Windows Event Logs (EVTX)
| Artefacto | Descripción | Artículo |
|---|---|---|
| Security.evtx | 13 Event IDs: logons, Kerberos, NTLM, RDP | Leer → |
| Terminal Services | Ciclo de vida de sesiones RDP (LSM, RDPClient, RCM, RdpCoreTS) | Leer → |
| SMB | Conexiones SMB de servidor y cliente | Leer → |
| Sysmon | Event ID 3: conexiones de red a puertos de servicio de movimiento lateral | Leer → |
| Prefetch | Evidencia de ejecución de programas en Windows | Leer → |
Linux
| Artefacto | Descripción | Artículo |
|---|---|---|
| Logs de Linux | auth.log, secure, messages, audit.log, systemd-journald, utmp, wtmp, btmp, lastlog — sueltos, en zip / tar.gz o en triages de UAC | Leer → |
Otras fuentes
| Artefacto | Descripción | Artículo |
|---|---|---|
| Winlogbeat | Parseo de logs de Windows en formato JSON | Leer → |
| Cortex XDR | Datos de red y colecciones forenses de agentes | Leer → |
| Parsers custom | Logs de VPN, firewall, proxy y JSON mediante reglas YAML | Leer → |
Total: 33 Event IDs de Windows en 12 fuentes EVTX + 9 tipos de artefacto Linux + Winlogbeat JSON + Cortex XDR + parsers custom YAML.