliza para isso. Uma de nossas \u00e1reas de atua\u00e7\u00e3o s\u00e3o solu\u00e7\u00f5es para auditoria de eventos de seguran\u00e7a da informa\u00e7\u00e3o. Para a tarefa de coleta e an\u00e1lise de logs, podemos sugerir que voc\u00ea conhe\u00e7a <noindex><a rel=\"nofollow\" href=\"https:\/\/www.quest.com\/products\/intrust\/\">Quest InTrust<\/a><\/noindex>, que pode comprimir os dados armazenados com uma taxa de 20:1, e uma \u00fanica inst\u00e2ncia instalada \u00e9 capaz de processar at\u00e9 60.000 eventos por segundo de 10.000 fontes.<br \/>\n<br \/>Fonte: <a content=\"nofollow\" rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/company\/galssoftware\/blog\/447522\/\">habr.com<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"<p>\u041f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044c\u0441\u043a\u0430\u044f \u0440\u0430\u0431\u043e\u0447\u0430\u044f \u0441\u0442\u0430\u043d\u0446\u0438\u044f \u2014 \u0441\u0430\u043c\u043e\u0435 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0435 \u043c\u0435\u0441\u0442\u043e \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u044b \u043f\u043e \u0447\u0430\u0441\u0442\u0438 \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u043e\u043d\u043d\u043e\u0439 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438. \u041f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f\u043c \u043c\u043e\u0436\u0435\u0442 \u043f\u0440\u0438\u0439\u0442\u0438 \u043d\u0430 \u0440\u0430\u0431\u043e\u0447\u0443\u044e \u043f\u043e\u0447\u0442\u0443 \u043f\u0438\u0441\u044c\u043c\u043e \u0432\u0440\u043e\u0434\u0435 \u0431\u044b \u0438\u0437 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0433\u043e \u0438\u0441\u0442\u043e\u0447\u043d\u0438\u043a\u0430, \u043d\u043e \u0441\u043e \u0441\u0441\u044b\u043b\u043a\u043e\u0439 \u043d\u0430 \u0437\u0430\u0440\u0430\u0436\u0451\u043d\u043d\u044b\u0439 \u0441\u0430\u0439\u0442. \u0412\u043e\u0437\u043c\u043e\u0436\u043d\u043e, \u043a\u0442\u043e-\u0442\u043e \u0441\u043a\u0430\u0447\u0430\u0435\u0442 \u043f\u043e\u043b\u0435\u0437\u043d\u0443\u044e \u0434\u043b\u044f \u0440\u0430\u0431\u043e\u0442\u044b \u0443\u0442\u0438\u043b\u0438\u0442\u0443 \u0438\u0437 \u043d\u0435\u0438\u0437\u0432\u0435\u0441\u0442\u043d\u043e \u043a\u0430\u043a\u043e\u0433\u043e \u043c\u0435\u0441\u0442\u0430. \u0414\u0430 \u043c\u043e\u0436\u043d\u043e \u043f\u0440\u0438\u0434\u0443\u043c\u0430\u0442\u044c \u043d\u0435 \u043e\u0434\u0438\u043d \u0434\u0435\u0441\u044f\u0442\u043e\u043a \u043a\u0435\u0439\u0441\u043e\u0432, \u043a\u0430\u043a \u0447\u0435\u0440\u0435\u0437 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u0435\u0439 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u043e\u0435 \u041f\u041e \u043c\u043e\u0436\u0435\u0442 \u0432\u043d\u0435\u0434\u0440\u0438\u0442\u044c\u0441\u044f [&hellip;]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":23255,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-31289","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t<!-- All in One SEO 5.0.3 - aioseo.com -->\n\t<meta name=\"description\" content=\"\u041f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044c\u0441\u043a\u0430\u044f \u0440\u0430\u0431\u043e\u0447\u0430\u044f \u0441\u0442\u0430\u043d\u0446\u0438\u044f \u2014 \u0441\u0430\u043c\u043e\u0435 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0435 \u043c\u0435\u0441\u0442\u043e \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u044b \u043f\u043e \u0447\u0430\u0441\u0442\u0438 \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u043e\u043d\u043d\u043e\u0439 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438.\" \/>\n\t<meta name=\"robots\" content=\"max-image-preview:large\" \/>\n\t<meta name=\"author\" content=\"Yuri Gagarin\"\/>\n\t<link rel=\"canonical\" href=\"https:\/\/prohoster.info\/pt\/blog\/administrirovanie\/chto-poleznogo-mozhno-vytashhit-iz-logov-rabochej-stantsii-na-baze-os-windows\" \/>\n\t\t<meta name=\"generator\" content=\"All in One SEO (AIOSEO) 5.0.3\" \/>\n\t\t<meta property=\"og:locale\" content=\"pt_PT\" \/>\n\t\t<meta property=\"og:site_name\" content=\"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b\" \/>\n\t\t<meta property=\"og:type\" content=\"article\" \/>\n\t\t<meta property=\"og:title\" content=\"\ud83e\udd47\u0427\u0442\u043e \u043f\u043e\u043b\u0435\u0437\u043d\u043e\u0433\u043e \u043c\u043e\u0436\u043d\u043e \u0432\u044b\u0442\u0430\u0449\u0438\u0442\u044c \u0438\u0437 \u043b\u043e\u0433\u043e\u0432 \u0440\u0430\u0431\u043e\u0447\u0435\u0439 \u0441\u0442\u0430\u043d\u0446\u0438\u0438 \u043d\u0430 \u0431\u0430\u0437\u0435 \u041e\u0421 Windows | ProHoster\" \/>\n\t\t<meta property=\"og:description\" content=\"\u041f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044c\u0441\u043a\u0430\u044f \u0440\u0430\u0431\u043e\u0447\u0430\u044f \u0441\u0442\u0430\u043d\u0446\u0438\u044f \u2014 \u0441\u0430\u043c\u043e\u0435 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0435 \u043c\u0435\u0441\u0442\u043e \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u044b \u043f\u043e \u0447\u0430\u0441\u0442\u0438 \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u043e\u043d\u043d\u043e\u0439 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438.\" \/>\n\t\t<meta property=\"og:url\" content=\"https:\/\/prohoster.info\/pt\/blog\/administrirovanie\/chto-poleznogo-mozhno-vytashhit-iz-logov-rabochej-stantsii-na-baze-os-windows\" \/>\n\t\t<meta property=\"og:image\" content=\"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg\" \/>\n\t\t<meta property=\"og:image:secure_url\" content=\"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg\" \/>\n\t\t<meta property=\"og:image:width\" content=\"350\" \/>\n\t\t<meta property=\"og:image:height\" content=\"350\" \/>\n\t\t<meta property=\"article:published_time\" content=\"2019-10-31T18:40:29+00:00\" \/>\n\t\t<meta property=\"article:modified_time\" content=\"2019-10-31T18:40:29+00:00\" \/>\n\t\t<meta property=\"article:publisher\" content=\"https:\/\/www.facebook.com\/prohoster\" \/>\n\t\t<meta property=\"article:author\" content=\"https:\/\/www.facebook.com\/prohoster\" \/>\n\t\t<!-- All in One SEO -->\n\n","aioseo_head_json":{"title":"\ud83e\udd47 O que \u00e9 \u00fatil extrair dos logs da esta\u00e7\u00e3o de trabalho baseada em Windows | ProHoster","description":"A esta\u00e7\u00e3o de trabalho do usu\u00e1rio \u00e9 o ponto mais vulner\u00e1vel da infraestrutura em termos de seguran\u00e7a da informa\u00e7\u00e3o.","canonical_url":"https:\/\/prohoster.info\/pt\/blog\/administrirovanie\/chto-poleznogo-mozhno-vytashhit-iz-logov-rabochej-stantsii-na-baze-os-windows","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"pt_PT","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0427\u0442\u043e \u043f\u043e\u043b\u0435\u0437\u043d\u043e\u0433\u043e \u043c\u043e\u0436\u043d\u043e \u0432\u044b\u0442\u0430\u0449\u0438\u0442\u044c \u0438\u0437 \u043b\u043e\u0433\u043e\u0432 \u0440\u0430\u0431\u043e\u0447\u0435\u0439 \u0441\u0442\u0430\u043d\u0446\u0438\u0438 \u043d\u0430 \u0431\u0430\u0437\u0435 \u041e\u0421 Windows | ProHoster","og:description":"\u041f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044c\u0441\u043a\u0430\u044f \u0440\u0430\u0431\u043e\u0447\u0430\u044f \u0441\u0442\u0430\u043d\u0446\u0438\u044f \u2014 \u0441\u0430\u043c\u043e\u0435 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0435 \u043c\u0435\u0441\u0442\u043e \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u044b \u043f\u043e \u0447\u0430\u0441\u0442\u0438 \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u043e\u043d\u043d\u043e\u0439 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438.","og:url":"https:\/\/prohoster.info\/pt\/blog\/administrirovanie\/chto-poleznogo-mozhno-vytashhit-iz-logov-rabochej-stantsii-na-baze-os-windows","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2019-10-31T18:40:29+00:00","article:modified_time":"2019-10-31T18:40:29+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"31289","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-02-08 20:25:31","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-03-01 03:19:49","updated":"2026-02-08 20:25:31","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/posts\/31289","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/comments?post=31289"}],"version-history":[{"count":1,"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/posts\/31289\/revisions"}],"predecessor-version":[{"id":157813,"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/posts\/31289\/revisions\/157813"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/media\/23255"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/media?parent=31289"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/categories?post=31289"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/tags?post=31289"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}