Восстановление EVTX-записей: методы карвинга

Материал посвящён технике карвинга при восстановлении журналов событий Windows в формате EVTX. Эти журналы — один из ключевых источников телеметрии при реагировании на инциденты информационной безопасности: в них фиксируются действия злоумышленника на хосте, и нередко именно они остаются единственным подтверждением произошедшего.

Автор разбирает методы восстановления EVTX-записей в ситуациях, когда журнал повреждён, перезаписан или удалён — например, при компрометации учётной записи и горизонтальном перемещении по сети. Тема напрямую связана с форензикой и IR-практикой.

Для редакции ЦОММ это напоминание: киноиндустрия всё больше зависит от цифровой инфраструктуры, и защита производственных данных — часть современного продакшн-процесса. Полный технический разбор — на Хабре.