{"id":488725,"date":"2026-07-27T12:24:12","date_gmt":"2026-07-27T12:24:12","guid":{"rendered":"https:\/\/savepearlharbor.com\/?p=488725"},"modified":"-0001-11-30T00:00:00","modified_gmt":"-0001-11-29T21:00:00","slug":"","status":"publish","type":"post","link":"https:\/\/savepearlharbor.com\/?p=488725","title":{"rendered":"\u0412\u0430\u0448 \u043f\u0430\u0440\u0441\u0435\u0440 .evtx \u043c\u043e\u043b\u0447\u0430 \u043f\u0440\u043e\u0447\u0438\u0442\u0430\u043b 4% \u0436\u0443\u0440\u043d\u0430\u043b\u0430 \u2014 \u0438 \u043d\u0435 \u0441\u0447\u0438\u0442\u0430\u0435\u0442 \u044d\u0442\u043e \u043e\u0448\u0438\u0431\u043a\u043e\u0439"},"content":{"rendered":"<div xmlns=\"http:\/\/www.w3.org\/1999\/xhtml\">\n<p>\u0422\u0440\u0438\u0430\u0436 \u0440\u0430\u0431\u043e\u0447\u0435\u0439 \u0441\u0442\u0430\u043d\u0446\u0438\u0438: \u0436\u0443\u0440\u043d\u0430\u043b Sysmon, \u0441\u043a\u0440\u0438\u043f\u0442 \u043d\u0430 <code>python-evtx<\/code> \u2014 \u0432\u0441\u0451 \u043a\u0430\u043a \u0432 \u0441\u043e\u0442\u043d\u0435 \u0442\u0443\u0442\u043e\u0440\u0438\u0430\u043b\u043e\u0432:<\/p>\n<pre><code class=\"python\">from Evtx.Evtx import Evtxwith Evtx(\"Sysmon.evtx\") as log:    for record in log.records():        ...<\/code><div class=\"code-explainer\"><a href=\"https:\/\/sourcecraft.dev\/\" class=\"tm-button code-explainer__link\" style=\"visibility: hidden;\"><img style=\"width:87px;height:14px;object-fit:cover;object-position:left;\"\/><\/a><\/div><\/pre>\n<p>\u0421\u043a\u0440\u0438\u043f\u0442 \u043e\u0442\u0440\u0430\u0431\u043e\u0442\u0430\u043b. \u0411\u0435\u0437 \u0438\u0441\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u0439, \u0431\u0435\u0437 \u043f\u0440\u0435\u0434\u0443\u043f\u0440\u0435\u0436\u0434\u0435\u043d\u0438\u0439, \u0441 \u043a\u043e\u0434\u043e\u043c \u0432\u043e\u0437\u0432\u0440\u0430\u0442\u0430 0. \u041d\u0430 \u0432\u044b\u0445\u043e\u0434\u0435 \u2014 <strong>94 \u0437\u0430\u043f\u0438\u0441\u0438<\/strong>.<\/p>\n<p>\u041f\u0440\u043e\u0431\u043b\u0435\u043c\u0430 \u0432 \u0442\u043e\u043c, \u0447\u0442\u043e \u0432 \u0444\u0430\u0439\u043b\u0435 \u0438\u0445 <strong>2309<\/strong>.<\/p>\n<p>\u0410 \u0432 \u043f\u043e\u0442\u0435\u0440\u044f\u043d\u043d\u044b\u0445 96% \u043b\u0435\u0436\u0430\u043b\u0430 \u0432\u0441\u044f \u0430\u0442\u0430\u043a\u0430: \u0441\u043e\u0437\u0434\u0430\u043d\u0438\u0435 \u0430\u0434\u043c\u0438\u043d\u0441\u043a\u043e\u0439 \u0443\u0447\u0451\u0442\u043a\u0438, \u0434\u0430\u043c\u043f \u043f\u0430\u0440\u043e\u043b\u0435\u0439, \u0430\u0440\u0445\u0438\u0432\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u0435 \u043a\u0430\u0442\u0430\u043b\u043e\u0433\u043e\u0432 \u043f\u0435\u0440\u0435\u0434 \u0432\u044b\u0433\u0440\u0443\u0437\u043a\u043e\u0439 \u0438 \u0437\u0430\u043f\u0443\u0441\u043a \u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043b\u044c\u0449\u0438\u043a\u0430. \u0426\u0435\u043b\u0438\u043a\u043e\u043c. \u041e\u0442 \u043f\u0435\u0440\u0432\u043e\u0433\u043e \u0434\u043e \u043f\u043e\u0441\u043b\u0435\u0434\u043d\u0435\u0433\u043e \u0441\u043e\u0431\u044b\u0442\u0438\u044f.<\/p>\n<p>\u0421\u0440\u0430\u0437\u0443 \u043e\u0433\u043e\u0432\u043e\u0440\u043a\u0430, \u0447\u0442\u043e\u0431\u044b \u043d\u0435 \u0442\u0440\u0430\u0442\u0438\u0442\u044c \u0432\u0430\u0448\u0435 \u0432\u0440\u0435\u043c\u044f \u0437\u0440\u044f: \u0440\u0435\u0447\u044c \u043f\u0440\u043e \u0434\u0435\u0444\u043e\u043b\u0442\u043d\u043e\u0435 \u043f\u043e\u0432\u0435\u0434\u0435\u043d\u0438\u0435 <code>python-evtx<\/code>. Rust-\u043f\u0430\u0440\u0441\u0435\u0440 <code>evtx<\/code>, EvtxECmd \u0438 <code>wevtutil<\/code> \u044d\u0442\u043e\u0442 \u0436\u0435 \u0444\u0430\u0439\u043b \u0447\u0438\u0442\u0430\u044e\u0442 \u0446\u0435\u043b\u0438\u043a\u043e\u043c \u2014 \u043d\u0438\u0436\u0435 \u044f \u043f\u043e\u043a\u0430\u0437\u044b\u0432\u0430\u044e, \u043a\u0430\u043a \u0432 \u044d\u0442\u043e\u043c \u0443\u0431\u0435\u0434\u0438\u0442\u044c\u0441\u044f. \u0422\u0430\u043a \u0447\u0442\u043e \u0432\u043e\u043f\u0440\u043e\u0441 \u043d\u0435 \u00ab\u0441\u043b\u043e\u043c\u0430\u043d\u0430 \u043b\u0438 \u0431\u0438\u0431\u043b\u0438\u043e\u0442\u0435\u043a\u0430\u00bb, \u0430 \u00ab\u0447\u0442\u043e \u0438\u043c\u0435\u043d\u043d\u043e \u0438\u0437 \u044d\u0442\u043e\u0433\u043e \u0434\u0435\u043b\u0430\u0435\u0442 \u0432\u0430\u0448 \u043f\u0430\u0439\u043f\u043b\u0430\u0439\u043d\u00bb.<\/p>\n<h3>TL;DR<\/h3>\n<ul>\n<li>\n<p>\u0412 \u0437\u0430\u0433\u043e\u043b\u043e\u0432\u043a\u0435 .evtx \u0435\u0441\u0442\u044c \u043f\u043e\u043b\u0435 <code>chunk_count<\/code>. \u041d\u0430 \u0436\u0443\u0440\u043d\u0430\u043b\u0435, \u0441\u043d\u044f\u0442\u043e\u043c \u0441 \u0440\u0430\u0431\u043e\u0442\u0430\u044e\u0449\u0435\u0439 \u043c\u0430\u0448\u0438\u043d\u044b, \u043e\u043d\u043e \u043f\u043e\u0447\u0442\u0438 \u0432\u0441\u0435\u0433\u0434\u0430 \u0437\u0430\u043d\u0438\u0436\u0435\u043d\u043e \u2014 \u044d\u0442\u043e \u043d\u0435 \u043f\u043e\u0432\u0440\u0435\u0436\u0434\u0435\u043d\u0438\u0435, \u0430 \u0448\u0442\u0430\u0442\u043d\u043e\u0435 \u0441\u043e\u0441\u0442\u043e\u044f\u043d\u0438\u0435.<\/p>\n<\/li>\n<li>\n<p><code>python-evtx<\/code> \u043f\u043e \u0443\u043c\u043e\u043b\u0447\u0430\u043d\u0438\u044e \u0432\u0435\u0440\u0438\u0442 \u044d\u0442\u043e\u043c\u0443 \u043f\u043e\u043b\u044e \u0438 \u043e\u0441\u0442\u0430\u043d\u0430\u0432\u043b\u0438\u0432\u0430\u0435\u0442 \u043e\u0431\u0445\u043e\u0434 \u043d\u0430 \u043d\u0451\u043c. \u041e\u0448\u0438\u0431\u043a\u0438 \u043d\u0435\u0442, \u043a\u043e\u0434\u0430 \u0432\u043e\u0437\u0432\u0440\u0430\u0442\u0430 \u043d\u0435\u0442, \u0435\u0441\u0442\u044c \u0447\u0438\u0441\u043b\u043e \u0437\u0430\u043f\u0438\u0441\u0435\u0439, \u043a\u043e\u0442\u043e\u0440\u043e\u0435 \u043d\u0438\u0447\u0435\u0433\u043e \u043d\u0435 \u0437\u043d\u0430\u0447\u0438\u0442.<\/p>\n<\/li>\n<li>\n<p>\u041f\u0440\u043e\u0432\u0435\u0440\u043a\u0430 \u00ab\u0430 \u043d\u0435\u0442 \u043b\u0438 \u0434\u044b\u0440 \u0432 <code>EventRecordID<\/code>\u00bb \u044d\u0442\u043e\u0442 \u0441\u043b\u0443\u0447\u0430\u0439 \u043d\u0435 \u043b\u043e\u0432\u0438\u0442 \u043f\u043e \u043f\u043e\u0441\u0442\u0440\u043e\u0435\u043d\u0438\u044e \u2014 \u043e\u043d\u0430 \u043f\u043e\u0434\u0442\u0432\u0435\u0440\u0434\u0438\u0442 \u0446\u0435\u043b\u043e\u0441\u0442\u043d\u043e\u0441\u0442\u044c \u0434\u0430\u043d\u043d\u044b\u0445, \u043a\u043e\u0442\u043e\u0440\u044b\u0445 \u0443 \u0432\u0430\u0441 \u043d\u0435\u0442.<\/p>\n<\/li>\n<li>\n<p>\u0427\u0442\u043e \u0441\u0434\u0435\u043b\u0430\u0442\u044c \u043f\u0440\u044f\u043c\u043e \u0441\u0435\u0439\u0447\u0430\u0441: \u043f\u0440\u043e\u0433\u043d\u0430\u0442\u044c \u043b\u044e\u0431\u043e\u0439 .evtx \u0441 \u0436\u0438\u0432\u043e\u0439 \u043c\u0430\u0448\u0438\u043d\u044b \u0447\u0435\u0440\u0435\u0437 \u0441\u0432\u043e\u0439 \u043f\u0430\u0439\u043f\u043b\u0430\u0439\u043d \u0438 \u0441\u0440\u0430\u0432\u043d\u0438\u0442\u044c \u0441 <code>wevtutil gli \/lf:true<\/code>. \u041f\u044f\u0442\u043d\u0430\u0434\u0446\u0430\u0442\u044c \u0441\u0442\u0440\u043e\u043a \u0434\u043b\u044f \u0442\u043e\u0439 \u0436\u0435 \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0438 \u0431\u0435\u0437 Windows \u2014 \u0432 \u0440\u0430\u0437\u0434\u0435\u043b\u0435 \u00ab\u041a\u0430\u043a \u044d\u0442\u043e \u043f\u0440\u043e\u0432\u0435\u0440\u044f\u0442\u044c\u00bb.<\/p>\n<\/li>\n<\/ul>\n<p><strong>\u0421\u0442\u0435\u043d\u0434.<\/strong> \u041e\u0431\u0440\u0430\u0437: Windows 7 Pro SP1 (6.1.7601), \u043b\u043e\u0433\u0438 \u0441\u043d\u044f\u0442\u044b \u0441 \u0440\u0430\u0431\u043e\u0442\u0430\u044e\u0449\u0435\u0439 \u043c\u0430\u0448\u0438\u043d\u044b \u0441\u043a\u0440\u0438\u043f\u0442\u043e\u043c live-response-\u0441\u0431\u043e\u0440\u0430. <code>python-evtx<\/code> 0.8.1, <code>evtx<\/code> (rust-\u0431\u0438\u043d\u0434\u0438\u043d\u0433) 0.12.1, Chainsaw 2.16.2. \u0414\u0430\u0442\u044b \u0432 \u0432\u044b\u0432\u043e\u0434\u0430\u0445 \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u043e\u0432 \u0438\u0437\u043c\u0435\u043d\u0435\u043d\u044b, <code>EventRecordID<\/code> \u0438 \u0432\u0441\u0451 \u043e\u0441\u0442\u0430\u043b\u044c\u043d\u043e\u0435 \u2014 \u043f\u043e\u0434\u043b\u0438\u043d\u043d\u044b\u0435.<\/p>\n<h3>\u0414\u0432\u0430 \u0431\u0430\u0439\u0442\u0430, \u043a\u043e\u0442\u043e\u0440\u044b\u043c \u0432\u0441\u0435 \u0432\u0435\u0440\u044f\u0442<\/h3>\n<figure class=\"full-width \"><img decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/757\/dbb\/936\/757dbb936b4bbcb54c72ea971fcfd611.png\" alt=\"\u0420\u0430\u0441\u043a\u043b\u0430\u0434\u043a\u0430 .evtx: \u0437\u0430\u0433\u043e\u043b\u043e\u0432\u043e\u043a 4096 \u0431\u0430\u0439\u0442, 33 \u0441\u043b\u043e\u0442\u0430 \u043f\u043e 64 \u041a\u0411, \u0438\u0437 \u043d\u0438\u0445 30 chunk'\u043e\u0432 \u0438 3 \u0441\u043b\u043e\u0442\u0430 \u0441 \u043f\u043e\u0441\u0442\u043e\u0440\u043e\u043d\u043d\u0438\u043c\u0438 \u0434\u0430\u043d\u043d\u044b\u043c\u0438; chunk_count = 1 \u0443\u043a\u0430\u0437\u044b\u0432\u0430\u0435\u0442 \u0442\u043e\u043b\u044c\u043a\u043e \u043d\u0430 \u043f\u0435\u0440\u0432\u044b\u0439\" width=\"2320\" height=\"840\" sizes=\"auto, (max-width: 780px) 100vw, 50vw\" srcset=\"https:\/\/habrastorage.org\/r\/w780\/getpro\/habr\/upload_files\/757\/dbb\/936\/757dbb936b4bbcb54c72ea971fcfd611.png 780w,&#10;       https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/757\/dbb\/936\/757dbb936b4bbcb54c72ea971fcfd611.png 781w\" loading=\"lazy\" decode=\"async\"\/><\/p>\n<div><figcaption>\u0420\u0430\u0441\u043a\u043b\u0430\u0434\u043a\u0430 .evtx: \u0437\u0430\u0433\u043e\u043b\u043e\u0432\u043e\u043a 4096 \u0431\u0430\u0439\u0442, 33 \u0441\u043b\u043e\u0442\u0430 \u043f\u043e 64 \u041a\u0411, \u0438\u0437 \u043d\u0438\u0445 30 chunk&#8217;\u043e\u0432 \u0438 3 \u0441\u043b\u043e\u0442\u0430 \u0441 \u043f\u043e\u0441\u0442\u043e\u0440\u043e\u043d\u043d\u0438\u043c\u0438 \u0434\u0430\u043d\u043d\u044b\u043c\u0438; chunk_count = 1 \u0443\u043a\u0430\u0437\u044b\u0432\u0430\u0435\u0442 \u0442\u043e\u043b\u044c\u043a\u043e \u043d\u0430 \u043f\u0435\u0440\u0432\u044b\u0439<\/figcaption><\/div>\n<\/figure>\n<p>\u0424\u043e\u0440\u043c\u0430\u0442 EVTX \u0443\u0441\u0442\u0440\u043e\u0435\u043d \u043f\u0440\u043e\u0441\u0442\u043e: \u0437\u0430\u0433\u043e\u043b\u043e\u0432\u043e\u043a \u0444\u0430\u0439\u043b\u0430 \u043d\u0430 4096 \u0431\u0430\u0439\u0442, \u0434\u0430\u043b\u044c\u0448\u0435 \u2014 chunk&#8217;\u0438 \u043f\u043e 65 536 \u0431\u0430\u0439\u0442 (<code>0x10000<\/code>), \u043a\u0430\u0436\u0434\u044b\u0439 \u0441\u043e \u0441\u0432\u043e\u0438\u043c \u0437\u0430\u0433\u043e\u043b\u043e\u0432\u043a\u043e\u043c <code>ElfChnk\\x00<\/code>. \u0417\u0430\u043f\u0438\u0441\u0438 \u0436\u0438\u0432\u0443\u0442 \u0432\u043d\u0443\u0442\u0440\u0438 chunk&#8217;\u043e\u0432.<\/p>\n<p>\u0412 \u0437\u0430\u0433\u043e\u043b\u043e\u0432\u043a\u0435 \u0444\u0430\u0439\u043b\u0430 \u043f\u043e \u0441\u043c\u0435\u0449\u0435\u043d\u0438\u044e <code>0x2A<\/code> \u043b\u0435\u0436\u0438\u0442 <code>chunk_count<\/code> \u2014 \u0434\u0432\u0443\u0445\u0431\u0430\u0439\u0442\u043e\u0432\u043e\u0435 \u043f\u043e\u043b\u0435: \u0441\u043a\u043e\u043b\u044c\u043a\u043e \u0432 \u0444\u0430\u0439\u043b\u0435 chunk&#8217;\u043e\u0432.<\/p>\n<p>\u0412\u043e\u0442 \u0437\u0430\u0433\u043e\u043b\u043e\u0432\u043e\u043a \u0442\u043e\u0433\u043e \u0441\u0430\u043c\u043e\u0433\u043e Sysmon-\u0436\u0443\u0440\u043d\u0430\u043b\u0430 (2 166 784 \u0431\u0430\u0439\u0442\u0430 \u2014 33 \u0441\u043b\u043e\u0442\u0430 \u043f\u043e\u0434 chunk&#8217;\u0438):<\/p>\n<pre><code>00000000  45 6c 66 46 69 6c 65 00   ElfFile.    \u043c\u0430\u0433\u0438\u044f00000008  00 00 00 00 00 00 00 00               oldest_chunk00000010  00 00 00 00 00 00 00 00               current_chunk_num00000018  b9 2b 00 00 00 00 00 00               next_record_num = 1119300000020  80 00 00 00 01 00 03 00               hdr_size=128, minor=1, major=300000028  00 10 01 00                           hdr_chunk_size=0x1000, chunk_count = 1  &lt;--...00000078  01 00 00 00                           flags = 0x1 (DIRTY)                     &lt;--<\/code><div class=\"code-explainer\"><a href=\"https:\/\/sourcecraft.dev\/\" class=\"tm-button code-explainer__link\" style=\"visibility: hidden;\"><img style=\"width:14px;height:14px;object-fit:cover;object-position:left;\"\/><\/a><\/div><\/pre>\n<p><code>chunk_count = 1<\/code>. \u0424\u0438\u0437\u0438\u0447\u0435\u0441\u043a\u0438 chunk&#8217;\u043e\u0432 \u2014 <strong>30<\/strong>.<\/p>\n<p>\u042d\u0442\u043e \u043d\u0435 \u043f\u043e\u0432\u0440\u0435\u0436\u0434\u0435\u043d\u0438\u0435. \u042d\u0442\u043e <strong>\u043d\u043e\u0440\u043c\u0430\u043b\u044c\u043d\u043e\u0435 \u0441\u043e\u0441\u0442\u043e\u044f\u043d\u0438\u0435 \u0436\u0438\u0432\u043e\u0433\u043e \u0436\u0443\u0440\u043d\u0430\u043b\u0430<\/strong>. \u0424\u043b\u0430\u0433 <code>0x1<\/code> (dirty) \u043e\u0437\u043d\u0430\u0447\u0430\u0435\u0442 \u0440\u043e\u0432\u043d\u043e \u0442\u043e, \u0447\u0442\u043e \u043d\u0430\u043f\u0438\u0441\u0430\u043d\u043e \u0432 <a href=\"https:\/\/github.com\/libyal\/libevtx\/blob\/main\/documentation\/Windows%20XML%20Event%20Log%20(EVTX).asciidoc\" rel=\"noopener noreferrer nofollow\">\u0441\u043f\u0435\u0446\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u0438 libevtx<\/a>: \u0436\u0443\u0440\u043d\u0430\u043b \u043e\u0442\u043a\u0440\u044b\u0442 \u0438 \u0438\u0437\u043c\u0435\u043d\u044f\u043b\u0441\u044f, \u0438 \u043d\u0435 \u0432\u0441\u0435 \u0438\u0437\u043c\u0435\u043d\u0435\u043d\u0438\u044f \u043e\u0442\u0440\u0430\u0436\u0435\u043d\u044b \u0432 \u0437\u0430\u0433\u043e\u043b\u043e\u0432\u043a\u0435.<\/p>\n<p>\u041d\u0430\u0441\u043a\u043e\u043b\u044c\u043a\u043e \u00ab\u043d\u0435 \u0432\u0441\u0435\u00bb \u2014 \u0432\u0438\u0434\u043d\u043e \u043f\u043e \u0432\u0442\u043e\u0440\u043e\u043c\u0443 \u043f\u043e\u043b\u044e. <code>next_record_num<\/code> \u0432 \u044d\u0442\u043e\u043c \u0437\u0430\u0433\u043e\u043b\u043e\u0432\u043a\u0435 \u2014 11193, \u0438 \u0440\u043e\u0432\u043d\u043e \u0442\u0430\u043a\u043e\u0439 <code>EventRecordID<\/code> \u0443 \u043f\u0435\u0440\u0432\u043e\u0439 \u0437\u0430\u043f\u0438\u0441\u0438 \u043f\u0435\u0440\u0432\u043e\u0433\u043e chunk&#8217;\u0430. \u0422\u043e \u0435\u0441\u0442\u044c \u0437\u0430\u0433\u043e\u043b\u043e\u0432\u043e\u043a \u2014 \u0441\u043d\u0438\u043c\u043e\u043a \u0441\u043e\u0441\u0442\u043e\u044f\u043d\u0438\u044f \u043d\u0430 \u043c\u043e\u043c\u0435\u043d\u0442, \u043a\u043e\u0433\u0434\u0430 \u0441\u0438\u0441\u0442\u0435\u043c\u0430 \u0441\u043e\u0431\u0438\u0440\u0430\u043b\u0430\u0441\u044c \u043f\u0438\u0441\u0430\u0442\u044c \u0437\u0430\u043f\u0438\u0441\u044c \u211611193 \u0432 \u043f\u0435\u0440\u0432\u044b\u0439 (\u0438 \u0442\u043e\u0433\u0434\u0430 \u0435\u0434\u0438\u043d\u0441\u0442\u0432\u0435\u043d\u043d\u044b\u0439) chunk. \u041f\u043e\u0441\u043b\u0435 \u044d\u0442\u043e\u0433\u043e Windows \u0434\u043e\u043f\u0438\u0441\u0430\u043b\u0430 \u0435\u0449\u0451 29 chunk&#8217;\u043e\u0432 \u0438 2215 \u0437\u0430\u043f\u0438\u0441\u0435\u0439, \u043d\u0438 \u0440\u0430\u0437\u0443 \u043d\u0435 \u0442\u0440\u043e\u043d\u0443\u0432 \u0437\u0430\u0433\u043e\u043b\u043e\u0432\u043e\u043a \u0444\u0430\u0439\u043b\u0430. \u041d\u0435 \u00ab\u043e\u0431\u043d\u043e\u0432\u043b\u044f\u043b\u0430 \u0440\u0435\u0434\u043a\u043e\u00bb \u2014 \u043d\u0435 \u043e\u0431\u043d\u043e\u0432\u043b\u044f\u043b\u0430 \u0432\u043e\u043e\u0431\u0449\u0435, \u0432\u0441\u0435 45 \u043c\u0438\u043d\u0443\u0442 \u0436\u0438\u0437\u043d\u0438 \u0436\u0443\u0440\u043d\u0430\u043b\u0430.<\/p>\n<p>\u041e\u0442\u0441\u044e\u0434\u0430 \u0432\u0430\u0436\u043d\u043e\u0435 \u0441\u043b\u0435\u0434\u0441\u0442\u0432\u0438\u0435, \u043a\u043e\u0442\u043e\u0440\u043e\u0435 \u043e\u043f\u0440\u0435\u0434\u0435\u043b\u044f\u0435\u0442, \u043a\u0430\u0441\u0430\u0435\u0442\u0441\u044f \u043b\u0438 \u0432\u0430\u0441 \u0432\u0441\u0451 \u0434\u0430\u043b\u044c\u043d\u0435\u0439\u0448\u0435\u0435: \u0436\u0443\u0440\u043d\u0430\u043b, \u044d\u043a\u0441\u043f\u043e\u0440\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u0439 \u0447\u0435\u0440\u0435\u0437 <code>wevtutil epl<\/code>, \u0438\u043b\u0438 \u0441\u043d\u044f\u0442\u044b\u0439 \u0441 \u043a\u043e\u0440\u0440\u0435\u043a\u0442\u043d\u043e \u0432\u044b\u043a\u043b\u044e\u0447\u0451\u043d\u043d\u043e\u0439 \u043c\u0430\u0448\u0438\u043d\u044b, \u0437\u0430\u0433\u043e\u043b\u043e\u0432\u043a\u0443 \u043d\u0435 \u043f\u0440\u043e\u0442\u0438\u0432\u043e\u0440\u0435\u0447\u0438\u0442 \u2014 \u0442\u0430\u043c <code>chunk_count<\/code> \u0432\u0435\u0440\u043d\u044b\u0439 \u0438 \u043f\u0440\u043e\u0431\u043b\u0435\u043c\u044b \u043d\u0435\u0442. \u0420\u0430\u0441\u0445\u043e\u0436\u0434\u0435\u043d\u0438\u0435 \u0436\u0438\u0432\u0451\u0442 \u043d\u0430 \u043a\u043e\u043f\u0438\u044f\u0445, \u0441\u043d\u044f\u0442\u044b\u0445 \u0441 \u0440\u0430\u0431\u043e\u0442\u0430\u044e\u0449\u0435\u0439 \u0441\u0438\u0441\u0442\u0435\u043c\u044b: \u0442\u0440\u0438\u0430\u0436\u043d\u044b\u0435 \u0441\u0431\u043e\u0440\u044b, VSS-\u0441\u043d\u0438\u043c\u043a\u0438, \u0444\u0430\u0439\u043b\u044b, \u0432\u044b\u0442\u0430\u0449\u0435\u043d\u043d\u044b\u0435 \u0438\u0437 \u0441\u043c\u043e\u043d\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u0433\u043e \u043e\u0431\u0440\u0430\u0437\u0430 \u0436\u0438\u0432\u043e\u0439 \u043c\u0430\u0448\u0438\u043d\u044b. \u0422\u043e \u0435\u0441\u0442\u044c \u043d\u0430 \u0441\u0430\u043c\u043e\u043c \u043c\u0430\u0441\u0441\u043e\u0432\u043e\u043c \u0441\u043f\u043e\u0441\u043e\u0431\u0435 \u043f\u043e\u043b\u0443\u0447\u0438\u0442\u044c \u043b\u043e\u0433\u0438.<\/p>\n<h4>\u041d\u0430\u0441\u043a\u043e\u043b\u044c\u043a\u043e \u044d\u0442\u043e \u043c\u0430\u0441\u0441\u043e\u0432\u043e<\/h4>\n<p>\u0412 \u043e\u0431\u0440\u0430\u0437\u0435 137 \u0436\u0443\u0440\u043d\u0430\u043b\u043e\u0432 \u0441 \u0432\u0430\u043b\u0438\u0434\u043d\u044b\u043c \u0437\u0430\u0433\u043e\u043b\u043e\u0432\u043a\u043e\u043c. \u0420\u0430\u0437\u043b\u043e\u0436\u0438\u043c \u0438\u0445 \u0447\u0435\u0441\u0442\u043d\u043e, \u043f\u043e\u0442\u043e\u043c\u0443 \u0447\u0442\u043e \u0446\u0438\u0444\u0440\u0430 \u00ab26 \u0438\u0437 137 \u2014 dirty\u00bb \u0441\u0430\u043c\u0430 \u043f\u043e \u0441\u0435\u0431\u0435 \u043d\u0438\u0447\u0435\u0433\u043e \u043d\u0435 \u0437\u043d\u0430\u0447\u0438\u0442:<\/p>\n<div>\n<div class=\"table\">\n<table>\n<tbody>\n<tr>\n<th>\n<p align=\"left\">\n<\/th>\n<th>\n<p align=\"left\">\u0444\u0430\u0439\u043b\u043e\u0432<\/p>\n<\/th>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">\u0432\u0441\u0435\u0433\u043e <code>.evtx<\/code><\/p>\n<\/td>\n<td>\n<p align=\"left\">137<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">\u0438\u0437 \u043d\u0438\u0445 dirty (<code>flags &amp; 1<\/code>)<\/p>\n<\/td>\n<td>\n<p align=\"left\">26<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">\u0438\u0437 \u043d\u0438\u0445 \u043c\u043d\u043e\u0433\u043e\u0447\u0430\u043d\u043a\u043e\u0432\u044b\u0445 (\u0440\u0435\u0430\u043b\u044c\u043d\u043e \u0431\u043e\u043b\u044c\u0448\u0435 \u043e\u0434\u043d\u043e\u0433\u043e chunk&#8217;\u0430)<\/p>\n<\/td>\n<td>\n<p align=\"left\">6<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">\u043c\u043d\u043e\u0433\u043e\u0447\u0430\u043d\u043a\u043e\u0432\u044b\u0445 \u0438 dirty<\/p>\n<\/td>\n<td>\n<p align=\"left\">4<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">\u043c\u043d\u043e\u0433\u043e\u0447\u0430\u043d\u043a\u043e\u0432\u044b\u0445, dirty \u0438 \u0441 \u0437\u0430\u043d\u0438\u0436\u0435\u043d\u043d\u044b\u043c <code>chunk_count<\/code><\/p>\n<\/td>\n<td>\n<p align=\"left\">3<\/p>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n<\/div>\n<p>\u041a\u043b\u044e\u0447\u0435\u0432\u043e\u0439 \u043c\u043e\u043c\u0435\u043d\u0442, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043b\u0435\u0433\u043a\u043e \u0443\u043f\u0443\u0441\u0442\u0438\u0442\u044c: \u0443 22 \u0438\u0437 26 dirty-\u0436\u0443\u0440\u043d\u0430\u043b\u043e\u0432 \u0444\u0438\u0437\u0438\u0447\u0435\u0441\u043a\u0438 \u043e\u0434\u0438\u043d chunk. \u0417\u0430\u043d\u0438\u0436\u0430\u0442\u044c \u0442\u0430\u043c \u043d\u0435\u0447\u0435\u0433\u043e \u2014 <code>chunk_count = 1<\/code> \u0438 \u0435\u0441\u0442\u044c \u043f\u0440\u0430\u0432\u0434\u0430, \u0431\u0430\u0433 \u043d\u0435 \u043f\u0440\u043e\u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f. \u041f\u0440\u043e\u0431\u043b\u0435\u043c\u0430 \u0436\u0438\u0432\u0451\u0442 \u0442\u043e\u043b\u044c\u043a\u043e \u043d\u0430 \u0436\u0443\u0440\u043d\u0430\u043b\u0430\u0445 \u0431\u043e\u043b\u044c\u0448\u0435 \u043e\u0434\u043d\u043e\u0433\u043e chunk&#8217;\u0430, \u0430 \u044d\u0442\u043e \u0440\u043e\u0432\u043d\u043e \u0442\u0435, \u0433\u0434\u0435 \u043d\u0430\u043a\u043e\u043f\u0438\u043b\u043e\u0441\u044c \u043c\u043d\u043e\u0433\u043e \u0441\u043e\u0431\u044b\u0442\u0438\u0439, \u0442\u043e \u0435\u0441\u0442\u044c \u0441\u0430\u043c\u044b\u0435 \u0438\u043d\u0442\u0435\u0440\u0435\u0441\u043d\u044b\u0435 \u0434\u043b\u044f \u0440\u0430\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u0438\u044f.<\/p>\n<p>\u0412\u0441\u0435 \u0448\u0435\u0441\u0442\u044c, \u0446\u0435\u043b\u0438\u043a\u043e\u043c:<\/p>\n<div>\n<div class=\"table\">\n<table>\n<tbody>\n<tr>\n<th>\n<p align=\"left\">\u0416\u0443\u0440\u043d\u0430\u043b<\/p>\n<\/th>\n<th>\n<p align=\"left\"><code>chunk_count<\/code><\/p>\n<\/th>\n<th>\n<p align=\"left\">Chunk&#8217;\u043e\u0432 \u0440\u0435\u0430\u043b\u044c\u043d\u043e<\/p>\n<\/th>\n<th>\n<p align=\"left\">\u0411\u0438\u0442\u044b\u0445 \u0441\u043b\u043e\u0442\u043e\u0432<\/p>\n<\/th>\n<th>\n<p align=\"left\">dirty<\/p>\n<\/th>\n<th>\n<p align=\"left\">\u0417\u0430\u043f\u0438\u0441\u0435\u0439 \u0437\u0430\u044f\u0432\u043b\u0435\u043d\u043e<\/p>\n<\/th>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">Sysmon<\/p>\n<\/td>\n<td>\n<p align=\"left\"><strong>1<\/strong><\/p>\n<\/td>\n<td>\n<p align=\"left\">30<\/p>\n<\/td>\n<td>\n<p align=\"left\">3<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u0434\u0430<\/p>\n<\/td>\n<td>\n<p align=\"left\">2309<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">CAPI2<\/p>\n<\/td>\n<td>\n<p align=\"left\">14<\/p>\n<\/td>\n<td>\n<p align=\"left\">14<\/p>\n<\/td>\n<td>\n<p align=\"left\">2<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u043d\u0435\u0442<\/p>\n<\/td>\n<td>\n<p align=\"left\">513<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">GroupPolicy<\/p>\n<\/td>\n<td>\n<p align=\"left\">5<\/p>\n<\/td>\n<td>\n<p align=\"left\">5<\/p>\n<\/td>\n<td>\n<p align=\"left\">0<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u0434\u0430<\/p>\n<\/td>\n<td>\n<p align=\"left\">670<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">TS-RCM<\/p>\n<\/td>\n<td>\n<p align=\"left\"><strong>1<\/strong><\/p>\n<\/td>\n<td>\n<p align=\"left\">4<\/p>\n<\/td>\n<td>\n<p align=\"left\">0<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u0434\u0430<\/p>\n<\/td>\n<td>\n<p align=\"left\">406<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">Firewall<\/p>\n<\/td>\n<td>\n<p align=\"left\"><strong>2<\/strong><\/p>\n<\/td>\n<td>\n<p align=\"left\">3<\/p>\n<\/td>\n<td>\n<p align=\"left\">0<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u0434\u0430<\/p>\n<\/td>\n<td>\n<p align=\"left\">165<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">WSAT<\/p>\n<\/td>\n<td>\n<p align=\"left\">2<\/p>\n<\/td>\n<td>\n<p align=\"left\">2<\/p>\n<\/td>\n<td>\n<p align=\"left\">0<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u043d\u0435\u0442<\/p>\n<\/td>\n<td>\n<p align=\"left\">126<\/p>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n<\/div>\n<p><sub>\u041f\u043e\u043b\u043d\u044b\u0435 \u0438\u043c\u0435\u043d\u0430 \u043a\u0430\u043d\u0430\u043b\u043e\u0432: <\/sub><code><sub>Microsoft-Windows-Sysmon\/Operational<\/sub><\/code><sub>, <\/sub><code><sub>...\/CAPI2\/Operational<\/sub><\/code><sub>, <\/sub><code><sub>...\/GroupPolicy\/Operational<\/sub><\/code><sub>, <\/sub><code><sub>...\/TerminalServices-RemoteConnectionManager\/Operational<\/sub><\/code><sub>, <\/sub><code><sub>...\/Windows Firewall With Advanced Security\/Firewall<\/sub><\/code><sub>, <\/sub><code><sub>...\/WindowsSystemAssessmentTool\/Operational<\/sub><\/code><sub>. \u0414\u0430\u043b\u044c\u0448\u0435 \u043f\u043e \u0442\u0435\u043a\u0441\u0442\u0443 \u2014 \u043a\u043e\u0440\u043e\u0442\u043a\u0438\u0435 \u0438\u043c\u0435\u043d\u0430 \u0438\u0437 \u0442\u0430\u0431\u043b\u0438\u0446\u044b.<\/sub><\/p>\n<p>\u041e\u0431\u0440\u0430\u0442\u0438\u0442\u0435 \u0432\u043d\u0438\u043c\u0430\u043d\u0438\u0435 \u043d\u0430 GroupPolicy: \u0436\u0443\u0440\u043d\u0430\u043b dirty, \u043d\u043e <code>chunk_count<\/code> \u043f\u0440\u0438 \u044d\u0442\u043e\u043c \u0432\u0435\u0440\u043d\u044b\u0439. \u0422\u0430\u043a \u0447\u0442\u043e \u00abdirty \u21d2 \u0437\u0430\u0433\u043e\u043b\u043e\u0432\u043e\u043a \u0432\u0440\u0451\u0442\u00bb \u2014 \u043d\u0435\u043f\u0440\u0430\u0432\u0434\u0430, \u0437\u0430\u0432\u0438\u0441\u0438\u043c\u043e\u0441\u0442\u044c \u043e\u0434\u043d\u043e\u0441\u0442\u043e\u0440\u043e\u043d\u043d\u044f\u044f: \u0447\u0438\u0441\u0442\u044b\u0439 \u0436\u0443\u0440\u043d\u0430\u043b \u0437\u0430\u0433\u043e\u043b\u043e\u0432\u043a\u0443 \u043d\u0435 \u043f\u0440\u043e\u0442\u0438\u0432\u043e\u0440\u0435\u0447\u0438\u0442, \u0433\u0440\u044f\u0437\u043d\u044b\u0439 \u2014 \u043c\u043e\u0436\u0435\u0442. \u0412\u044b\u0431\u043e\u0440\u043a\u0430 \u0442\u0443\u0442 \u043a\u0440\u043e\u0448\u0435\u0447\u043d\u0430\u044f, \u0438\u0437 \u043e\u0434\u043d\u043e\u0433\u043e \u043e\u0431\u0440\u0430\u0437\u0430, \u0438 \u044f \u043d\u0435 \u0431\u0435\u0440\u0443\u0441\u044c \u043f\u043e \u043d\u0435\u0439 \u0443\u0442\u0432\u0435\u0440\u0436\u0434\u0430\u0442\u044c \u00ab\u0432 X% \u0441\u043b\u0443\u0447\u0430\u0435\u0432\u00bb. \u0423\u0442\u0432\u0435\u0440\u0436\u0434\u0430\u044e \u0434\u0440\u0443\u0433\u043e\u0435: \u044d\u0442\u043e \u043d\u0435 \u044d\u043a\u0437\u043e\u0442\u0438\u043a\u0430, \u0438 \u0432\u0435\u0440\u043e\u044f\u0442\u043d\u043e\u0441\u0442\u044c \u0432\u0441\u0442\u0440\u0435\u0442\u0438\u0442\u044c \u0442\u0430\u043a\u043e\u0439 \u0444\u0430\u0439\u043b \u0432 \u0440\u0435\u0430\u043b\u044c\u043d\u043e\u043c \u0442\u0440\u0438\u0430\u0436\u0435 \u0434\u0430\u043b\u0435\u043a\u0430 \u043e\u0442 \u043d\u0443\u043b\u044f.<\/p>\n<p>\u0421\u0442\u043e\u043b\u0431\u0435\u0446 \u00ab\u0431\u0438\u0442\u044b\u0445 \u0441\u043b\u043e\u0442\u043e\u0432\u00bb \u043f\u043e\u043a\u0430 \u043f\u0440\u043e\u0441\u0442\u043e \u0437\u0430\u043f\u043e\u043c\u043d\u0438\u0442\u0435 \u2014 \u043a \u043d\u0435\u043c\u0443 \u0432\u0435\u0440\u043d\u0451\u043c\u0441\u044f \u0432 \u0440\u0430\u0437\u0434\u0435\u043b\u0435 \u00ab\u041c\u0443\u0441\u043e\u0440 \u0432 \u0445\u0432\u043e\u0441\u0442\u0435\u00bb, \u0442\u0430\u043c \u0441\u0430\u043c\u043e\u0435 \u043d\u0435\u043e\u0447\u0435\u0432\u0438\u0434\u043d\u043e\u0435.<\/p>\n<h3>\u0413\u0434\u0435 \u0438\u043c\u0435\u043d\u043d\u043e \u0442\u0435\u0440\u044f\u044e\u0442\u0441\u044f \u0437\u0430\u043f\u0438\u0441\u0438<\/h3>\n<p>\u0422\u0435\u043f\u0435\u0440\u044c \u0441\u043c\u043e\u0442\u0440\u0438\u043c \u0432 <code>python-evtx<\/code> 0.8.1, <a href=\"https:\/\/github.com\/williballenthin\/python-evtx\/blob\/master\/Evtx\/Evtx.py\" rel=\"noopener noreferrer nofollow\"><code>Evtx\/<\/code><\/a><a href=\"http:\/\/Evtx.py\" rel=\"noopener noreferrer nofollow\"><code>Evtx.py<\/code><\/a>:<\/p>\n<pre><code class=\"python\">def chunks(self, include_inactive=False):    if include_inactive:        chunk_count = sys.maxsize    else:        chunk_count = self.chunk_count()      # &lt;--- \u0438\u0437 \u0437\u0430\u0433\u043e\u043b\u043e\u0432\u043a\u0430 \u0444\u0430\u0439\u043b\u0430    i = 0    ofs = self._offset + self.header_chunk_size()    while ofs + 0x10000 &lt;= len(self._buf) and i &lt; chunk_count:        yield ChunkHeader(self._buf, ofs)        ofs += 0x10000        i += 1<\/code><div class=\"code-explainer\"><a href=\"https:\/\/sourcecraft.dev\/\" class=\"tm-button code-explainer__link\" style=\"visibility: hidden;\"><img style=\"width:14px;height:14px;object-fit:cover;object-position:left;\"\/><\/a><\/div><\/pre>\n<p>\u0412\u043e\u0442 \u0438 \u0432\u0441\u0451. <code>i &lt; chunk_count<\/code> \u2014 \u043e\u0431\u0445\u043e\u0434 \u043e\u0441\u0442\u0430\u043d\u0430\u0432\u043b\u0438\u0432\u0430\u0435\u0442\u0441\u044f \u043d\u0430 \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0438 \u0438\u0437 \u0437\u0430\u0433\u043e\u043b\u043e\u0432\u043a\u0430 \u0444\u0430\u0439\u043b\u0430. <code>records()<\/code> \u0438\u0434\u0451\u0442 \u0447\u0435\u0440\u0435\u0437 <code>chunks()<\/code> \u0441 \u0434\u0435\u0444\u043e\u043b\u0442\u043d\u044b\u043c <code>include_inactive=False<\/code>.<\/p>\n<p>\u0417\u0430\u0433\u043e\u043b\u043e\u0432\u043e\u043a \u0441\u043a\u0430\u0437\u0430\u043b \u00ab\u043e\u0434\u0438\u043d chunk\u00bb \u2014 \u0431\u0438\u0431\u043b\u0438\u043e\u0442\u0435\u043a\u0430 \u043f\u0440\u043e\u0447\u0438\u0442\u0430\u043b\u0430 \u043e\u0434\u0438\u043d chunk, \u043e\u0442\u0434\u0430\u043b\u0430 94 \u0437\u0430\u043f\u0438\u0441\u0438 \u0438 \u0448\u0442\u0430\u0442\u043d\u043e \u0437\u0430\u0432\u0435\u0440\u0448\u0438\u043b\u0430\u0441\u044c. \u041e\u043d\u0430 \u0441\u0434\u0435\u043b\u0430\u043b\u0430 \u0440\u043e\u0432\u043d\u043e \u0442\u043e, \u0447\u0442\u043e \u043e\u0442 \u043d\u0435\u0451 \u043f\u0440\u043e\u0441\u0438\u043b\u0438. \u041e\u0448\u0438\u0431\u043a\u0438 \u043d\u0435 \u0431\u044b\u043b\u043e.<\/p>\n<p>\u0417\u0430\u043c\u0435\u0440\u044b \u043f\u043e \u0432\u0441\u0435\u043c \u0448\u0435\u0441\u0442\u0438 \u043c\u043d\u043e\u0433\u043e\u0447\u0430\u043d\u043a\u043e\u0432\u044b\u043c \u0436\u0443\u0440\u043d\u0430\u043b\u0430\u043c:<\/p>\n<div>\n<div class=\"table\">\n<table>\n<tbody>\n<tr>\n<th>\n<p align=\"left\">\u0416\u0443\u0440\u043d\u0430\u043b<\/p>\n<\/th>\n<th>\n<p align=\"left\"><code>records()<\/code> \u043f\u043e \u0443\u043c\u043e\u043b\u0447\u0430\u043d\u0438\u044e<\/p>\n<\/th>\n<th>\n<p align=\"left\"><code>include_inactive=True<\/code><\/p>\n<\/th>\n<th>\n<p align=\"left\">\u0417\u0430\u044f\u0432\u043b\u0435\u043d\u043e \u0437\u0430\u0433\u043e\u043b\u043e\u0432\u043a\u0430\u043c\u0438<\/p>\n<\/th>\n<th>\n<p align=\"left\">\u041f\u043e\u0442\u0435\u0440\u044f\u043d\u043e<\/p>\n<\/th>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">Sysmon<\/p>\n<\/td>\n<td>\n<p align=\"left\">94<\/p>\n<\/td>\n<td>\n<p align=\"left\">2309<\/p>\n<\/td>\n<td>\n<p align=\"left\">2309<\/p>\n<\/td>\n<td>\n<p align=\"left\"><strong>96%<\/strong><\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">TS-RCM<\/p>\n<\/td>\n<td>\n<p align=\"left\">125<\/p>\n<\/td>\n<td>\n<p align=\"left\">406<\/p>\n<\/td>\n<td>\n<p align=\"left\">406<\/p>\n<\/td>\n<td>\n<p align=\"left\"><strong>69%<\/strong><\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">Firewall<\/p>\n<\/td>\n<td>\n<p align=\"left\">150<\/p>\n<\/td>\n<td>\n<p align=\"left\">165<\/p>\n<\/td>\n<td>\n<p align=\"left\">165<\/p>\n<\/td>\n<td>\n<p align=\"left\">9%<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">CAPI2<\/p>\n<\/td>\n<td>\n<p align=\"left\">513<\/p>\n<\/td>\n<td>\n<p align=\"left\">513<\/p>\n<\/td>\n<td>\n<p align=\"left\">513<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u2014<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">GroupPolicy<\/p>\n<\/td>\n<td>\n<p align=\"left\">670<\/p>\n<\/td>\n<td>\n<p align=\"left\">670<\/p>\n<\/td>\n<td>\n<p align=\"left\">670<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u2014<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">WSAT<\/p>\n<\/td>\n<td>\n<p align=\"left\">126<\/p>\n<\/td>\n<td>\n<p align=\"left\">126<\/p>\n<\/td>\n<td>\n<p align=\"left\">126<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u2014<\/p>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n<\/div>\n<h4>\u0427\u0442\u043e \u0438\u043c\u0435\u043d\u043d\u043e \u043e\u043a\u0430\u0437\u0430\u043b\u043e\u0441\u044c \u0432 \u043f\u043e\u0442\u0435\u0440\u044f\u043d\u043d\u044b\u0445 96%<\/h4>\n<figure class=\"full-width \"><img decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/c67\/de9\/cf7\/c67de9cf70570aff1c207b6ee452799b.png\" alt=\"\u0428\u043a\u0430\u043b\u0430 \u0436\u0443\u0440\u043d\u0430\u043b\u0430 \u043d\u0430 45 \u043c\u0438\u043d\u0443\u0442: \u043f\u0440\u043e\u0447\u0438\u0442\u0430\u043d\u043d\u043e\u0435 \u043e\u043a\u043d\u043e \u2014 \u043f\u0435\u0440\u0432\u044b\u0435 34 \u0441\u0435\u043a\u0443\u043d\u0434\u044b, \u0432\u0441\u0451 \u043e\u0441\u0442\u0430\u043b\u044c\u043d\u043e\u0435 \u0441 \u0441\u043e\u0431\u044b\u0442\u0438\u044f\u043c\u0438 \u0430\u0442\u0430\u043a\u0438 \u043f\u0430\u0440\u0441\u0435\u0440 \u043d\u0435 \u0443\u0432\u0438\u0434\u0435\u043b\" width=\"2320\" height=\"1104\" sizes=\"auto, (max-width: 780px) 100vw, 50vw\" srcset=\"https:\/\/habrastorage.org\/r\/w780\/getpro\/habr\/upload_files\/c67\/de9\/cf7\/c67de9cf70570aff1c207b6ee452799b.png 780w,&#10;       https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/c67\/de9\/cf7\/c67de9cf70570aff1c207b6ee452799b.png 781w\" loading=\"lazy\" decode=\"async\"\/><\/p>\n<div><figcaption>\u0428\u043a\u0430\u043b\u0430 \u0436\u0443\u0440\u043d\u0430\u043b\u0430 \u043d\u0430 45 \u043c\u0438\u043d\u0443\u0442: \u043f\u0440\u043e\u0447\u0438\u0442\u0430\u043d\u043d\u043e\u0435 \u043e\u043a\u043d\u043e \u2014 \u043f\u0435\u0440\u0432\u044b\u0435 34 \u0441\u0435\u043a\u0443\u043d\u0434\u044b, \u0432\u0441\u0451 \u043e\u0441\u0442\u0430\u043b\u044c\u043d\u043e\u0435 \u0441 \u0441\u043e\u0431\u044b\u0442\u0438\u044f\u043c\u0438 \u0430\u0442\u0430\u043a\u0438 \u043f\u0430\u0440\u0441\u0435\u0440 \u043d\u0435 \u0443\u0432\u0438\u0434\u0435\u043b<\/figcaption><\/div>\n<\/figure>\n<p>\u042d\u0442\u043e \u043d\u0435 \u0430\u0431\u0441\u0442\u0440\u0430\u043a\u0442\u043d\u0430\u044f \u00ab\u0447\u0430\u0441\u0442\u044c \u0434\u0430\u043d\u043d\u044b\u0445\u00bb. \u0412\u043e\u0442 \u0430\u0442\u0430\u043a\u0430, \u0432\u043e\u0441\u0441\u0442\u0430\u043d\u043e\u0432\u043b\u0435\u043d\u043d\u0430\u044f \u043f\u043e \u043f\u043e\u043b\u043d\u043e\u043c\u0443 \u0436\u0443\u0440\u043d\u0430\u043b\u0443. \u0412\u0440\u0435\u043c\u044f \u2014 \u043e\u0442 \u043f\u0435\u0440\u0432\u043e\u0439 \u0437\u0430\u043f\u0438\u0441\u0438 \u0436\u0443\u0440\u043d\u0430\u043b\u0430, <code>EventRecordID<\/code> \u2014 \u043f\u043e\u0434\u043b\u0438\u043d\u043d\u044b\u0435:<\/p>\n<div>\n<div class=\"table\">\n<table>\n<tbody>\n<tr>\n<th>\n<p align=\"left\"><code>EventRecordID<\/code><\/p>\n<\/th>\n<th>\n<p align=\"left\">\u0394 \u043e\u0442 \u043d\u0430\u0447\u0430\u043b\u0430<\/p>\n<\/th>\n<th>\n<p align=\"left\">\u0421\u043e\u0431\u044b\u0442\u0438\u0435<\/p>\n<\/th>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">11193<\/p>\n<\/td>\n<td>\n<p align=\"left\">0:00<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u043f\u0435\u0440\u0432\u0430\u044f \u0437\u0430\u043f\u0438\u0441\u044c \u0436\u0443\u0440\u043d\u0430\u043b\u0430<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\"><strong>11286<\/strong><\/p>\n<\/td>\n<td>\n<p align=\"left\"><strong>+0:34<\/strong><\/p>\n<\/td>\n<td>\n<p align=\"left\"><strong>\u043f\u043e\u0441\u043b\u0435\u0434\u043d\u044f\u044f \u0437\u0430\u043f\u0438\u0441\u044c, \u043a\u043e\u0442\u043e\u0440\u0443\u044e \u0443\u0432\u0438\u0434\u0435\u043b <\/strong><code><strong>python-evtx<\/strong><\/code><\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">12251<\/p>\n<\/td>\n<td>\n<p align=\"left\">+9:39<\/p>\n<\/td>\n<td>\n<p align=\"left\"><code>net user \/domain<\/code> \u2014 \u0440\u0430\u0437\u0432\u0435\u0434\u043a\u0430 \u0443\u0447\u0451\u0442\u043e\u043a<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">12257<\/p>\n<\/td>\n<td>\n<p align=\"left\">+10:14<\/p>\n<\/td>\n<td>\n<p align=\"left\"><code>net user &lt;acct&gt; ******** \/add<\/code> \u2014 \u0441\u043e\u0437\u0434\u0430\u043d\u0438\u0435 \u0443\u0447\u0451\u0442\u043a\u0438<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">12272<\/p>\n<\/td>\n<td>\n<p align=\"left\">+11:54<\/p>\n<\/td>\n<td>\n<p align=\"left\"><code>net localgroup Administrators &lt;acct&gt; \/add<\/code><\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">12279<\/p>\n<\/td>\n<td>\n<p align=\"left\">+12:09<\/p>\n<\/td>\n<td>\n<p align=\"left\"><code>net localgroup \"Remote Desktop Users\" &lt;acct&gt; \/add<\/code><\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">12420<\/p>\n<\/td>\n<td>\n<p align=\"left\">+12:54<\/p>\n<\/td>\n<td>\n<p align=\"left\"><code>AnyDesk.exe --control<\/code> \u2014 \u0443\u0434\u0430\u043b\u0451\u043d\u043d\u044b\u0439 \u0434\u043e\u0441\u0442\u0443\u043f<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">12510<\/p>\n<\/td>\n<td>\n<p align=\"left\">+15:17<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u0441\u0435\u0442\u0435\u0432\u043e\u0439 \u0441\u043a\u0430\u043d\u0435\u0440 \u0441 \u0440\u0430\u0431\u043e\u0447\u0435\u0433\u043e \u0441\u0442\u043e\u043b\u0430 \u2014 \u0440\u0430\u0437\u0432\u0435\u0434\u043a\u0430 \u0441\u0435\u0442\u0438<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">12741<\/p>\n<\/td>\n<td>\n<p align=\"left\">+17:59<\/p>\n<\/td>\n<td>\n<p align=\"left\"><code>LaZagne.exe<\/code> \u2014 \u0434\u0430\u043c\u043f \u0441\u043e\u0445\u0440\u0430\u043d\u0451\u043d\u043d\u044b\u0445 \u0443\u0447\u0451\u0442\u043d\u044b\u0445 \u0434\u0430\u043d\u043d\u044b\u0445<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">12799<\/p>\n<\/td>\n<td>\n<p align=\"left\">+18:19<\/p>\n<\/td>\n<td>\n<p align=\"left\"><code>WinRAR a ... -- . &lt;\u0432\u0435\u0431-\u043a\u0430\u0442\u0430\u043b\u043e\u0433&gt;<\/code> \u2014 \u0441\u0431\u043e\u0440 \u0434\u0430\u043d\u043d\u044b\u0445<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">12818<\/p>\n<\/td>\n<td>\n<p align=\"left\">+19:16<\/p>\n<\/td>\n<td>\n<p align=\"left\"><code>WinRAR a ... -- . &lt;\u043a\u0430\u0442\u0430\u043b\u043e\u0433 \u0431\u044d\u043a\u0430\u043f\u043e\u0432 \u0411\u0414&gt;<\/code><\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">13002<\/p>\n<\/td>\n<td>\n<p align=\"left\">+26:44<\/p>\n<\/td>\n<td>\n<p align=\"left\"><code>cryptor.exe -p \"&lt;\u0432\u0435\u0431-\u043a\u0430\u0442\u0430\u043b\u043e\u0433&gt;\" -ef<\/code><\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">13014<\/p>\n<\/td>\n<td>\n<p align=\"left\">+27:14<\/p>\n<\/td>\n<td>\n<p align=\"left\"><code>cryptor.exe -p \"&lt;\u043a\u0430\u0442\u0430\u043b\u043e\u0433 \u0431\u044d\u043a\u0430\u043f\u043e\u0432 \u0411\u0414&gt;\" -ef<\/code><\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">13501<\/p>\n<\/td>\n<td>\n<p align=\"left\">+45:07<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u043f\u043e\u0441\u043b\u0435\u0434\u043d\u044f\u044f \u0437\u0430\u043f\u0438\u0441\u044c \u0436\u0443\u0440\u043d\u0430\u043b\u0430<\/p>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n<\/div>\n<p>\u041f\u0430\u0440\u0441\u0435\u0440 \u043e\u0441\u0442\u0430\u043d\u043e\u0432\u0438\u043b\u0441\u044f \u043d\u0430 \u0437\u0430\u043f\u0438\u0441\u0438 11286. \u041f\u0435\u0440\u0432\u043e\u0435 \u0441\u043e\u0431\u044b\u0442\u0438\u0435 \u0430\u0442\u0430\u043a\u0438 \u2014 12251. \u041c\u0435\u0436\u0434\u0443 \u043d\u0438\u043c\u0438 964 \u0437\u0430\u043f\u0438\u0441\u0438, \u0438 \u043d\u0438 \u043e\u0434\u043d\u043e\u0439 \u0438\u0437 \u043d\u0438\u0445 \u043e\u043d \u043d\u0435 \u0443\u0432\u0438\u0434\u0435\u043b.<\/p>\n<p>\u0412 \u043f\u0440\u043e\u0447\u0438\u0442\u0430\u043d\u043d\u044b\u0445 94 \u0437\u0430\u043f\u0438\u0441\u044f\u0445 \u043d\u0435\u0442 \u0432\u043e\u043e\u0431\u0449\u0435 \u043d\u0438\u0447\u0435\u0433\u043e: 34 \u0441\u0435\u043a\u0443\u043d\u0434\u044b \u0437\u0430\u0433\u0440\u0443\u0437\u043e\u0447\u043d\u043e\u0433\u043e \u0448\u0443\u043c\u0430, <code>svchost<\/code>, <code>mscorsvw<\/code>, \u043a\u043e\u043c\u043f\u0438\u043b\u044f\u0446\u0438\u044f \u043d\u0430\u0442\u0438\u0432\u043d\u044b\u0445 \u043e\u0431\u0440\u0430\u0437\u043e\u0432 .NET. \u0421\u043a\u0440\u0438\u043f\u0442 \u043e\u0442\u0440\u0430\u0431\u043e\u0442\u0430\u043b \u0441 \u043a\u043e\u0434\u043e\u043c 0, \u0432\u044b\u0434\u0430\u043b \u0430\u043a\u043a\u0443\u0440\u0430\u0442\u043d\u044b\u0439 \u0441\u043f\u0438\u0441\u043e\u043a \u0441\u043e\u0431\u044b\u0442\u0438\u0439 \u2014 \u0438 \u0432 \u044d\u0442\u043e\u043c \u0441\u043f\u0438\u0441\u043a\u0435 \u0434\u0432\u043e\u0439\u043d\u043e\u0435 \u0432\u044b\u043c\u043e\u0433\u0430\u0442\u0435\u043b\u044c\u0441\u0442\u0432\u043e \u0432\u044b\u0433\u043b\u044f\u0434\u0438\u0442 \u043a\u0430\u043a \u0442\u0438\u0448\u0438\u043d\u0430.<\/p>\n<p>\u041e\u0442\u0434\u0435\u043b\u044c\u043d\u043e \u043e\u0442\u043c\u0435\u0447\u0443 \u0432\u0442\u043e\u0440\u0443\u044e \u0441\u0442\u0440\u043e\u043a\u0443 \u0442\u0430\u0431\u043b\u0438\u0446\u044b \u043f\u043e\u0442\u0435\u0440\u044c. TS-RCM \u2014 \u0436\u0443\u0440\u043d\u0430\u043b, \u0433\u0434\u0435 \u0436\u0438\u0432\u0451\u0442 EID 1149, \u0441\u0430\u043c\u043e\u0435 \u0440\u0430\u043d\u043d\u0435\u0435 \u0441\u0432\u0438\u0434\u0435\u0442\u0435\u043b\u044c\u0441\u0442\u0432\u043e RDP-\u0430\u0443\u0442\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u0438. \u0410\u0442\u0430\u043a\u0443\u044e\u0449\u0438\u0439 \u0434\u043e\u0431\u0430\u0432\u0438\u043b \u0441\u0432\u043e\u044e \u0443\u0447\u0451\u0442\u043a\u0443 \u0432 <code>Remote Desktop Users<\/code>; \u043f\u043e\u0442\u0435\u0440\u044f 69% \u044d\u0442\u043e\u0433\u043e \u0436\u0443\u0440\u043d\u0430\u043b\u0430 \u0431\u044c\u0451\u0442 \u0440\u043e\u0432\u043d\u043e \u0442\u0443\u0434\u0430.<\/p>\n<h4>\u00ab\u0422\u0430\u043a \u044d\u0442\u043e \u0436\u0435 \u0434\u043e\u043a\u0443\u043c\u0435\u043d\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u0435 \u043f\u043e\u0432\u0435\u0434\u0435\u043d\u0438\u0435\u00bb<\/h4>\n<p>\u0414\u0430, \u0438 \u0434\u043e\u043a\u0441\u0442\u0440\u0438\u043d\u0433 \u0447\u0435\u0441\u0442\u043d\u044b\u0439:<\/p>\n<blockquote>\n<p>If <code>include_inactive<\/code> is set to true, enumerate chunks beyond those declared in the file header (<strong>and may therefore be corrupt<\/strong>).<\/p>\n<\/blockquote>\n<p>\u0414\u043b\u044f \u043f\u0430\u0440\u0441\u0435\u0440\u0430 \u043e\u0431\u0449\u0435\u0433\u043e \u043d\u0430\u0437\u043d\u0430\u0447\u0435\u043d\u0438\u044f \u043a\u043e\u043d\u0441\u0435\u0440\u0432\u0430\u0442\u0438\u0432\u043d\u044b\u0439 \u0434\u0435\u0444\u043e\u043b\u0442 \u043c\u043e\u0436\u043d\u043e \u0437\u0430\u0449\u0438\u0442\u0438\u0442\u044c: \u043d\u0435 \u043b\u0435\u0437\u0442\u044c \u0437\u0430 \u043f\u0440\u0435\u0434\u0435\u043b\u044b \u0442\u043e\u0433\u043e, \u0447\u0442\u043e \u0437\u0430\u044f\u0432\u0438\u043b \u0444\u0430\u0439\u043b, \u2014 \u0440\u0430\u0437\u0443\u043c\u043d\u0430\u044f \u043f\u043e\u0437\u0438\u0446\u0438\u044f. \u041d\u043e \u0432 \u0444\u043e\u0440\u0435\u043d\u0437\u0438\u043a\u0435 \u044d\u0442\u043e\u0442 \u0434\u0435\u0444\u043e\u043b\u0442 \u043c\u0435\u043d\u044f\u0435\u0442 \u043f\u043e\u043b\u043d\u043e\u0442\u0443 \u043d\u0430 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u044c, \u043d\u0435 \u0441\u043e\u043e\u0431\u0449\u0430\u044f \u043e \u0440\u0430\u0437\u043c\u0435\u043d\u0435 \u043d\u0438 \u0441\u0442\u0440\u043e\u0447\u043a\u043e\u0439. \u0422\u044b \u043d\u0435 \u043f\u043e\u043b\u0443\u0447\u0430\u0435\u0448\u044c \u043d\u0438 warning&#8217;\u0430, \u043d\u0438 \u043d\u0435\u043d\u0443\u043b\u0435\u0432\u043e\u0433\u043e \u043a\u043e\u0434\u0430 \u0432\u043e\u0437\u0432\u0440\u0430\u0442\u0430 \u2014 \u0442\u044b \u043f\u043e\u043b\u0443\u0447\u0430\u0435\u0448\u044c \u0447\u0438\u0441\u043b\u043e, \u043a\u043e\u0442\u043e\u0440\u043e\u0435 \u0432\u044b\u0433\u043b\u044f\u0434\u0438\u0442 \u043a\u0430\u043a \u043e\u0442\u0432\u0435\u0442.<\/p>\n<p>\u0418 \u0432\u043e\u0442 \u0447\u0442\u043e \u043f\u0440\u0435\u0432\u0440\u0430\u0449\u0430\u0435\u0442 \u044d\u0442\u043e \u0438\u0437 \u00ab\u043d\u0430\u0441\u0442\u0440\u0430\u0438\u0432\u0430\u0435\u043c\u043e\u0433\u043e \u043f\u043e\u0432\u0435\u0434\u0435\u043d\u0438\u044f\u00bb \u0432 \u0433\u0440\u0430\u0431\u043b\u0438: \u0444\u043b\u0430\u0433 \u0435\u0441\u0442\u044c \u043d\u0430 \u0443\u0440\u043e\u0432\u043d\u0435 <code>FileHeader<\/code>, \u043d\u043e \u043d\u0435 \u043d\u0430 \u0443\u0440\u043e\u0432\u043d\u0435 \u0442\u043e\u0433\u043e \u043a\u043b\u0430\u0441\u0441\u0430, \u043a\u043e\u0442\u043e\u0440\u044b\u043c \u0432\u0441\u0435 \u043f\u043e\u043b\u044c\u0437\u0443\u044e\u0442\u0441\u044f.<\/p>\n<div>\n<div class=\"table\">\n<table>\n<tbody>\n<tr>\n<th>\n<p align=\"left\">\u041c\u0435\u0442\u043e\u0434<\/p>\n<\/th>\n<th>\n<p align=\"left\">\u0421\u0438\u0433\u043d\u0430\u0442\u0443\u0440\u0430<\/p>\n<\/th>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\"><code>Evtx.records()<\/code><\/p>\n<\/td>\n<td>\n<p align=\"left\"><code>(self)<\/code><\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\"><code>Evtx.chunks()<\/code><\/p>\n<\/td>\n<td>\n<p align=\"left\"><code>(self)<\/code><\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\"><code>FileHeader.chunks()<\/code><\/p>\n<\/td>\n<td>\n<p align=\"left\"><code>(self, include_inactive=False)<\/code><\/p>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n<\/div>\n<p><code>log.records(include_inactive=True)<\/code> \u2014 \u044d\u0442\u043e <code>TypeError<\/code>. \u0412\u0435\u0440\u0445\u043d\u0435\u0443\u0440\u043e\u0432\u043d\u0435\u0432\u044b\u0439 \u043a\u043b\u0430\u0441\u0441 <code>Evtx<\/code> \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440 \u043d\u0435 \u043f\u0440\u043e\u0431\u0440\u0430\u0441\u044b\u0432\u0430\u0435\u0442: \u0435\u0433\u043e <code>chunks()<\/code> \u0432\u044b\u0437\u044b\u0432\u0430\u0435\u0442 <code>self._fh.chunks()<\/code> \u0431\u0435\u0437 \u0430\u0440\u0433\u0443\u043c\u0435\u043d\u0442\u043e\u0432. \u0427\u0442\u043e\u0431\u044b \u043e\u0431\u043e\u0439\u0442\u0438 \u0434\u0435\u0444\u043e\u043b\u0442, \u043d\u0430\u0434\u043e \u0441\u043f\u0443\u0441\u0442\u0438\u0442\u044c\u0441\u044f \u043d\u0430 \u0443\u0440\u043e\u0432\u0435\u043d\u044c \u043d\u0438\u0436\u0435 \u2014 \u043a <code>FileHeader<\/code>:<\/p>\n<pre><code class=\"python\">from Evtx.Evtx import Evtxwith Evtx(\"Sysmon.evtx\") as log:    for chunk in log.get_file_header().chunks(include_inactive=True):        for record in chunk.records():            ...<\/code><div class=\"code-explainer\"><a href=\"https:\/\/sourcecraft.dev\/\" class=\"tm-button code-explainer__link\" style=\"visibility: hidden;\"><img style=\"width:14px;height:14px;object-fit:cover;object-position:left;\"\/><\/a><\/div><\/pre>\n<p>\u0412\u043e\u0442 \u0442\u0430\u043a \u2014 \u0432\u0441\u0435 2309 \u0437\u0430\u043f\u0438\u0441\u0435\u0439. \u0422\u043e \u0435\u0441\u0442\u044c \u043b\u0435\u043a\u0430\u0440\u0441\u0442\u0432\u043e \u0432 \u0431\u0438\u0431\u043b\u0438\u043e\u0442\u0435\u043a\u0435 \u0435\u0441\u0442\u044c, \u043d\u043e \u043c\u0435\u0436\u0434\u0443 \u0442\u0443\u0442\u043e\u0440\u0438\u0430\u043b\u044c\u043d\u044b\u043c <code>log.records()<\/code> \u0438 \u0438\u043c \u043b\u0435\u0436\u0438\u0442 \u0437\u043d\u0430\u043d\u0438\u0435 \u043e \u0442\u043e\u043c, \u0447\u0442\u043e \u0443 \u0444\u0430\u0439\u043b\u0430 \u0431\u044b\u0432\u0430\u0435\u0442 \u0437\u0430\u0433\u043e\u043b\u043e\u0432\u043e\u043a, \u043a\u043e\u0442\u043e\u0440\u043e\u043c\u0443 \u043d\u0435\u043b\u044c\u0437\u044f \u0432\u0435\u0440\u0438\u0442\u044c. \u0410 \u044d\u0442\u043e \u0440\u043e\u0432\u043d\u043e \u0442\u043e \u0437\u043d\u0430\u043d\u0438\u0435, \u0440\u0430\u0434\u0438 \u043a\u043e\u0442\u043e\u0440\u043e\u0433\u043e \u0432\u044b \u0431\u044b \u0438 \u043f\u043e\u043b\u0435\u0437\u043b\u0438 \u0438\u0441\u043a\u0430\u0442\u044c \u043b\u0435\u043a\u0430\u0440\u0441\u0442\u0432\u043e.<\/p>\n<p>\u0426\u0435\u043d\u0430 \u0443 \u0444\u043b\u0430\u0433\u0430 \u0442\u043e\u0436\u0435 \u0435\u0441\u0442\u044c: <code>sys.maxsize<\/code> \u0437\u0430\u0441\u0442\u0430\u0432\u043b\u044f\u0435\u0442 \u0438\u0434\u0442\u0438 \u0434\u043e \u043a\u043e\u043d\u0446\u0430 \u0431\u0443\u0444\u0435\u0440\u0430, \u0432\u043a\u043b\u044e\u0447\u0430\u044f \u0441\u043b\u043e\u0442\u044b, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 chunk&#8217;\u0430\u043c\u0438 \u043d\u0435 \u044f\u0432\u043b\u044f\u044e\u0442\u0441\u044f. \u041d\u0430 \u043c\u043e\u0451\u043c Sysmon \u0441 \u0442\u0440\u0435\u043c\u044f \u043c\u0443\u0441\u043e\u0440\u043d\u044b\u043c\u0438 \u0441\u043b\u043e\u0442\u0430\u043c\u0438 \u0432 \u0445\u0432\u043e\u0441\u0442\u0435 \u044d\u0442\u043e \u043e\u0442\u0440\u0430\u0431\u043e\u0442\u0430\u043b\u043e \u0431\u0435\u0437 \u0438\u0441\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u0439 \u0438 \u0432\u044b\u0434\u0430\u043b\u043e \u0440\u043e\u0432\u043d\u043e 2309 \u2014 \u043d\u043e \u0440\u0430\u0441\u0441\u0447\u0438\u0442\u044b\u0432\u0430\u0442\u044c \u043d\u0430 \u0442\u0430\u043a\u0443\u044e \u0432\u0435\u0436\u043b\u0438\u0432\u043e\u0441\u0442\u044c \u044f \u0431\u044b \u043d\u0435 \u0441\u0442\u0430\u043b: \u043e\u0431\u0432\u044f\u0437\u044b\u0432\u0430\u0439\u0442\u0435 <code>try\/except<\/code> \u0432\u043e\u043a\u0440\u0443\u0433 \u0432\u043d\u0443\u0442\u0440\u0435\u043d\u043d\u0435\u0433\u043e \u0446\u0438\u043a\u043b\u0430.<\/p>\n<p>\u0414\u043b\u044f \u0441\u0440\u0430\u0432\u043d\u0435\u043d\u0438\u044f \u2014 rust-\u043f\u0430\u0440\u0441\u0435\u0440 <a href=\"https:\/\/github.com\/omerbenamram\/evtx\" rel=\"noopener noreferrer nofollow\"><code>omerbenamram\/evtx<\/code><\/a> (\u0442\u043e\u0442, \u0447\u0442\u043e \u0437\u0430 <code>evtx_dump<\/code> \u0438 \u043f\u0438\u0442\u043e\u043d\u043e\u0432\u0441\u043a\u0438\u043c \u0431\u0438\u043d\u0434\u0438\u043d\u0433\u043e\u043c <code>evtx<\/code>). \u041e\u043d \u0437\u0430\u0433\u043e\u043b\u043e\u0432\u043a\u0443 \u0444\u0430\u0439\u043b\u0430 \u043d\u0435 \u0432\u0435\u0440\u0438\u0442 \u0438 \u0438\u0434\u0451\u0442 \u043f\u043e \u0432\u0441\u0435\u043c \u0441\u043b\u043e\u0442\u0430\u043c \u0434\u043e \u043a\u043e\u043d\u0446\u0430, \u0438 \u043d\u0430 \u044d\u0442\u043e\u043c Sysmon \u0432\u0435\u0440\u0441\u0438\u044f 0.12.1 \u0431\u0440\u043e\u0441\u0430\u0435\u0442 <code>RuntimeError: Failed to parse chunk header<\/code> \u2014 \u0441\u043f\u043e\u0442\u044b\u043a\u0430\u0435\u0442\u0441\u044f \u043e \u0442\u0435 \u0441\u0430\u043c\u044b\u0435 \u0442\u0440\u0438 \u043c\u0443\u0441\u043e\u0440\u043d\u044b\u0445 \u0441\u043b\u043e\u0442\u0430. \u0427\u0442\u043e\u0431\u044b \u043f\u043e\u043b\u0443\u0447\u0438\u0442\u044c \u0447\u0438\u0441\u043b\u043e, \u043e\u0448\u0438\u0431\u043a\u0443 \u043d\u0430\u0434\u043e \u043f\u043e\u0439\u043c\u0430\u0442\u044c \u0438 \u043e\u0431\u043e\u0439\u0442\u0438 chunk&#8217;\u0438 \u0432\u0440\u0443\u0447\u043d\u0443\u044e; \u0442\u043e\u0433\u0434\u0430 \u043f\u043e\u043b\u0443\u0447\u0430\u0435\u0442\u0441\u044f 2309. \u0420\u0430\u0437\u043d\u0438\u0446\u0430 \u0441 python-evtx \u043d\u0435 \u0432 \u0447\u0438\u0441\u043b\u0435, \u0430 \u0432 \u0433\u0440\u043e\u043c\u043a\u043e\u0441\u0442\u0438: \u043e\u0434\u0438\u043d \u043c\u043e\u043b\u0447\u0438\u0442 \u0438 \u043e\u0442\u0434\u0430\u0451\u0442 94, \u0434\u0440\u0443\u0433\u043e\u0439 \u043e\u0442\u043a\u0430\u0437\u044b\u0432\u0430\u0435\u0442\u0441\u044f \u0440\u0430\u0431\u043e\u0442\u0430\u0442\u044c, \u043f\u043e\u043a\u0430 \u0432\u044b \u043d\u0435 \u0440\u0430\u0437\u0431\u0435\u0440\u0451\u0442\u0435\u0441\u044c \u0441 \u0442\u0440\u0435\u043c\u044f \u0441\u043b\u043e\u0442\u0430\u043c\u0438.<\/p>\n<p>\u041d\u0430\u0442\u0438\u0432\u043d\u044b\u0439 <code>wevtutil gli \/lf:true<\/code> \u043d\u0435\u0437\u0430\u0432\u0438\u0441\u0438\u043c\u043e \u043f\u043e\u0434\u0442\u0432\u0435\u0440\u0436\u0434\u0430\u0435\u0442: <code>numberOfLogRecords: 2309<\/code>.<\/p>\n<p><sub>\u041c\u0435\u043b\u043e\u0447\u044c \u0434\u043b\u044f \u043f\u0435\u0434\u0430\u043d\u0442\u043e\u0432: <\/sub><code><sub>chunk_count<\/sub><\/code><sub> \u2014 \u0434\u0432\u0443\u0445\u0431\u0430\u0439\u0442\u043e\u0432\u043e\u0435 \u043f\u043e\u043b\u0435, \u0442\u043e \u0435\u0441\u0442\u044c \u0431\u043e\u043b\u044c\u0448\u0435 65 535 chunk&#8217;\u043e\u0432 (\u043f\u0440\u0438\u043c\u0435\u0440\u043d\u043e 4 \u0413\u0411) \u0438\u043c \u0432 \u043f\u0440\u0438\u043d\u0446\u0438\u043f\u0435 \u043d\u0435 \u043e\u043f\u0438\u0441\u0430\u0442\u044c. \u041d\u0430 \u0442\u0430\u043a\u0438\u0445 \u0440\u0430\u0437\u043c\u0435\u0440\u0430\u0445 \u0436\u0443\u0440\u043d\u0430\u043b\u043e\u0432 \u00ab\u0437\u0430\u043d\u0438\u0436\u0435\u043d\u043d\u044b\u0439 <\/sub><code><sub>chunk_count<\/sub><\/code><sub>\u00bb \u043f\u0435\u0440\u0435\u0441\u0442\u0430\u0451\u0442 \u0431\u044b\u0442\u044c \u0430\u043d\u043e\u043c\u0430\u043b\u0438\u0435\u0439, \u043d\u043e \u0438 \u0436\u0443\u0440\u043d\u0430\u043b\u043e\u0432 \u0442\u0430\u043a\u0438\u0445 \u044f \u0436\u0438\u0432\u044c\u0451\u043c \u043d\u0435 \u0432\u0438\u0434\u0435\u043b.<\/sub><\/p>\n<h4>\u041f\u043e\u0432\u0442\u043e\u0440\u0438\u0442\u044c \u0443 \u0441\u0435\u0431\u044f \u0437\u0430 \u043c\u0438\u043d\u0443\u0442\u0443<\/h4>\n<p>\u0412\u0441\u0451 \u0432\u044b\u0448\u0435\u043e\u043f\u0438\u0441\u0430\u043d\u043d\u043e\u0435 \u043f\u0440\u043e\u0432\u0435\u0440\u044f\u0435\u0442\u0441\u044f \u0431\u0435\u0437 \u043c\u043e\u0438\u0445 \u0444\u0430\u0439\u043b\u043e\u0432, \u043d\u0430 \u043b\u044e\u0431\u043e\u0439 Windows-\u043c\u0430\u0448\u0438\u043d\u0435. \u041f\u043e\u043d\u0430\u0434\u043e\u0431\u0438\u0442\u0441\u044f <code>pip install python-evtx==0.8.1<\/code> \u0438 \u043a\u043e\u043d\u0441\u043e\u043b\u044c \u0430\u0434\u043c\u0438\u043d\u0438\u0441\u0442\u0440\u0430\u0442\u043e\u0440\u0430. \u042d\u043a\u0441\u043f\u043e\u0440\u0442\u0438\u0440\u0443\u0435\u043c \u0447\u0442\u043e-\u043d\u0438\u0431\u0443\u0434\u044c \u043c\u043d\u043e\u0433\u043e\u0447\u0430\u043d\u043a\u043e\u0432\u043e\u0435 \u0438 \u0437\u0430\u043d\u0438\u0437\u0438\u043c \u0435\u043c\u0443 <code>chunk_count<\/code> \u0440\u0443\u043a\u0430\u043c\u0438:<\/p>\n<pre><code class=\"bash\">wevtutil epl \"Windows PowerShell\" test.evtx<\/code><div class=\"code-explainer\"><a href=\"https:\/\/sourcecraft.dev\/\" class=\"tm-button code-explainer__link\" style=\"visibility: hidden;\"><img style=\"width:14px;height:14px;object-fit:cover;object-position:left;\"\/><\/a><\/div><\/pre>\n<p>\u0416\u0443\u0440\u043d\u0430\u043b \u043d\u0443\u0436\u0435\u043d \u0438\u043c\u0435\u043d\u043d\u043e \u0431\u043e\u043b\u044c\u0448\u043e\u0439: \u0435\u0441\u043b\u0438 \u0432 \u044d\u043a\u0441\u043f\u043e\u0440\u0442\u0435 \u043e\u0434\u0438\u043d chunk, \u0437\u0430\u043d\u0438\u0436\u0430\u0442\u044c \u043d\u0435\u0447\u0435\u0433\u043e \u0438 \u044d\u0444\u0444\u0435\u043a\u0442\u0430 \u043d\u0435 \u0431\u0443\u0434\u0435\u0442. \u00abWindows PowerShell\u00bb \u043d\u0430 \u0436\u0438\u0432\u043e\u0439 \u043c\u0430\u0448\u0438\u043d\u0435 \u043e\u0431\u044b\u0447\u043d\u043e \u043f\u043e\u0434\u0445\u043e\u0434\u0438\u0442; \u043f\u0440\u043e\u0432\u0435\u0440\u0438\u0442\u044c \u043c\u043e\u0436\u043d\u043e \u0442\u0435\u043c \u0436\u0435 \u0441\u043a\u0440\u0438\u043f\u0442\u043e\u043c \u0438\u0437 \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0435\u0433\u043e \u0440\u0430\u0437\u0434\u0435\u043b\u0430.<\/p>\n<pre><code class=\"python\">import shutil, structfrom Evtx.Evtx import Evtxshutil.copy(\"test.evtx\", \"faked.evtx\")with open(\"faked.evtx\", \"r+b\") as f:    f.seek(0x2A); f.write(struct.pack(\"&lt;H\", 1))   # chunk_count -&gt; 1    f.seek(0x78); f.write(struct.pack(\"&lt;I\", 1))   # flags -&gt; dirty, \u043d\u0430 \u043e\u0431\u0445\u043e\u0434 \u043d\u0435 \u0432\u043b\u0438\u044f\u0435\u0442for name in (\"test.evtx\", \"faked.evtx\"):    with Evtx(name) as log:        print(name, sum(1 for _ in log.records()))<\/code><div class=\"code-explainer\"><a href=\"https:\/\/sourcecraft.dev\/\" class=\"tm-button code-explainer__link\" style=\"visibility: hidden;\"><img style=\"width:14px;height:14px;object-fit:cover;object-position:left;\"\/><\/a><\/div><\/pre>\n<p>\u0423 \u043c\u0435\u043d\u044f \u043d\u0430 \u0444\u0430\u0439\u043b\u0435 \u0441 240 chunk&#8217;\u0430\u043c\u0438:<\/p>\n<pre><code>test.evtx 12307faked.evtx 50<\/code><div class=\"code-explainer\"><a href=\"https:\/\/sourcecraft.dev\/\" class=\"tm-button code-explainer__link\" style=\"visibility: hidden;\"><img style=\"width:14px;height:14px;object-fit:cover;object-position:left;\"\/><\/a><\/div><\/pre>\n<p>12 307 \u0437\u0430\u043f\u0438\u0441\u0435\u0439 \u043f\u0440\u0435\u0432\u0440\u0430\u0442\u0438\u043b\u0438\u0441\u044c \u0432 50 \u2014 0,4% \u0444\u0430\u0439\u043b\u0430, \u0431\u0435\u0437 \u0435\u0434\u0438\u043d\u043e\u0433\u043e \u043f\u0440\u0435\u0434\u0443\u043f\u0440\u0435\u0436\u0434\u0435\u043d\u0438\u044f. \u041f\u043e\u043f\u0443\u0442\u043d\u043e: CRC32 \u0432 <code>0x7C<\/code> \u044f \u043d\u0435 \u043f\u0435\u0440\u0435\u0441\u0447\u0438\u0442\u044b\u0432\u0430\u043b, \u0438 python-evtx \u044d\u0442\u043e\u0433\u043e \u043d\u0435 \u0437\u0430\u043c\u0435\u0442\u0438\u043b \u2014 \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u044c\u043d\u0443\u044e \u0441\u0443\u043c\u043c\u0443 \u0437\u0430\u0433\u043e\u043b\u043e\u0432\u043a\u0430 \u043e\u043d \u043f\u043e \u0443\u043c\u043e\u043b\u0447\u0430\u043d\u0438\u044e \u043d\u0435 \u043f\u0440\u043e\u0432\u0435\u0440\u044f\u0435\u0442.<\/p>\n<blockquote>\n<p><strong>\u041e\u0441\u0442\u043e\u0440\u043e\u0436\u043d\u043e.<\/strong> \u0415\u0441\u043b\u0438 \u0431\u0443\u0434\u0435\u0442\u0435 \u0441\u0440\u0430\u0432\u043d\u0438\u0432\u0430\u0442\u044c \u043f\u0430\u0440\u0441\u0435\u0440\u044b: \u043f\u0430\u043a\u0435\u0442\u044b <code>evtx<\/code> (rust-\u0431\u0438\u043d\u0434\u0438\u043d\u0433) \u0438 <code>python-evtx<\/code> \u043d\u0435 \u0443\u0436\u0438\u0432\u0430\u044e\u0442\u0441\u044f \u0432 \u043e\u0434\u043d\u043e\u043c venv \u043d\u0430 Windows \u0438 macOS. \u041f\u0435\u0440\u0432\u044b\u0439 \u0441\u0442\u0430\u0432\u0438\u0442 \u043a\u0430\u0442\u0430\u043b\u043e\u0433 <code>evtx<\/code>, \u0432\u0442\u043e\u0440\u043e\u0439 \u2014 <code>Evtx<\/code>, \u0430 \u0444\u0430\u0439\u043b\u043e\u0432\u0430\u044f \u0441\u0438\u0441\u0442\u0435\u043c\u0430 \u0440\u0435\u0433\u0438\u0441\u0442\u0440\u043e\u043d\u0435\u0437\u0430\u0432\u0438\u0441\u0438\u043c\u0430: \u0432\u0442\u043e\u0440\u043e\u0439 <code>pip install<\/code> \u0437\u0430\u0442\u0438\u0440\u0430\u0435\u0442 \u0441\u043e\u0434\u0435\u0440\u0436\u0438\u043c\u043e\u0435 \u043f\u0435\u0440\u0432\u043e\u0433\u043e. \u041f\u043b\u044e\u0441 \u043e\u0431\u0430 \u043a\u043b\u0430\u0434\u0443\u0442 \u0432 <code>bin<\/code> \u0441\u043a\u0440\u0438\u043f\u0442 \u0441 \u0438\u043c\u0435\u043d\u0435\u043c <code>evtx_dump<\/code>. \u0414\u0432\u0430 \u043e\u0442\u0434\u0435\u043b\u044c\u043d\u044b\u0445 \u043e\u043a\u0440\u0443\u0436\u0435\u043d\u0438\u044f.<\/p>\n<\/blockquote>\n<h3>\u041f\u043e\u0447\u0435\u043c\u0443 \u043f\u043e\u0438\u0441\u043a \u0434\u044b\u0440 \u0432 EventRecordID \u0432\u0430\u0441 \u043d\u0435 \u0441\u043f\u0430\u0441\u0451\u0442<\/h3>\n<p>\u041b\u043e\u0433\u0438\u0447\u043d\u0430\u044f \u0440\u0435\u0430\u043a\u0446\u0438\u044f: \u00ab\u043d\u0443 \u0442\u0430\u043a \u043f\u0440\u043e\u0432\u0435\u0440\u044c \u043d\u0435\u043f\u0440\u0435\u0440\u044b\u0432\u043d\u043e\u0441\u0442\u044c <code>EventRecordID<\/code>\u00bb. \u0423 <a href=\"https:\/\/github.com\/WithSecureLabs\/chainsaw\" rel=\"noopener noreferrer nofollow\">Chainsaw<\/a> \u0434\u043b\u044f \u044d\u0442\u043e\u0433\u043e \u0435\u0441\u0442\u044c <a href=\"https:\/\/github.com\/WithSecureLabs\/chainsaw#gaps-event-log-gap-detection\" rel=\"noopener noreferrer nofollow\">\u0433\u043e\u0442\u043e\u0432\u0430\u044f \u043a\u043e\u043c\u0430\u043d\u0434\u0430 <code>analyse gaps<\/code><\/a> \u2014 \u043e\u043d\u0430 \u0438\u0449\u0435\u0442 \u0434\u044b\u0440\u044b \u0432 \u043f\u043e\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u044c\u043d\u043e\u0441\u0442\u0438 <code>EventRecordID<\/code> \u0438 \u043f\u043e\u0434\u043e\u0437\u0440\u0438\u0442\u0435\u043b\u044c\u043d\u043e \u0434\u043b\u0438\u043d\u043d\u044b\u0435 \u0442\u0438\u0445\u0438\u0435 \u043e\u043a\u043d\u0430. \u0412 \u0441\u043f\u0440\u0430\u0432\u043a\u0435 \u043f\u0440\u044f\u043c\u043e \u0441\u043a\u0430\u0437\u0430\u043d\u043e, \u043f\u0440\u043e\u0442\u0438\u0432 \u0447\u0435\u0433\u043e \u043e\u043d\u0430: <em>possible selective record deletion<\/em>. \u0422\u043e \u0435\u0441\u0442\u044c \u043f\u0440\u043e\u0442\u0438\u0432 \u0430\u043d\u0442\u0438\u0444\u043e\u0440\u0435\u043d\u0437\u0438\u043a\u0438, \u043a\u043e\u0433\u0434\u0430 \u0430\u0442\u0430\u043a\u0443\u044e\u0449\u0438\u0439 \u0432\u044b\u0431\u043e\u0440\u043e\u0447\u043d\u043e \u0432\u044b\u0440\u0435\u0437\u0430\u0435\u0442 \u0437\u0430\u043f\u0438\u0441\u0438, \u043d\u0435 \u0442\u0440\u043e\u0433\u0430\u044f \u0436\u0443\u0440\u043d\u0430\u043b \u0446\u0435\u043b\u0438\u043a\u043e\u043c (\u0447\u0442\u043e\u0431\u044b \u043d\u0435 \u043f\u043e\u0440\u043e\u0434\u0438\u0442\u044c \u0448\u0443\u043c\u043d\u044b\u0439 EID 1102).<\/p>\n<p>\u041f\u0440\u043e\u0431\u043b\u0435\u043c\u0430: \u0442\u0430\u043a\u0430\u044f \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0430 \u0440\u0430\u0431\u043e\u0442\u0430\u0435\u0442 \u043f\u043e\u0432\u0435\u0440\u0445 \u0442\u043e\u0433\u043e, \u0447\u0442\u043e \u043f\u0430\u0440\u0441\u0435\u0440 \u0441\u0443\u043c\u0435\u043b \u043f\u0440\u043e\u0447\u0438\u0442\u0430\u0442\u044c.<\/p>\n<p>\u041f\u0440\u043e\u0432\u0435\u0440\u0438\u043c \u043d\u0435 \u043d\u0430 \u0441\u043b\u043e\u0432\u0430\u0445. \u0421\u0440\u0435\u0437, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0440\u0435\u0430\u043b\u044c\u043d\u043e \u043f\u0440\u043e\u0447\u0438\u0442\u0430\u043b python-evtx, \u2014 \u044d\u0442\u043e \u0437\u0430\u0433\u043e\u043b\u043e\u0432\u043e\u043a \u0444\u0430\u0439\u043b\u0430 \u043f\u043b\u044e\u0441 \u043f\u0435\u0440\u0432\u044b\u0439 chunk, \u043f\u0435\u0440\u0432\u044b\u0435 69 632 \u0431\u0430\u0439\u0442\u0430. \u041e\u0444\u043e\u0440\u043c\u0438\u043c \u0438\u0445 \u043a\u0430\u043a \u0441\u0430\u043c\u043e\u0441\u0442\u043e\u044f\u0442\u0435\u043b\u044c\u043d\u044b\u0439 <code>.evtx<\/code> (\u043e\u043d, \u043a\u0441\u0442\u0430\u0442\u0438, \u043f\u043e\u043b\u043d\u043e\u0441\u0442\u044c\u044e \u0441\u0430\u043c\u043e\u0441\u043e\u0433\u043b\u0430\u0441\u043e\u0432\u0430\u043d: \u0437\u0430\u0433\u043e\u043b\u043e\u0432\u043e\u043a \u0432\u0435\u0434\u044c \u0438 \u0437\u0430\u044f\u0432\u043b\u044f\u0435\u0442 \u043e\u0434\u0438\u043d chunk) \u0438 \u0441\u043a\u043e\u0440\u043c\u0438\u043c Chainsaw:<\/p>\n<pre><code>$ chainsaw analyse gaps Sysmon-as-read-by-python-evtx.evtx[+] Channels seen:    - Microsoft-Windows-Sysmon\/Operational: 94 records, RecordID 11193..11286,      2025-11-03T12:15:49+00:00 -&gt; 2025-11-03T12:16:23+00:00[+] No RecordID gaps detected[+] No suspicious time gaps detected<\/code><div class=\"code-explainer\"><a href=\"https:\/\/sourcecraft.dev\/\" class=\"tm-button code-explainer__link\" style=\"visibility: hidden;\"><img style=\"width:14px;height:14px;object-fit:cover;object-position:left;\"\/><\/a><\/div><\/pre>\n<p><code>No RecordID gaps detected<\/code>. \u041f\u0440\u043e\u043f\u0443\u0441\u043a\u043e\u0432 \u043d\u0435\u0442, \u0432\u0441\u0451 \u0447\u0438\u0441\u0442\u043e. \u0412\u044b \u043f\u043e\u043b\u0443\u0447\u0430\u0435\u0442\u0435 \u043f\u043e\u0434\u0442\u0432\u0435\u0440\u0436\u0434\u0435\u043d\u0438\u0435 \u0446\u0435\u043b\u043e\u0441\u0442\u043d\u043e\u0441\u0442\u0438 \u0434\u0430\u043d\u043d\u044b\u0445, \u043a\u043e\u0442\u043e\u0440\u044b\u0445 \u0443 \u0432\u0430\u0441 \u043d\u0435\u0442.<\/p>\n<p>\u041f\u043e\u0441\u043c\u043e\u0442\u0440\u0438\u0442\u0435 \u043d\u0430 \u0432\u0440\u0435\u043c\u0435\u043d\u043d\u043e\u0439 \u0434\u0438\u0430\u043f\u0430\u0437\u043e\u043d: \u0441\u0440\u0435\u0437 \u043f\u043e\u043a\u0440\u044b\u0432\u0430\u0435\u0442 \u043f\u0435\u0440\u0432\u044b\u0435 34 \u0441\u0435\u043a\u0443\u043d\u0434\u044b \u0436\u0443\u0440\u043d\u0430\u043b\u0430, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0432 \u0440\u0435\u0430\u043b\u044c\u043d\u043e\u0441\u0442\u0438 \u0442\u044f\u043d\u0435\u0442\u0441\u044f 45 \u043c\u0438\u043d\u0443\u0442. \u0428\u0438\u0444\u0440\u043e\u0432\u0430\u043b\u044c\u0449\u0438\u043a \u0437\u0430\u043f\u0443\u0441\u0442\u0438\u0442\u0441\u044f \u0447\u0435\u0440\u0435\u0437 26 \u043c\u0438\u043d\u0443\u0442 \u043f\u043e\u0441\u043b\u0435 \u043a\u043e\u043d\u0446\u0430 \u044d\u0442\u043e\u0433\u043e \u043e\u043a\u043d\u0430 \u2014 \u0438 \u0434\u043b\u044f \u0442\u0430\u043a\u043e\u0433\u043e \u043f\u0430\u0439\u043f\u043b\u0430\u0439\u043d\u0430 \u043e\u043d \u043d\u0435 \u0437\u0430\u043f\u0443\u0441\u0442\u0438\u0442\u0441\u044f \u0432\u043e\u0432\u0441\u0435, \u0441 \u043e\u0444\u0438\u0446\u0438\u0430\u043b\u044c\u043d\u044b\u043c \u0448\u0442\u0430\u043c\u043f\u043e\u043c \u00abgaps not detected\u00bb.<\/p>\n<p>\u0414\u043b\u044f \u043f\u043e\u043b\u043d\u043e\u0442\u044b \u2014 \u0442\u043e\u0442 \u0436\u0435 \u0430\u043d\u0430\u043b\u0438\u0437 \u043f\u043e\u043b\u043d\u043e\u0433\u043e \u0444\u0430\u0439\u043b\u0430:<\/p>\n<pre><code>$ chainsaw analyse gaps --skip-errors Sysmon.evtx[+] Channels seen:    - Microsoft-Windows-Sysmon\/Operational: 2309 records, RecordID 11193..13501,      2025-11-03T12:15:49+00:00 -&gt; 2025-11-03T13:00:56+00:00[+] No RecordID gaps detected[+] No suspicious time gaps detected<\/code><div class=\"code-explainer\"><a href=\"https:\/\/sourcecraft.dev\/\" class=\"tm-button code-explainer__link\" style=\"visibility: hidden;\"><img style=\"width:14px;height:14px;object-fit:cover;object-position:left;\"\/><\/a><\/div><\/pre>\n<p>\u0422\u043e\u0436\u0435 \u0447\u0438\u0441\u0442\u043e \u2014 \u0438 \u044d\u0442\u043e \u043f\u0440\u0430\u0432\u0438\u043b\u044c\u043d\u043e: \u0438\u0437 \u0444\u0430\u0439\u043b\u0430 \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u0442\u0435\u043b\u044c\u043d\u043e \u043d\u0438\u0447\u0435\u0433\u043e \u043d\u0435 \u0443\u0434\u0430\u043b\u044f\u043b\u0438. \u041e\u0431\u0440\u0435\u0437\u043a\u0430 \u0431\u044b\u043b\u0430 \u043d\u0430 \u0443\u0440\u043e\u0432\u043d\u0435 \u0447\u0442\u0435\u043d\u0438\u044f, \u0430 \u0435\u0451 gap-\u0430\u043d\u0430\u043b\u0438\u0437 \u043d\u0435 \u0432\u0438\u0434\u0438\u0442 \u043f\u043e \u043f\u043e\u0441\u0442\u0440\u043e\u0435\u043d\u0438\u044e. (\u041e\u0442\u043c\u0435\u0442\u0438\u043c \u043a\u043e\u0440\u0440\u0435\u043a\u0442\u043d\u043e\u0441\u0442\u044c Chainsaw: \u0431\u0435\u0437 <code>--skip-errors<\/code> \u043e\u043d \u043d\u0430 \u044d\u0442\u043e\u043c \u0444\u0430\u0439\u043b\u0435 \u0432\u043e\u043e\u0431\u0449\u0435 \u043e\u0442\u043a\u0430\u0437\u044b\u0432\u0430\u0435\u0442\u0441\u044f \u0440\u0430\u0431\u043e\u0442\u0430\u0442\u044c, \u0443\u043f\u0451\u0440\u0448\u0438\u0441\u044c \u0432 \u0442\u0440\u0438 \u0431\u0438\u0442\u044b\u0445 \u0441\u043b\u043e\u0442\u0430, \u2014 \u043c\u043e\u043b\u0447\u0430 \u043f\u0440\u043e\u043f\u0443\u0441\u0442\u0438\u0442\u044c \u0438\u0445 \u043e\u043d \u043d\u0435 \u043f\u044b\u0442\u0430\u0435\u0442\u0441\u044f.)<\/p>\n<p>\u041f\u0440\u0438\u0447\u0438\u043d\u0430 \u043e\u0431\u0449\u0430\u044f. Windows \u043f\u0438\u0448\u0435\u0442 \u0437\u0430\u043f\u0438\u0441\u0438 \u043f\u043e\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u044c\u043d\u043e, chunk \u0437\u0430 chunk&#8217;\u043e\u043c; \u0441\u043a\u043e\u043b\u044c\u043a\u043e \u0431\u044b chunk&#8217;\u043e\u0432 \u043f\u0430\u0440\u0441\u0435\u0440 \u043d\u0438 \u043f\u0440\u043e\u0447\u0438\u0442\u0430\u043b \u0441 \u043d\u0430\u0447\u0430\u043b\u0430, <code>EventRecordID<\/code> \u0432 \u043d\u0438\u0445 \u0431\u0443\u0434\u0443\u0442 \u0441\u043f\u043b\u043e\u0448\u043d\u044b\u043c\u0438. \u041e\u0431\u0440\u0435\u0437\u043a\u0430 \u0447\u0442\u0435\u043d\u0438\u044f \u043d\u0435 \u0441\u043e\u0437\u0434\u0430\u0451\u0442 \u0434\u044b\u0440 \u2014 \u043e\u043d\u0430 \u0441\u043e\u0437\u0434\u0430\u0451\u0442 \u0443\u043a\u043e\u0440\u043e\u0447\u0435\u043d\u043d\u044b\u0439, \u043d\u043e \u0438\u0434\u0435\u0430\u043b\u044c\u043d\u043e \u043d\u0435\u043f\u0440\u0435\u0440\u044b\u0432\u043d\u044b\u0439 \u0445\u0432\u043e\u0441\u0442.<\/p>\n<figure class=\"full-width \"><img decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/648\/570\/bd5\/648570bd5b177804be0f20f1589005b0.png\" alt=\"\u0414\u0432\u0430 \u0441\u043b\u0443\u0447\u0430\u044f \u043d\u0430 \u043e\u0441\u0438 EventRecordID: \u0432\u044b\u0431\u043e\u0440\u043e\u0447\u043d\u043e\u0435 \u0443\u0434\u0430\u043b\u0435\u043d\u0438\u0435 \u043e\u0441\u0442\u0430\u0432\u043b\u044f\u0435\u0442 \u0434\u044b\u0440\u0443, \u043a\u043e\u0442\u043e\u0440\u0443\u044e \u0430\u043d\u0430\u043b\u0438\u0437 \u043d\u0430\u0445\u043e\u0434\u0438\u0442, \u0430 \u043e\u0431\u0440\u0435\u0437\u043a\u0430 \u0447\u0442\u0435\u043d\u0438\u044f \u043e\u0441\u0442\u0430\u0432\u043b\u044f\u0435\u0442 \u043a\u043e\u0440\u043e\u0442\u043a\u0438\u0439 \u043d\u0435\u043f\u0440\u0435\u0440\u044b\u0432\u043d\u044b\u0439 \u0445\u0432\u043e\u0441\u0442, \u043d\u0430 \u043a\u043e\u0442\u043e\u0440\u043e\u043c \u0430\u043d\u0430\u043b\u0438\u0437 \u043c\u043e\u043b\u0447\u0438\u0442\" width=\"2320\" height=\"1004\" sizes=\"auto, (max-width: 780px) 100vw, 50vw\" srcset=\"https:\/\/habrastorage.org\/r\/w780\/getpro\/habr\/upload_files\/648\/570\/bd5\/648570bd5b177804be0f20f1589005b0.png 780w,&#10;       https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/648\/570\/bd5\/648570bd5b177804be0f20f1589005b0.png 781w\" loading=\"lazy\" decode=\"async\"\/><\/p>\n<div><figcaption>\u0414\u0432\u0430 \u0441\u043b\u0443\u0447\u0430\u044f \u043d\u0430 \u043e\u0441\u0438 EventRecordID: \u0432\u044b\u0431\u043e\u0440\u043e\u0447\u043d\u043e\u0435 \u0443\u0434\u0430\u043b\u0435\u043d\u0438\u0435 \u043e\u0441\u0442\u0430\u0432\u043b\u044f\u0435\u0442 \u0434\u044b\u0440\u0443, \u043a\u043e\u0442\u043e\u0440\u0443\u044e \u0430\u043d\u0430\u043b\u0438\u0437 \u043d\u0430\u0445\u043e\u0434\u0438\u0442, \u0430 \u043e\u0431\u0440\u0435\u0437\u043a\u0430 \u0447\u0442\u0435\u043d\u0438\u044f \u043e\u0441\u0442\u0430\u0432\u043b\u044f\u0435\u0442 \u043a\u043e\u0440\u043e\u0442\u043a\u0438\u0439 \u043d\u0435\u043f\u0440\u0435\u0440\u044b\u0432\u043d\u044b\u0439 \u0445\u0432\u043e\u0441\u0442, \u043d\u0430 \u043a\u043e\u0442\u043e\u0440\u043e\u043c \u0430\u043d\u0430\u043b\u0438\u0437 \u043c\u043e\u043b\u0447\u0438\u0442<\/figcaption><\/div>\n<\/figure>\n<p>\u0420\u043e\u0432\u043d\u043e \u043e\u0434\u043d\u043e \u0438\u0441\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u0435, \u0438 \u043e\u043d\u043e \u043d\u0435 \u0432 \u0432\u0430\u0448\u0443 \u043f\u043e\u043b\u044c\u0437\u0443. \u0415\u0441\u043b\u0438 \u0436\u0443\u0440\u043d\u0430\u043b \u0443\u0436\u0435 \u043f\u043e\u0448\u0451\u043b \u043f\u043e \u043a\u0440\u0443\u0433\u0443 (<code>oldest_chunk<\/code> \u0432 \u0437\u0430\u0433\u043e\u043b\u043e\u0432\u043a\u0435 \u043d\u0435 \u043d\u043e\u043b\u044c), \u0444\u0438\u0437\u0438\u0447\u0435\u0441\u043a\u0438 \u043f\u0435\u0440\u0432\u044b\u0435 chunk&#8217;\u0438 \u2014 \u043d\u0435 \u0441\u0430\u043c\u044b\u0435 \u0441\u0442\u0430\u0440\u044b\u0435, \u0438 \u0447\u0442\u0435\u043d\u0438\u0435 N \u043f\u0435\u0440\u0432\u044b\u0445 \u0441\u043b\u043e\u0442\u043e\u0432 \u0434\u0430\u0441\u0442 \u0440\u0430\u0437\u0440\u044b\u0432, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 gap-\u0430\u043d\u0430\u043b\u0438\u0437 \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u0442\u0435\u043b\u044c\u043d\u043e \u0443\u0432\u0438\u0434\u0438\u0442. \u0422\u043e\u043b\u044c\u043a\u043e <code>python-evtx<\/code> <code>oldest_chunk<\/code> \u043d\u0435 \u0441\u043c\u043e\u0442\u0440\u0438\u0442 \u0432\u043e\u0432\u0441\u0435 \u2014 \u043e\u043d \u043d\u0430\u0447\u0438\u043d\u0430\u0435\u0442 \u043e\u0442 <code>header_chunk_size()<\/code> \u043d\u0435\u0437\u0430\u0432\u0438\u0441\u0438\u043c\u043e \u043e\u0442 \u043d\u0435\u0433\u043e, \u2014 \u0442\u0430\u043a \u0447\u0442\u043e \u0432\u044b \u043f\u043e\u043b\u0443\u0447\u0438\u0442\u0435 \u0437\u0430\u043f\u0438\u0441\u0438 \u043d\u0435 \u0432 \u0442\u043e\u043c \u043f\u043e\u0440\u044f\u0434\u043a\u0435 \u0438 \u0440\u0430\u0437\u0440\u044b\u0432 \u043d\u0435 \u0442\u0430\u043c, \u0433\u0434\u0435 \u043e\u043d \u0435\u0441\u0442\u044c \u043d\u0430 \u0441\u0430\u043c\u043e\u043c \u0434\u0435\u043b\u0435. \u0414\u0438\u0430\u0433\u043d\u043e\u0437 \u00ab\u043a\u0442\u043e-\u0442\u043e \u0432\u044b\u0440\u0435\u0437\u0430\u043b \u0437\u0430\u043f\u0438\u0441\u0438\u00bb \u043d\u0430 \u0442\u0430\u043a\u043e\u043c \u0432\u044b\u0432\u043e\u0434\u0435 \u2014 \u0440\u043e\u0432\u043d\u043e \u0442\u0430 \u043e\u0448\u0438\u0431\u043a\u0430, \u043a\u043e\u0442\u043e\u0440\u043e\u0439 \u0432\u044b \u043f\u044b\u0442\u0430\u043b\u0438\u0441\u044c \u0438\u0437\u0431\u0435\u0436\u0430\u0442\u044c.<\/p>\n<p>\u041f\u043e\u044d\u0442\u043e\u043c\u0443:<\/p>\n<ul>\n<li>\n<p><strong>Gap-\u0430\u043d\u0430\u043b\u0438\u0437<\/strong> \u043e\u0442\u0432\u0435\u0447\u0430\u0435\u0442 \u043d\u0430 \u0432\u043e\u043f\u0440\u043e\u0441 \u00ab\u043d\u0435 \u0432\u044b\u0440\u0435\u0437\u0430\u043b \u043b\u0438 \u043a\u0442\u043e-\u0442\u043e \u0437\u0430\u043f\u0438\u0441\u0438 \u0438\u0437 \u0444\u0430\u0439\u043b\u0430?\u00bb<\/p>\n<\/li>\n<li>\n<p>\u041d\u043e \u0435\u0441\u0442\u044c \u0438 \u0432\u0442\u043e\u0440\u043e\u0439 \u0432\u043e\u043f\u0440\u043e\u0441: <strong>\u00ab\u0430 \u043f\u0440\u043e\u0447\u0438\u0442\u0430\u043b \u043b\u0438 \u043c\u043e\u0439 \u043f\u0430\u0440\u0441\u0435\u0440 \u0432\u0441\u0451, \u0447\u0442\u043e \u0432 \u0444\u0430\u0439\u043b\u0435 \u0435\u0441\u0442\u044c?\u00bb<\/strong><\/p>\n<\/li>\n<\/ul>\n<p>\u042d\u0442\u043e \u0440\u0430\u0437\u043d\u044b\u0435 \u0432\u043e\u043f\u0440\u043e\u0441\u044b, \u0438 \u043f\u0435\u0440\u0432\u044b\u0439 \u043d\u0435 \u043f\u043e\u043a\u0440\u044b\u0432\u0430\u0435\u0442 \u0432\u0442\u043e\u0440\u043e\u0439. \u041f\u0440\u043e\u0432\u0435\u0440\u044f\u0442\u044c \u043d\u0430\u0434\u043e \u043d\u0435 \u0432\u044b\u0431\u043e\u0440\u043a\u0443 \u043f\u0440\u043e\u0442\u0438\u0432 \u0441\u0430\u043c\u043e\u0439 \u0441\u0435\u0431\u044f, \u0430 \u0432\u044b\u0431\u043e\u0440\u043a\u0443 \u043f\u0440\u043e\u0442\u0438\u0432 \u043d\u0435\u0437\u0430\u0432\u0438\u0441\u0438\u043c\u043e\u0433\u043e \u0438\u0441\u0442\u043e\u0447\u043d\u0438\u043a\u0430 \u0438\u0441\u0442\u0438\u043d\u044b \u2014 \u0442\u043e\u0433\u043e, \u0447\u0442\u043e \u043e \u0441\u043e\u0434\u0435\u0440\u0436\u0438\u043c\u043e\u043c \u0444\u0430\u0439\u043b\u0430 \u0433\u043e\u0432\u043e\u0440\u044f\u0442 \u0437\u0430\u0433\u043e\u043b\u043e\u0432\u043a\u0438 chunk&#8217;\u043e\u0432, \u043c\u0438\u043d\u0443\u044f \u043f\u0430\u0440\u0441\u0435\u0440 \u0437\u0430\u043f\u0438\u0441\u0435\u0439.<\/p>\n<p>\u0418 \u043f\u0440\u043e\u0432\u0435\u0440\u044f\u0442\u044c \u043d\u0430\u0434\u043e \u0441\u0432\u043e\u0439 \u043f\u0430\u0439\u043f\u043b\u0430\u0439\u043d \u0446\u0435\u043b\u0438\u043a\u043e\u043c, \u0430 \u043d\u0435 \u0431\u0438\u0431\u043b\u0438\u043e\u0442\u0435\u043a\u0443 \u0438\u0437 \u044d\u0442\u043e\u0439 \u0441\u0442\u0430\u0442\u044c\u0438. \u0414\u0435\u0444\u043e\u043b\u0442 python-evtx \u2014 \u043a\u043e\u043d\u043a\u0440\u0435\u0442\u043d\u044b\u0439 \u043f\u0440\u0438\u043c\u0435\u0440, \u043d\u043e \u0432\u043e\u043f\u0440\u043e\u0441 \u00ab\u0441\u043a\u043e\u043b\u044c\u043a\u043e \u0437\u0430\u043f\u0438\u0441\u0435\u0439 \u0432 \u0444\u0430\u0439\u043b\u0435 \u043f\u0440\u043e\u0442\u0438\u0432 \u0441\u043a\u043e\u043b\u044c\u043a\u043e \u0434\u043e\u0448\u043b\u043e \u0434\u043e \u043c\u0435\u043d\u044f\u00bb \u043e\u0441\u043c\u044b\u0441\u043b\u0435\u043d \u0434\u043b\u044f \u043b\u044e\u0431\u043e\u0433\u043e \u043f\u0430\u0440\u0441\u0435\u0440\u0430, \u0432\u043a\u043b\u044e\u0447\u0430\u044f \u0432\u0430\u0448 \u0441\u043e\u0431\u0441\u0442\u0432\u0435\u043d\u043d\u044b\u0439.<\/p>\n<h3>\u041a\u0430\u043a \u044d\u0442\u043e \u043f\u0440\u043e\u0432\u0435\u0440\u044f\u0442\u044c<\/h3>\n<p>\u0417\u0430\u0433\u043e\u043b\u043e\u0432\u043e\u043a \u043a\u0430\u0436\u0434\u043e\u0433\u043e chunk&#8217;\u0430 (<code>ElfChnk\\x00<\/code>) \u043d\u0435\u0441\u0451\u0442 \u0434\u0432\u0435 \u043f\u0430\u0440\u044b \u0447\u0438\u0441\u0435\u043b:<\/p>\n<div>\n<div class=\"table\">\n<table>\n<tbody>\n<tr>\n<th>\n<p align=\"left\">\u0421\u043c\u0435\u0449\u0435\u043d\u0438\u0435<\/p>\n<\/th>\n<th>\n<p align=\"left\">\u0427\u0442\u043e \u0442\u0430\u043c<\/p>\n<\/th>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\"><code>0x08<\/code> \/ <code>0x10<\/code><\/p>\n<\/td>\n<td>\n<p align=\"left\">\u043d\u043e\u043c\u0435\u0440\u0430 \u0437\u0430\u043f\u0438\u0441\u0435\u0439 \u0432 chunk&#8217;\u0435 \u2192 <strong>\u043e\u0436\u0438\u0434\u0430\u0435\u043c\u043e\u0435 \u043a\u043e\u043b\u0438\u0447\u0435\u0441\u0442\u0432\u043e<\/strong><\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\"><code>0x18<\/code> \/ <code>0x20<\/code><\/p>\n<\/td>\n<td>\n<p align=\"left\">\u0441\u0430\u043c\u0438 <code>EventRecordID<\/code> \u2192 <strong>\u043e\u0436\u0438\u0434\u0430\u0435\u043c\u044b\u0439 \u0434\u0438\u0430\u043f\u0430\u0437\u043e\u043d<\/strong><\/p>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n<\/div>\n<p>\u0412 \u043d\u043e\u0440\u043c\u0435 \u044d\u0442\u0438 \u043f\u0430\u0440\u044b \u0434\u0443\u0431\u043b\u0438\u0440\u0443\u044e\u0442 \u0434\u0440\u0443\u0433 \u0434\u0440\u0443\u0433\u0430, \u0442\u0430\u043a \u0447\u0442\u043e \u0441\u0447\u0438\u0442\u0430\u0442\u044c \u0438\u0445 \u0434\u0432\u0443\u043c\u044f \u043d\u0435\u0437\u0430\u0432\u0438\u0441\u0438\u043c\u044b\u043c\u0438 \u0434\u043e\u043a\u0430\u0437\u0430\u0442\u0435\u043b\u044c\u0441\u0442\u0432\u0430\u043c\u0438 \u043d\u0435 \u0441\u0442\u043e\u0438\u0442. \u041f\u043e\u043b\u0435\u0437\u043d\u044b \u043e\u043d\u0438 \u043f\u043e-\u0440\u0430\u0437\u043d\u043e\u043c\u0443:<\/p>\n<ol>\n<li>\n<p><strong>\u041a\u043e\u043b\u0438\u0447\u0435\u0441\u0442\u0432\u043e.<\/strong> \u0421\u0443\u043c\u043c\u0438\u0440\u0443\u0435\u043c \u043f\u043e \u0432\u0441\u0435\u043c chunk&#8217;\u0430\u043c, \u0441\u0440\u0430\u0432\u043d\u0438\u0432\u0430\u0435\u043c \u0441 \u0442\u0435\u043c, \u0447\u0442\u043e \u0440\u0435\u0430\u043b\u044c\u043d\u043e \u043e\u0442\u0434\u0430\u043b \u043f\u0430\u0440\u0441\u0435\u0440. \u0420\u0430\u0441\u0445\u043e\u0434\u0438\u0442\u0441\u044f \u2014 \u043f\u0430\u0440\u0441\u0435\u0440 \u0447\u0442\u043e-\u0442\u043e \u043f\u043e\u0442\u0435\u0440\u044f\u043b.<\/p>\n<\/li>\n<li>\n<p><strong>\u0414\u0438\u0430\u043f\u0430\u0437\u043e\u043d.<\/strong> \u0418\u0437 \u043e\u0431\u044a\u044f\u0432\u043b\u0435\u043d\u043d\u043e\u0433\u043e \u0434\u0438\u0430\u043f\u0430\u0437\u043e\u043d\u0430 <code>EventRecordID<\/code> \u0432\u044b\u0447\u0438\u0442\u0430\u0435\u043c \u0444\u0430\u043a\u0442\u0438\u0447\u0435\u0441\u043a\u0438 \u043f\u0440\u043e\u0447\u0438\u0442\u0430\u043d\u043d\u044b\u0435 ID. \u041e\u0441\u0442\u0430\u0442\u043e\u043a \u2014 \u043a\u043e\u043d\u043a\u0440\u0435\u0442\u043d\u044b\u0435 \u043f\u0440\u043e\u043f\u0430\u0432\u0448\u0438\u0435 \u0437\u0430\u043f\u0438\u0441\u0438, \u043f\u043e\u0438\u043c\u0451\u043d\u043d\u043e.<\/p>\n<\/li>\n<\/ol>\n<p>\u041a\u043b\u044e\u0447\u0435\u0432\u043e\u0435: \u043e\u0431\u0435 \u0446\u0438\u0444\u0440\u044b \u0447\u0438\u0442\u0430\u044e\u0442\u0441\u044f \u0438\u0437 \u0437\u0430\u0433\u043e\u043b\u043e\u0432\u043a\u043e\u0432 chunk&#8217;\u043e\u0432 \u043d\u0430\u043f\u0440\u044f\u043c\u0443\u044e, \u043e\u0442\u0434\u0435\u043b\u044c\u043d\u044b\u043c \u043f\u0440\u043e\u0445\u043e\u0434\u043e\u043c \u043f\u043e \u0444\u0430\u0439\u043b\u0443, \u0430 \u043d\u0435 \u0447\u0435\u0440\u0435\u0437 API \u043f\u0430\u0440\u0441\u0435\u0440\u0430. \u0415\u0441\u043b\u0438 \u0441\u043f\u0440\u043e\u0441\u0438\u0442\u044c \u0443 \u043f\u0430\u0440\u0441\u0435\u0440\u0430, \u043f\u043e\u043b\u043d\u044b\u0439 \u043b\u0438 \u043e\u043d \u043f\u0440\u043e\u0447\u0438\u0442\u0430\u043b \u0444\u0430\u0439\u043b, \u043e\u043d \u043e\u0442\u0432\u0435\u0442\u0438\u0442 \u00ab\u0434\u0430\u00bb \u2014 \u043f\u043e \u043e\u043f\u0440\u0435\u0434\u0435\u043b\u0435\u043d\u0438\u044e.<\/p>\n<p>\u041e\u0442\u0434\u0435\u043b\u044c\u043d\u043e\u0433\u043e \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u0430 \u0434\u043b\u044f \u044d\u0442\u043e\u0433\u043e \u043d\u0435 \u043d\u0443\u0436\u043d\u043e, \u043f\u044f\u0442\u043d\u0430\u0434\u0446\u0430\u0442\u0438 \u0441\u0442\u0440\u043e\u043a \u0445\u0432\u0430\u0442\u0430\u0435\u0442:<\/p>\n<pre><code class=\"python\">import struct, sysdef declared(path):    with open(path, \"rb\") as f:        data = f.read()    total, lo, hi, bad = 0, None, 0, 0    for off in range(4096, len(data) - 0xFFFF, 0x10000):        if data[off:off + 8] != b\"ElfChnk\\x00\":            if data[off:off + 0x10000].strip(b\"\\x00\"):                bad += 1                              # \u0441\u043b\u043e\u0442 \u043d\u0435 \u043f\u0443\u0441\u0442\u043e\u0439, \u043d\u043e \u0438 \u043d\u0435 chunk            continue        first, last = struct.unpack(\"&lt;QQ\", data[off + 0x18:off + 0x28])        if last &lt; first or last - first &gt; 0x10000:            bad += 1                                  # \u0437\u0430\u0433\u043e\u043b\u043e\u0432\u043e\u043a chunk'\u0430 \u043f\u043e\u0432\u0440\u0435\u0436\u0434\u0451\u043d            continue        total += last - first + 1        lo = first if lo is None else min(lo, first)        hi = max(hi, last)    return total, lo, hi, badfor path in sys.argv[1:]:    n, lo, hi, bad = declared(path)    note = f\", \u043d\u0435\u0447\u0438\u0442\u0430\u0435\u043c\u044b\u0445 \u0441\u043b\u043e\u0442\u043e\u0432: {bad}\" if bad else \"\"    print(f\"{path}: \u0437\u0430\u0433\u043e\u043b\u043e\u0432\u043a\u0438 \u0437\u0430\u044f\u0432\u043b\u044f\u044e\u0442 {n} \u0437\u0430\u043f\u0438\u0441\u0435\u0439, EventRecordID {lo}..{hi}{note}\")<\/code><div class=\"code-explainer\"><a href=\"https:\/\/sourcecraft.dev\/\" class=\"tm-button code-explainer__link\" style=\"visibility: hidden;\"><img style=\"width:14px;height:14px;object-fit:cover;object-position:left;\"\/><\/a><\/div><\/pre>\n<pre><code>$ python check_evtx.py Sysmon.evtxSysmon.evtx: \u0437\u0430\u0433\u043e\u043b\u043e\u0432\u043a\u0438 \u0437\u0430\u044f\u0432\u043b\u044f\u044e\u0442 2309 \u0437\u0430\u043f\u0438\u0441\u0435\u0439, EventRecordID 11193..13501, \u043d\u0435\u0447\u0438\u0442\u0430\u0435\u043c\u044b\u0445 \u0441\u043b\u043e\u0442\u043e\u0432: 3<\/code><div class=\"code-explainer\"><a href=\"https:\/\/sourcecraft.dev\/\" class=\"tm-button code-explainer__link\" style=\"visibility: hidden;\"><img style=\"width:14px;height:14px;object-fit:cover;object-position:left;\"\/><\/a><\/div><\/pre>\n<p>\u0421\u0440\u0430\u0432\u043d\u0438\u0442\u0435 \u044d\u0442\u043e \u0447\u0438\u0441\u043b\u043e \u0441 \u0442\u0435\u043c, \u0447\u0442\u043e \u0432\u0435\u0440\u043d\u0443\u043b \u0432\u0430\u0448 \u043f\u0430\u0439\u043f\u043b\u0430\u0439\u043d. \u0412\u0441\u0451, \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0430 \u0437\u0430\u043a\u043e\u043d\u0447\u0435\u043d\u0430.<\/p>\n<p>\u041e\u0431\u0440\u0430\u0442\u0438\u0442\u0435 \u0432\u043d\u0438\u043c\u0430\u043d\u0438\u0435 \u043d\u0430 \u0434\u0432\u0435 \u0441\u0442\u0440\u043e\u043a\u0438 \u0441 <code>continue<\/code>: \u0441\u043a\u0430\u043d \u043d\u0435 \u043e\u0441\u0442\u0430\u043d\u0430\u0432\u043b\u0438\u0432\u0430\u0435\u0442\u0441\u044f \u043d\u0430 \u043d\u0435\u043f\u043e\u043d\u044f\u0442\u043d\u043e\u043c \u0441\u043b\u043e\u0442\u0435, \u0430 \u0438\u0434\u0451\u0442 \u0434\u043e \u043a\u043e\u043d\u0446\u0430 \u0444\u0430\u0439\u043b\u0430. \u041f\u043e\u0447\u0435\u043c\u0443 \u044d\u0442\u043e \u043f\u0440\u0438\u043d\u0446\u0438\u043f\u0438\u0430\u043b\u044c\u043d\u043e \u2014 \u0432 \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0435\u043c \u0440\u0430\u0437\u0434\u0435\u043b\u0435; \u0442\u0430\u043c \u0436\u0435 \u0440\u0430\u0437\u0431\u0435\u0440\u0451\u043c, \u0447\u0442\u043e \u0434\u0435\u043b\u0430\u0442\u044c \u0441 <code>\u043d\u0435\u0447\u0438\u0442\u0430\u0435\u043c\u044b\u0445 \u0441\u043b\u043e\u0442\u043e\u0432: 3<\/code>, \u043f\u043e\u0442\u043e\u043c\u0443 \u0447\u0442\u043e \u043f\u0440\u0430\u0432\u0438\u043b\u044c\u043d\u044b\u0439 \u043e\u0442\u0432\u0435\u0442 \u0437\u0434\u0435\u0441\u044c \u2014 \u043d\u0435 \u00abOK\u00bb \u0438 \u043d\u0435 \u00ab\u043f\u043e\u0432\u0440\u0435\u0436\u0434\u0435\u043d\u043e\u00bb.<\/p>\n<h3>\u041c\u0443\u0441\u043e\u0440 \u0432 \u0445\u0432\u043e\u0441\u0442\u0435: \u043f\u043e\u0447\u0435\u043c\u0443 \u00abOK\u00bb \u0437\u0434\u0435\u0441\u044c \u2014 \u043d\u0435\u043f\u0440\u0430\u0432\u0438\u043b\u044c\u043d\u044b\u0439 \u043e\u0442\u0432\u0435\u0442<\/h3>\n<p>\u0412\u0435\u0440\u043d\u0451\u043c\u0441\u044f \u043a \u0441\u0442\u043e\u043b\u0431\u0446\u0443 \u00ab\u0431\u0438\u0442\u044b\u0445 \u0441\u043b\u043e\u0442\u043e\u0432\u00bb. \u0412 Sysmon \u0442\u0440\u0438 \u0445\u0432\u043e\u0441\u0442\u043e\u0432\u044b\u0445 \u0441\u043b\u043e\u0442\u0430 \u0438\u0437 33 \u043d\u0435 \u043d\u0430\u0447\u0438\u043d\u0430\u044e\u0442\u0441\u044f \u0441 <code>ElfChnk\\x00<\/code>, \u043d\u043e \u0438 \u043d\u0435 \u043f\u0443\u0441\u0442\u044b\u0435 \u2014 \u0442\u0430\u043c \u0434\u0430\u043d\u043d\u044b\u0435. \u0412 CAPI2 \u0442\u0430\u043a\u0438\u0445 \u0441\u043b\u043e\u0442\u043e\u0432 \u0434\u0432\u0430 \u0438\u0437 16.<\/p>\n<p>\u0412 \u043a\u0435\u0439\u0441\u0435 \u0441 \u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043b\u044c\u0449\u0438\u043a\u043e\u043c \u0441\u043e\u0431\u043b\u0430\u0437\u043d \u043e\u0447\u0435\u0432\u0438\u0434\u0435\u043d: \u0441\u043a\u0430\u0437\u0430\u0442\u044c \u00ab\u0430\u0442\u0430\u043a\u0443\u044e\u0449\u0438\u0439 \u0437\u0430\u0442\u0451\u0440 \u0445\u0432\u043e\u0441\u0442 \u0436\u0443\u0440\u043d\u0430\u043b\u0430\u00bb. \u0422\u0435\u043c \u0431\u043e\u043b\u0435\u0435 \u0447\u0442\u043e \u044d\u043d\u0442\u0440\u043e\u043f\u0438\u044f \u2014 \u0432\u043e\u0442 \u043e\u043d\u0430:<\/p>\n<pre><code>Sysmon, \u0441\u043b\u043e\u0442 30: \u044d\u043d\u0442\u0440\u043e\u043f\u0438\u044f 7,996  \u043f\u0435\u0447\u0430\u0442\u043d\u044b\u0445 36%  \u0441\u0438\u0433\u043d\u0430\u0442\u0443\u0440: \u043d\u0435\u0442                 70 a0 5f 94 a0 b9 af 23 10 df 19 a8 bf 06 51 21 ...Sysmon, \u0441\u043b\u043e\u0442 31: \u044d\u043d\u0442\u0440\u043e\u043f\u0438\u044f 7,996  \u043f\u0435\u0447\u0430\u0442\u043d\u044b\u0445 37%  \u0441\u0438\u0433\u043d\u0430\u0442\u0443\u0440: \u043d\u0435\u0442Sysmon, \u0441\u043b\u043e\u0442 32: \u044d\u043d\u0442\u0440\u043e\u043f\u0438\u044f 7,995  \u043f\u0435\u0447\u0430\u0442\u043d\u044b\u0445 36%  \u0441\u0438\u0433\u043d\u0430\u0442\u0443\u0440: \u043d\u0435\u0442<\/code><div class=\"code-explainer\"><a href=\"https:\/\/sourcecraft.dev\/\" class=\"tm-button code-explainer__link\" style=\"visibility: hidden;\"><img style=\"width:14px;height:14px;object-fit:cover;object-position:left;\"\/><\/a><\/div><\/pre>\n<p>7,996 \u0438\u0437 \u043c\u0430\u043a\u0441\u0438\u043c\u0430\u043b\u044c\u043d\u044b\u0445 8,0 \u2014 \u0437\u0430\u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u0435 \u0438\u043b\u0438 \u0441\u0436\u0430\u0442\u044b\u0435 \u0434\u0430\u043d\u043d\u044b\u0435, \u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u044b \u043d\u0435\u0442 \u043d\u0438\u043a\u0430\u043a\u043e\u0439. \u0412\u044b\u0433\u043b\u044f\u0434\u0438\u0442 \u043a\u0430\u043a \u043f\u0440\u0438\u0433\u043e\u0432\u043e\u0440. \u041d\u043e \u043f\u043e\u0441\u043c\u043e\u0442\u0440\u0438\u043c \u043d\u0430 CAPI2:<\/p>\n<pre><code>CAPI2, \u0441\u043b\u043e\u0442 14: \u044d\u043d\u0442\u0440\u043e\u043f\u0438\u044f 4,968  \u043f\u0435\u0447\u0430\u0442\u043d\u044b\u0445 62%  vk=457, ri=364                31 00 00 00 00 00 00 00 a8 ff ff ff 76 6b 39 00 ...                                         ^^^^^^^^^^^ ^^^^^                                         \u0440\u0430\u0437\u043c\u0435\u0440 (-88) \"vk\"CAPI2, \u0441\u043b\u043e\u0442 15: \u044d\u043d\u0442\u0440\u043e\u043f\u0438\u044f 5,055  \u043f\u0435\u0447\u0430\u0442\u043d\u044b\u0445 47%  nk=23, vk=240, ri=161<\/code><div class=\"code-explainer\"><a href=\"https:\/\/sourcecraft.dev\/\" class=\"tm-button code-explainer__link\" style=\"visibility: hidden;\"><img style=\"width:14px;height:14px;object-fit:cover;object-position:left;\"\/><\/a><\/div><\/pre>\n<p><code>76 6b<\/code> \u2014 \u044d\u0442\u043e <code>vk<\/code>, \u0441\u0438\u0433\u043d\u0430\u0442\u0443\u0440\u0430 \u044f\u0447\u0435\u0439\u043a\u0438-\u0437\u043d\u0430\u0447\u0435\u043d\u0438\u044f \u0432 \u043a\u0443\u0441\u0442\u0435 \u0440\u0435\u0435\u0441\u0442\u0440\u0430 Windows. \u041f\u0435\u0440\u0435\u0434 \u043d\u0435\u0439 <code>a8 ff ff ff<\/code> \u2014 \u043e\u0442\u0440\u0438\u0446\u0430\u0442\u0435\u043b\u044c\u043d\u044b\u0439 \u0440\u0430\u0437\u043c\u0435\u0440, \u043f\u0440\u0438\u0437\u043d\u0430\u043a \u0437\u0430\u043d\u044f\u0442\u043e\u0439 \u044f\u0447\u0435\u0439\u043a\u0438. \u041a\u043b\u0430\u0441\u0441\u0438\u0447\u0435\u0441\u043a\u0430\u044f \u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0430 hive. \u0410 \u0435\u0441\u043b\u0438 \u0432\u044b\u0442\u0430\u0449\u0438\u0442\u044c UTF-16-\u0441\u0442\u0440\u043e\u043a\u0438, \u0447\u0438\u0442\u0430\u0435\u0442\u0441\u044f \u0432\u043e\u0442 \u0442\u0430\u043a\u043e\u0435:<\/p>\n<pre><code>Package_19_for_KB3033929~31bf3856ad364e35~amd64~~6.1.1.16.1.7601.22948<\/code><div class=\"code-explainer\"><a href=\"https:\/\/sourcecraft.dev\/\" class=\"tm-button code-explainer__link\" style=\"visibility: hidden;\"><img style=\"width:14px;height:14px;object-fit:cover;object-position:left;\"\/><\/a><\/div><\/pre>\n<p>\u0417\u0430\u043f\u0438\u0441\u0438 \u0445\u0440\u0430\u043d\u0438\u043b\u0438\u0449\u0430 \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u043e\u0432 Windows Update. \u0412 \u0445\u0432\u043e\u0441\u0442\u0435 CAPI2 \u043b\u0435\u0436\u0438\u0442 \u043a\u0443\u0441\u043e\u043a \u0440\u0435\u0435\u0441\u0442\u0440\u0430 \u2014 \u0438 \u0441\u0430\u043c CAPI2 \u043f\u0440\u0438 \u044d\u0442\u043e\u043c \u0430\u0431\u0441\u043e\u043b\u044e\u0442\u043d\u043e \u0437\u0434\u043e\u0440\u043e\u0432 \u0438 \u0434\u0430\u0436\u0435 \u043d\u0435 dirty.<\/p>\n<p>\u0417\u043d\u0430\u0447\u0438\u0442, \u0445\u0432\u043e\u0441\u0442\u043e\u0432\u044b\u0435 \u0441\u043b\u043e\u0442\u044b \u0432 \u043f\u0440\u0438\u043d\u0446\u0438\u043f\u0435 \u0443\u043c\u0435\u044e\u0442 \u0441\u043e\u0434\u0435\u0440\u0436\u0430\u0442\u044c \u043f\u043e\u0441\u0442\u043e\u0440\u043e\u043d\u043d\u0438\u0439 \u043c\u0443\u0441\u043e\u0440. \u041c\u0435\u0441\u0442\u043e \u043f\u043e\u0434 \u0441\u043b\u043e\u0442\u044b \u0432\u044b\u0434\u0435\u043b\u044f\u0435\u0442\u0441\u044f \u0441\u0438\u043b\u044c\u043d\u043e \u0432\u043f\u0435\u0440\u0451\u0434 \u0437\u0430\u043f\u0438\u0441\u0438, \u0438 \u044d\u0442\u043e \u0432\u0438\u0434\u043d\u043e \u043f\u043e \u0432\u0441\u0435\u043c \u0448\u0435\u0441\u0442\u0438 \u0436\u0443\u0440\u043d\u0430\u043b\u0430\u043c: \u0443 TS-RCM \u0437\u0430\u043f\u0438\u0441\u0430\u043d\u043e 4 chunk&#8217;\u0430 \u043f\u0440\u0438 16 \u0441\u043b\u043e\u0442\u0430\u0445 \u0432 \u0444\u0430\u0439\u043b\u0435, \u0443 GroupPolicy \u2014 5 \u043f\u0440\u0438 17, \u0443 Sysmon \u2014 30 \u043f\u0440\u0438 33. \u0421\u043b\u043e\u0442\u044b, \u0434\u043e \u043a\u043e\u0442\u043e\u0440\u044b\u0445 \u0441\u043b\u0443\u0436\u0431\u0430 \u0436\u0443\u0440\u043d\u0430\u043b\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u0435\u0449\u0451 \u043d\u0435 \u0434\u043e\u043f\u0438\u0441\u0430\u043b\u0430, \u043e\u0431\u044b\u0447\u043d\u043e \u043d\u0443\u043b\u0435\u0432\u044b\u0435, \u043d\u043e \u043d\u0435 \u043e\u0431\u044f\u0437\u0430\u043d\u044b \u0438\u043c\u0438 \u0431\u044b\u0442\u044c: \u043e\u043d\u0438 \u0445\u0440\u0430\u043d\u044f\u0442 \u0442\u043e, \u0447\u0442\u043e \u043b\u0435\u0436\u0430\u043b\u043e \u043d\u0430 \u044d\u0442\u0438\u0445 \u043a\u043b\u0430\u0441\u0442\u0435\u0440\u0430\u0445 \u0440\u0430\u043d\u044c\u0448\u0435.<\/p>\n<p>\u0422\u0435\u043f\u0435\u0440\u044c \u2014 \u043f\u043e\u0447\u0435\u043c\u0443 \u0432 Sysmon \u044d\u0442\u043e \u0442\u043e\u0436\u0435 \u043d\u0435 \u0440\u0430\u0431\u043e\u0442\u0430 \u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043b\u044c\u0449\u0438\u043a\u0430. \u0414\u0432\u0435 \u043f\u0440\u0438\u0447\u0438\u043d\u044b, \u0438 \u043e\u0431\u0435 \u0432\u0438\u0434\u043d\u044b \u0442\u043e\u043b\u044c\u043a\u043e \u0438\u0437 \u043f\u043e\u043b\u043d\u043e\u0433\u043e \u0436\u0443\u0440\u043d\u0430\u043b\u0430:<\/p>\n<ol>\n<li>\n<p><strong>\u0428\u0438\u0444\u0440\u043e\u0432\u0430\u043b\u044c\u0449\u0438\u043a \u043f\u043e\u043a\u0430\u0437\u0430\u043b \u0441\u0432\u043e\u0438 \u0446\u0435\u043b\u0438 \u0441\u0430\u043c.<\/strong> \u0412 \u0435\u0433\u043e \u043a\u043e\u043c\u0430\u043d\u0434\u043d\u043e\u0439 \u0441\u0442\u0440\u043e\u043a\u0435 \u0441\u0442\u043e\u044f\u043b \u044f\u0432\u043d\u044b\u0439 <code>-p &lt;\u043a\u0430\u0442\u0430\u043b\u043e\u0433&gt;<\/code>, \u0438 \u043a\u0430\u0442\u0430\u043b\u043e\u0433\u0430 \u0441 \u0436\u0443\u0440\u043d\u0430\u043b\u0430\u043c\u0438 \u0441\u0440\u0435\u0434\u0438 \u0446\u0435\u043b\u0435\u0439 \u043d\u0435 \u0431\u044b\u043b\u043e.<\/p>\n<\/li>\n<li>\n<p><strong>\u0416\u0443\u0440\u043d\u0430\u043b \u043f\u0440\u043e\u0434\u043e\u043b\u0436\u0430\u043b \u043d\u043e\u0440\u043c\u0430\u043b\u044c\u043d\u043e \u043f\u0438\u0441\u0430\u0442\u044c\u0441\u044f \u0435\u0449\u0451 18 \u043c\u0438\u043d\u0443\u0442 \u043f\u043e\u0441\u043b\u0435 \u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u0438\u044f.<\/strong> \u041f\u043e\u0441\u043b\u0435\u0434\u043d\u0438\u0439 \u0437\u0430\u043f\u0443\u0441\u043a \u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043b\u044c\u0449\u0438\u043a\u0430 \u2014 \u043d\u0430 \u043e\u0442\u043c\u0435\u0442\u043a\u0435 +27:14, \u043f\u043e\u0441\u043b\u0435\u0434\u043d\u044f\u044f \u0447\u0438\u0442\u0430\u0435\u043c\u0430\u044f \u0437\u0430\u043f\u0438\u0441\u044c Sysmon \u2014 +45:07. \u0412\u0441\u0435 \u0437\u0430\u043f\u0438\u0441\u0438 \u0432 \u044d\u0442\u043e\u043c \u043f\u0440\u043e\u043c\u0435\u0436\u0443\u0442\u043a\u0435 \u0446\u0435\u043b\u044b. \u0424\u0430\u0439\u043b, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043b\u044c\u0449\u0438\u043a \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u0442\u0435\u043b\u044c\u043d\u043e \u0437\u0430\u0442\u0440\u043e\u043d\u0443\u043b \u0431\u044b, \u0442\u0430\u043a \u0441\u0435\u0431\u044f \u043d\u0435 \u0432\u0435\u0434\u0451\u0442.<\/p>\n<\/li>\n<\/ol>\n<p>\u0412\u044b\u0432\u043e\u0434: \u043e\u0441\u0442\u0430\u0442\u043e\u0447\u043d\u044b\u0435 \u0434\u0430\u043d\u043d\u044b\u0435, \u0430 \u043d\u0435 \u0443\u043d\u0438\u0447\u0442\u043e\u0436\u0435\u043d\u0438\u0435 \u0443\u043b\u0438\u043a.<\/p>\n<p>\u041d\u043e \u0437\u0430\u043c\u0435\u0442\u044c\u0442\u0435, \u0446\u0435\u043d\u043e\u0439 \u0447\u0435\u0433\u043e \u043f\u043e\u043b\u0443\u0447\u0435\u043d \u044d\u0442\u043e\u0442 \u0432\u044b\u0432\u043e\u0434. \u041e\u0431\u0435 \u043f\u0440\u0438\u0447\u0438\u043d\u044b \u0438\u0437\u0432\u043b\u0435\u0447\u0435\u043d\u044b \u0438\u0437 \u0442\u0435\u0445 \u0441\u0430\u043c\u044b\u0445 96%, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0434\u0435\u0444\u043e\u043b\u0442\u043d\u044b\u0439 \u043f\u0430\u0440\u0441\u0435\u0440 \u043d\u0435 \u043f\u0440\u043e\u0447\u0438\u0442\u0430\u043b. \u0420\u0430\u0437\u0431\u0438\u0440\u0430\u044f \u044d\u0442\u043e\u0442 \u043e\u0431\u0440\u0430\u0437 \u043f\u043e 94 \u0437\u0430\u043f\u0438\u0441\u044f\u043c, \u0432\u044b \u0431\u044b \u043d\u0435 \u0443\u0432\u0438\u0434\u0435\u043b\u0438 \u043d\u0438 \u043a\u043e\u043c\u0430\u043d\u0434\u043d\u043e\u0439 \u0441\u0442\u0440\u043e\u043a\u0438 \u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043b\u044c\u0449\u0438\u043a\u0430, \u043d\u0438 \u0442\u043e\u0433\u043e, \u0447\u0442\u043e \u0436\u0443\u0440\u043d\u0430\u043b \u0436\u0438\u043b \u043f\u043e\u0441\u043b\u0435 \u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u0438\u044f, \u2014 \u0437\u0430\u0442\u043e \u043f\u0440\u0435\u043a\u0440\u0430\u0441\u043d\u043e \u0443\u0432\u0438\u0434\u0435\u043b\u0438 \u0431\u044b \u0442\u0440\u0438 \u0441\u043b\u043e\u0442\u0430 \u0441 \u044d\u043d\u0442\u0440\u043e\u043f\u0438\u0435\u0439 7,996 \u0432 \u0445\u0432\u043e\u0441\u0442\u0435. \u0418 \u043d\u0430\u043f\u0438\u0441\u0430\u043b\u0438 \u0431\u044b \u0432 \u043e\u0442\u0447\u0451\u0442 \u0443\u043d\u0438\u0447\u0442\u043e\u0436\u0435\u043d\u0438\u0435 \u0436\u0443\u0440\u043d\u0430\u043b\u043e\u0432, \u043a\u043e\u0442\u043e\u0440\u043e\u0433\u043e \u043d\u0435 \u0431\u044b\u043b\u043e.<\/p>\n<p>\u041e\u0431\u0440\u0435\u0437\u043a\u0430 \u0447\u0442\u0435\u043d\u0438\u044f \u043d\u0435 \u043f\u0440\u043e\u0441\u0442\u043e \u0442\u0435\u0440\u044f\u0435\u0442 \u0434\u0430\u043d\u043d\u044b\u0435. \u041e\u043d\u0430 \u0437\u0430\u0431\u0438\u0440\u0430\u0435\u0442 \u043a\u043e\u043d\u0442\u0435\u043a\u0441\u0442, \u0431\u0435\u0437 \u043a\u043e\u0442\u043e\u0440\u043e\u0433\u043e \u043e\u0441\u0442\u0430\u0432\u0448\u0438\u0435\u0441\u044f \u0434\u0430\u043d\u043d\u044b\u0435 \u0438\u043d\u0442\u0435\u0440\u043f\u0440\u0435\u0442\u0438\u0440\u0443\u044e\u0442\u0441\u044f \u043d\u0435\u043f\u0440\u0430\u0432\u0438\u043b\u044c\u043d\u043e.<\/p>\n<p>\u0418 \u0434\u0430\u0436\u0435 \u0442\u0435\u043f\u0435\u0440\u044c \u044f \u043d\u0435 \u043c\u043e\u0433\u0443 \u0434\u043e\u043a\u0430\u0437\u0430\u0442\u044c, \u0447\u0442\u043e \u0432 \u044d\u0442\u0438\u0445 \u0441\u043b\u043e\u0442\u0430\u0445 \u043d\u0435 \u0431\u044b\u043b\u043e \u0437\u0430\u0442\u0451\u0440\u0442\u044b\u0445 \u043a\u0435\u043c-\u0442\u043e \u0437\u0430\u043f\u0438\u0441\u0435\u0439. \u0412\u044b\u0441\u043e\u043a\u0430\u044f \u044d\u043d\u0442\u0440\u043e\u043f\u0438\u044f \u043e\u0434\u0438\u043d\u0430\u043a\u043e\u0432\u043e \u043e\u0431\u044a\u044f\u0441\u043d\u044f\u0435\u0442\u0441\u044f \u0438 \u043e\u0441\u0442\u0430\u0442\u043a\u0430\u043c\u0438 \u0441\u0442\u0430\u0440\u043e\u0433\u043e \u0430\u0440\u0445\u0438\u0432\u0430, \u0438 \u0446\u0435\u043b\u0435\u043d\u0430\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u043d\u043e\u0439 \u043f\u0435\u0440\u0435\u0437\u0430\u043f\u0438\u0441\u044c\u044e. \u0420\u0430\u0437\u043b\u0438\u0447\u0438\u0442\u044c \u043f\u043e \u043e\u0434\u043d\u043e\u043c\u0443 \u0444\u0430\u0439\u043b\u0443 \u043d\u0435\u043b\u044c\u0437\u044f. \u041f\u043e\u044d\u0442\u043e\u043c\u0443 \u0435\u0434\u0438\u043d\u0441\u0442\u0432\u0435\u043d\u043d\u044b\u0439 \u043a\u043e\u0440\u0440\u0435\u043a\u0442\u043d\u044b\u0439 \u0432\u0435\u0440\u0434\u0438\u043a\u0442 \u2014 \u043d\u0435 \u00abOK\u00bb \u0438 \u043d\u0435 \u00ab\u043f\u043e\u0432\u0440\u0435\u0436\u0434\u0435\u043d\u043e \u0430\u0442\u0430\u043a\u0443\u044e\u0449\u0438\u043c\u00bb, \u0430 \u00ab\u043f\u043e\u043b\u043d\u043e\u0442\u0430 \u043d\u0435\u043f\u0440\u043e\u0432\u0435\u0440\u044f\u0435\u043c\u0430\u00bb: 30 \u0447\u0438\u0442\u0430\u0435\u043c\u044b\u0445 chunk&#8217;\u043e\u0432 \u0437\u0430\u044f\u0432\u043b\u044f\u044e\u0442 2309 \u0437\u0430\u043f\u0438\u0441\u0435\u0439, \u043f\u0430\u0440\u0441\u0435\u0440 \u043f\u0440\u043e\u0447\u0438\u0442\u0430\u043b 2309, \u0441\u0447\u0451\u0442\u0447\u0438\u043a\u0438 \u0441\u043e\u0448\u043b\u0438\u0441\u044c \u2014 \u043d\u043e \u0447\u0442\u043e \u0431\u044b\u043b\u043e \u0432 \u0442\u0440\u0451\u0445 \u043d\u0435\u0447\u0438\u0442\u0430\u0435\u043c\u044b\u0445 \u0441\u043b\u043e\u0442\u0430\u0445, \u043d\u0435 \u0437\u043d\u0430\u0435\u0442 \u043d\u0438\u043a\u0442\u043e.<\/p>\n<p>\u041e\u0442\u0441\u044e\u0434\u0430 \u0436\u0435 \u2014 \u0433\u043b\u0430\u0432\u043d\u0430\u044f \u043b\u043e\u0432\u0443\u0448\u043a\u0430 \u0434\u043b\u044f \u0442\u0435\u0445, \u043a\u0442\u043e \u043f\u0438\u0448\u0435\u0442 \u0441\u0432\u043e\u044e \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0443: <strong>\u043d\u0435 \u043e\u0441\u0442\u0430\u043d\u0430\u0432\u043b\u0438\u0432\u0430\u0439\u0442\u0435 \u0441\u043a\u0430\u043d \u0437\u0430\u0433\u043e\u043b\u043e\u0432\u043a\u043e\u0432 \u043d\u0430 \u043f\u0435\u0440\u0432\u043e\u043c \u043d\u0435\u043f\u043e\u043d\u044f\u0442\u043d\u043e\u043c \u0441\u043b\u043e\u0442\u0435<\/strong>. \u0415\u0441\u043b\u0438 \u043f\u0440\u0435\u0440\u0432\u0430\u0442\u044c\u0441\u044f, \u044d\u0442\u0430\u043b\u043e\u043d \u043f\u043e\u043b\u043d\u043e\u0442\u044b \u0441\u0430\u043c \u043e\u043a\u0430\u0436\u0435\u0442\u0441\u044f \u043e\u0431\u0440\u0435\u0437\u0430\u043d\u043d\u044b\u043c \u0440\u043e\u0432\u043d\u043e \u0442\u0430\u043c \u0436\u0435, \u0433\u0434\u0435 \u0441\u043f\u043e\u0442\u043a\u043d\u0443\u043b\u0441\u044f \u043f\u0430\u0440\u0441\u0435\u0440 \u0437\u0430\u043f\u0438\u0441\u0435\u0439: <code>\u043f\u0440\u043e\u0447\u0438\u0442\u0430\u043d\u043e<\/code> \u0438 <code>\u0437\u0430\u044f\u0432\u043b\u0435\u043d\u043e<\/code> \u0437\u0430\u043d\u0438\u0437\u044f\u0442\u0441\u044f \u0441\u043e\u0433\u043b\u0430\u0441\u043e\u0432\u0430\u043d\u043d\u043e \u0438 \u0441\u043e\u0432\u043f\u0430\u0434\u0443\u0442. \u041f\u0440\u043e\u0432\u0435\u0440\u043a\u0430 \u0432\u044b\u0434\u0430\u0441\u0442 <code>OK<\/code> \u0438\u043c\u0435\u043d\u043d\u043e \u043d\u0430 \u0442\u043e\u043c \u043a\u043b\u0430\u0441\u0441\u0435 \u0444\u0430\u0439\u043b\u043e\u0432, \u0440\u0430\u0434\u0438 \u043a\u043e\u0442\u043e\u0440\u043e\u0433\u043e \u043e\u043d\u0430 \u043f\u0438\u0441\u0430\u043b\u0430\u0441\u044c. \u0420\u043e\u0432\u043d\u043e \u043f\u043e\u044d\u0442\u043e\u043c\u0443 \u0432 \u0441\u043a\u0440\u0438\u043f\u0442\u0435 \u0432\u044b\u0448\u0435 \u0441\u0442\u043e\u044f\u0442 \u0434\u0432\u0430 <code>continue<\/code>, \u0430 \u043d\u0435 <code>break<\/code>.<\/p>\n<p>\u0418\u0442\u043e\u0433\u043e, \u0447\u0435\u0442\u044b\u0440\u0435 \u0438\u0441\u0445\u043e\u0434\u0430 \u2014 \u0438 \u0432\u044b\u0432\u043e\u0434\u044b \u0434\u043b\u044f \u0440\u0430\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u0438\u044f \u0443 \u043d\u0438\u0445 \u0440\u0430\u0437\u043d\u044b\u0435:<\/p>\n<div>\n<div class=\"table\">\n<table>\n<tbody>\n<tr>\n<th>\n<p align=\"left\">\u0427\u0442\u043e \u0432\u0438\u0434\u0438\u043c<\/p>\n<\/th>\n<th>\n<p align=\"left\">\u0427\u0442\u043e \u044d\u0442\u043e \u0437\u043d\u0430\u0447\u0438\u0442<\/p>\n<\/th>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">\u043f\u0440\u043e\u0447\u0438\u0442\u0430\u043d\u043e = \u0437\u0430\u044f\u0432\u043b\u0435\u043d\u043e, \u0437\u0430\u0433\u043e\u043b\u043e\u0432\u043a\u0438 \u0432\u0441\u0435 \u0447\u0438\u0442\u0430\u0435\u043c\u044b<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u043f\u043e\u043b\u043d\u043e\u0442\u0430 \u043f\u043e\u0434\u0442\u0432\u0435\u0440\u0436\u0434\u0435\u043d\u0430<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">\u043f\u0440\u043e\u0447\u0438\u0442\u0430\u043d\u043e &lt; \u0437\u0430\u044f\u0432\u043b\u0435\u043d\u043e<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u043f\u043e\u0442\u0435\u0440\u044f\u043b <strong>\u043f\u0430\u0440\u0441\u0435\u0440<\/strong>: \u043e\u0431\u0440\u0435\u0437\u043a\u0430 \u0447\u0442\u0435\u043d\u0438\u044f, \u043d\u0430\u0448 \u0441\u043b\u0443\u0447\u0430\u0439<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">\u043f\u0440\u043e\u0447\u0438\u0442\u0430\u043d\u043e = \u0437\u0430\u044f\u0432\u043b\u0435\u043d\u043e, \u043d\u043e \u0432 \u0434\u0438\u0430\u043f\u0430\u0437\u043e\u043d\u0435 \u0434\u044b\u0440\u044b<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u0437\u0430\u043f\u0438\u0441\u0435\u0439 \u043d\u0435\u0442 <strong>\u0432 \u0441\u0430\u043c\u043e\u043c \u0444\u0430\u0439\u043b\u0435<\/strong>: \u0440\u043e\u0442\u0430\u0446\u0438\u044f \u0438\u043b\u0438 \u0432\u044b\u0431\u043e\u0440\u043e\u0447\u043d\u043e\u0435 \u0443\u0434\u0430\u043b\u0435\u043d\u0438\u0435 \u2014 \u0442\u0435\u0440\u0440\u0438\u0442\u043e\u0440\u0438\u044f <code>chainsaw analyse gaps<\/code><\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">\u0447\u0430\u0441\u0442\u044c \u0437\u0430\u0433\u043e\u043b\u043e\u0432\u043a\u043e\u0432 chunk&#8217;\u043e\u0432 \u043d\u0435\u0447\u0438\u0442\u0430\u0435\u043c\u0430<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u044d\u0442\u0430\u043b\u043e\u043d \u043d\u0435\u043f\u043e\u043b\u043e\u043d: \u0447\u0435\u0441\u0442\u043d\u044b\u0439 \u043e\u0442\u0432\u0435\u0442 \u043d\u0435 \u00abOK\u00bb, \u0430 \u00ab\u043f\u043e\u043b\u043d\u043e\u0442\u0430 \u043d\u0435\u043f\u0440\u043e\u0432\u0435\u0440\u044f\u0435\u043c\u0430\u00bb<\/p>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n<\/div>\n<p>\u041f\u044f\u0442\u044b\u0439 \u0441\u043b\u0443\u0447\u0430\u0439 \u2014 \u043f\u0440\u043e\u0447\u0438\u0442\u0430\u043d\u043e <strong>\u0431\u043e\u043b\u044c\u0448\u0435<\/strong>, \u0447\u0435\u043c \u0437\u0430\u044f\u0432\u043b\u0435\u043d\u043e, \u2014 \u0442\u043e\u0436\u0435 \u0431\u044b\u0432\u0430\u0435\u0442: \u0437\u043d\u0430\u0447\u0438\u0442, \u0437\u0430\u0433\u043e\u043b\u043e\u0432\u043a\u0438 chunk&#8217;\u043e\u0432 \u0443\u0441\u0442\u0430\u0440\u0435\u043b\u0438 \u0438\u043b\u0438 \u043f\u043e\u0432\u0440\u0435\u0436\u0434\u0435\u043d\u044b \u0438 \u044d\u0442\u0430\u043b\u043e\u043d\u0443 \u0434\u043e\u0432\u0435\u0440\u044f\u0442\u044c \u043d\u0435\u043b\u044c\u0437\u044f. \u0412\u0441\u0442\u0440\u0435\u0447\u0430\u0435\u0442\u0441\u044f \u0440\u0435\u0434\u043a\u043e, \u043d\u043e \u043e\u0431\u0440\u0430\u0431\u0430\u0442\u044b\u0432\u0430\u0442\u044c \u0435\u0433\u043e \u043d\u0430\u0434\u043e \u044f\u0432\u043d\u043e, \u0438\u043d\u0430\u0447\u0435 \u043e\u043d \u043c\u0430\u0441\u043a\u0438\u0440\u0443\u0435\u0442\u0441\u044f \u043f\u043e\u0434 \u043d\u043e\u0440\u043c\u0443.<\/p>\n<h3>\u041a\u0430\u043a \u044f \u0441\u0432\u0451\u043b \u044d\u0442\u0443 \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0443 \u0432 \u043e\u0434\u043d\u0443 \u043a\u043e\u043c\u0430\u043d\u0434\u0443<\/h3>\n<p>\u0418\u0437 \u044d\u0442\u043e\u0439 \u0438\u0441\u0442\u043e\u0440\u0438\u0438 \u0432\u044b\u0440\u043e\u0441\u043b\u0430 \u0443\u0442\u0438\u043b\u0438\u0442\u0430 \u2014 <a href=\"https:\/\/github.com\/kotru21\/evtx-viewer\" rel=\"noopener noreferrer nofollow\"><code>evtxview<\/code><\/a> (Python, \u043e\u0431\u0451\u0440\u0442\u043a\u0430 \u043d\u0430\u0434 rust-\u043f\u0430\u0440\u0441\u0435\u0440\u043e\u043c <code>evtx<\/code>, MIT):<\/p>\n<pre><code class=\"bash\">pipx install git+https:\/\/github.com\/kotru21\/evtx-viewer<\/code><div class=\"code-explainer\"><a href=\"https:\/\/sourcecraft.dev\/\" class=\"tm-button code-explainer__link\" style=\"visibility: hidden;\"><img style=\"width:14px;height:14px;object-fit:cover;object-position:left;\"\/><\/a><\/div><\/pre>\n<p>\u041d\u0438\u0447\u0435\u0433\u043e \u043f\u0440\u0438\u043d\u0446\u0438\u043f\u0438\u0430\u043b\u044c\u043d\u043e \u043d\u043e\u0432\u043e\u0433\u043e \u043f\u043e \u0441\u0440\u0430\u0432\u043d\u0435\u043d\u0438\u044e \u0441\u043e \u0441\u043a\u0440\u0438\u043f\u0442\u043e\u043c \u0432\u044b\u0448\u0435 \u043e\u043d\u0430 \u043d\u0435 \u0434\u0435\u043b\u0430\u0435\u0442 \u2014 \u043f\u0440\u043e\u0441\u0442\u043e \u043f\u0440\u043e\u0433\u043e\u043d\u044f\u0435\u0442 \u0442\u0443 \u0436\u0435 \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0443 \u043f\u043e \u0432\u0441\u0435\u043c \u0444\u0430\u0439\u043b\u0430\u043c \u0441\u0440\u0430\u0437\u0443, \u0440\u0430\u0437\u043b\u0438\u0447\u0430\u0435\u0442 \u0447\u0435\u0442\u044b\u0440\u0435 \u0438\u0441\u0445\u043e\u0434\u0430 \u0438\u0437 \u0442\u0430\u0431\u043b\u0438\u0446\u044b \u0438 \u043d\u0430\u0437\u044b\u0432\u0430\u0435\u0442 \u043f\u0440\u043e\u043f\u0430\u0432\u0448\u0438\u0435 \u0437\u0430\u043f\u0438\u0441\u0438 \u043f\u043e\u0438\u043c\u0451\u043d\u043d\u043e. \u0412\u044b\u0432\u043e\u0434 \u043d\u0430 \u0436\u0443\u0440\u043d\u0430\u043b\u0430\u0445 \u043e\u0431\u0440\u0430\u0437\u0430, \u0434\u043e\u0441\u043b\u043e\u0432\u043d\u043e:<\/p>\n<pre><code>$ evtxview logs\/*.evtx --verifylogs\/Sysmon.evtx: chunks=30 \u0437\u0430\u044f\u0432\u043b\u0435\u043d\u043e=2309 \u043f\u0440\u043e\u0447\u0438\u0442\u0430\u043d\u043e=2309 !!! \u041f\u041e\u041b\u041d\u041e\u0422\u0410 \u041d\u0415\u041f\u0420\u041e\u0412\u0415\u0420\u042f\u0415\u041c\u0410 (chunk-errors: 3) (\u0431\u0438\u0442\u044b\u0445 \u0437\u0430\u0433\u043e\u043b\u043e\u0432\u043a\u043e\u0432 chunk'\u043e\u0432: 3)  \u0441\u0447\u0451\u0442\u0447\u0438\u043a\u0438 \u0447\u0438\u0442\u0430\u0435\u043c\u044b\u0445 \u0437\u0430\u0433\u043e\u043b\u043e\u0432\u043a\u043e\u0432 \u0441\u043e\u0448\u043b\u0438\u0441\u044c, \u043d\u043e \u0447\u0430\u0441\u0442\u044c \u0437\u0430\u0433\u043e\u043b\u043e\u0432\u043a\u043e\u0432 chunk'\u043e\u0432 \u043d\u0435\u0447\u0438\u0442\u0430\u0435\u043c\u0430 \u2014 \u0441\u043a\u043e\u043b\u044c\u043a\u043e \u0437\u0430\u043f\u0438\u0441\u0435\u0439 \u0431\u044b\u043b\u043e \u0432 \u043d\u0438\u0445, \u043d\u0435\u0438\u0437\u0432\u0435\u0441\u0442\u043d\u043elogs\/TS-RCM.evtx: chunks=4 \u0437\u0430\u044f\u0432\u043b\u0435\u043d\u043e=406 \u043f\u0440\u043e\u0447\u0438\u0442\u0430\u043d\u043e=406 OK...<\/code><div class=\"code-explainer\"><a href=\"https:\/\/sourcecraft.dev\/\" class=\"tm-button code-explainer__link\" style=\"visibility: hidden;\"><img style=\"width:14px;height:14px;object-fit:cover;object-position:left;\"\/><\/a><\/div><\/pre>\n<p>\u0414\u0432\u0430 \u0447\u0438\u0441\u043b\u0430 \u0432 \u043f\u0435\u0440\u0432\u043e\u0439 \u0441\u0442\u0440\u043e\u043a\u0435 \u2014 \u0440\u0430\u0437\u043d\u043e\u0439 \u043f\u0440\u0438\u0440\u043e\u0434\u044b \u0438 \u0441\u043e\u0432\u043f\u0430\u043b\u0438 \u0441\u043b\u0443\u0447\u0430\u0439\u043d\u043e: <code>chunk-errors<\/code> \u2014 \u0441\u043a\u043e\u043b\u044c\u043a\u043e \u0440\u0430\u0437 \u0441\u043f\u043e\u0442\u043a\u043d\u0443\u043b\u0441\u044f rust-\u043f\u0430\u0440\u0441\u0435\u0440 \u0437\u0430\u043f\u0438\u0441\u0435\u0439, <code>\u0431\u0438\u0442\u044b\u0445 \u0437\u0430\u0433\u043e\u043b\u043e\u0432\u043a\u043e\u0432<\/code> \u2014 \u0441\u043a\u043e\u043b\u044c\u043a\u043e \u0441\u043b\u043e\u0442\u043e\u0432 \u043d\u0435 \u043f\u0440\u043e\u0448\u043b\u043e \u043d\u0435\u0437\u0430\u0432\u0438\u0441\u0438\u043c\u044b\u0439 \u0441\u043a\u0430\u043d \u0437\u0430\u0433\u043e\u043b\u043e\u0432\u043a\u043e\u0432. \u0422\u043e, \u0447\u0442\u043e \u043e\u0431\u0430 \u0440\u0430\u0432\u043d\u044b \u0442\u0440\u0451\u043c, \u0437\u0434\u0435\u0441\u044c \u0441\u043e\u0432\u043f\u0430\u0434\u0435\u043d\u0438\u0435, \u0438 \u0438\u043c\u0435\u043d\u043d\u043e \u0440\u0430\u0441\u0445\u043e\u0436\u0434\u0435\u043d\u0438\u0435 \u043c\u0435\u0436\u0434\u0443 \u043d\u0438\u043c\u0438 \u0431\u044b\u043b\u043e \u0431\u044b \u0438\u043d\u0442\u0435\u0440\u0435\u0441\u043d\u044b\u043c.<\/p>\n<p>\u0410 \u0442\u0430\u043a \u0432\u044b\u0433\u043b\u044f\u0434\u0438\u0442 \u043e\u0431\u0440\u0435\u0437\u043a\u0430 \u0447\u0442\u0435\u043d\u0438\u044f. \u0427\u0442\u043e\u0431\u044b \u043d\u0435 \u0432\u044b\u0434\u0443\u043c\u044b\u0432\u0430\u0442\u044c \u0432\u044b\u0432\u043e\u0434, \u044f \u0441\u043b\u043e\u043c\u0430\u043b \u0444\u0430\u0439\u043b \u0447\u0435\u0441\u0442\u043d\u043e: \u0432\u0437\u044f\u043b TS-RCM \u0438 \u0437\u0430\u043d\u0443\u043b\u0438\u043b \u043e\u0431\u043b\u0430\u0441\u0442\u044c \u0437\u0430\u043f\u0438\u0441\u0435\u0439 \u0432\u043d\u0443\u0442\u0440\u0438 \u0442\u0440\u0435\u0442\u044c\u0435\u0433\u043e chunk&#8217;\u0430, \u043d\u0435 \u0442\u0440\u043e\u0433\u0430\u044f \u0435\u0433\u043e \u0437\u0430\u0433\u043e\u043b\u043e\u0432\u043e\u043a. \u0417\u0430\u0433\u043e\u043b\u043e\u0432\u043e\u043a \u043f\u043e-\u043f\u0440\u0435\u0436\u043d\u0435\u043c\u0443 \u0437\u0430\u044f\u0432\u043b\u044f\u0435\u0442 \u0437\u0430\u043f\u0438\u0441\u0438 254\u2013381, \u0430 \u043f\u0440\u043e\u0447\u0438\u0442\u0430\u0442\u044c \u0438\u0445 \u0443\u0436\u0435 \u043d\u0435\u043b\u044c\u0437\u044f:<\/p>\n<pre><code>$ evtxview logs\/suspect.evtx --verifylogs\/suspect.evtx: chunks=4 \u0437\u0430\u044f\u0432\u043b\u0435\u043d\u043e=406 \u043f\u0440\u043e\u0447\u0438\u0442\u0430\u043d\u043e=278 !!! \u041e\u0411\u0420\u0415\u0417\u041a\u0410 \u0427\u0422\u0415\u041d\u0418\u042f  \u043f\u0430\u0440\u0441\u0435\u0440 \u0432\u0435\u0440\u043d\u0443\u043b \u043c\u0435\u043d\u044c\u0448\u0435 \u0437\u0430\u043f\u0438\u0441\u0435\u0439, \u0447\u0435\u043c \u0437\u0430\u044f\u0432\u043b\u044f\u044e\u0442 \u0437\u0430\u0433\u043e\u043b\u043e\u0432\u043a\u0438 chunk'\u043e\u0432 \u2014 \u0447\u0430\u0441\u0442\u044c \u0444\u0430\u0439\u043b\u0430 \u043d\u0435 \u043f\u0440\u043e\u0447\u0438\u0442\u0430\u043d\u0430  \u043f\u0440\u043e\u043f\u0443\u0449\u0435\u043d\u043e EventRecordID: 128  [254, 255, 256, 257, 258, 259, 260, 261, 262 \u2026(+119)]  (\u0434\u0438\u0430\u043f\u0430\u0437\u043e\u043d 1..406)<\/code><div class=\"code-explainer\"><a href=\"https:\/\/sourcecraft.dev\/\" class=\"tm-button code-explainer__link\" style=\"visibility: hidden;\"><img style=\"width:14px;height:14px;object-fit:cover;object-position:left;\"\/><\/a><\/div><\/pre>\n<p>128 \u043f\u0440\u043e\u043f\u0430\u0432\u0448\u0438\u0445 \u0437\u0430\u043f\u0438\u0441\u0435\u0439 \u043d\u0430\u0437\u0432\u0430\u043d\u044b \u043f\u043e\u0438\u043c\u0451\u043d\u043d\u043e \u2014 \u044d\u0442\u043e \u0443\u0436\u0435 \u043d\u0435 \u00ab\u0447\u0442\u043e-\u0442\u043e \u043f\u043e\u0442\u0435\u0440\u044f\u043b\u043e\u0441\u044c\u00bb, \u0430 \u0441\u043f\u0438\u0441\u043e\u043a \u0442\u043e\u0433\u043e, \u0447\u0442\u043e \u043d\u0430\u0434\u043e \u0438\u0441\u043a\u0430\u0442\u044c \u0432 \u0434\u0440\u0443\u0433\u043e\u043c \u0438\u0441\u0442\u043e\u0447\u043d\u0438\u043a\u0435.<\/p>\n<p>\u041a\u0440\u043e\u043c\u0435 <code>--verify<\/code> \u0442\u0430\u043c \u043e\u0431\u044b\u0447\u043d\u044b\u0439 \u0442\u0440\u0438\u0430\u0436\u043d\u044b\u0439 \u043d\u0430\u0431\u043e\u0440 \u2014 \u0441\u0432\u043e\u0434\u043a\u0430 \u043f\u043e EventID, \u0441\u043b\u0438\u044f\u043d\u0438\u0435 \u0436\u0443\u0440\u043d\u0430\u043b\u043e\u0432 \u0432 \u0435\u0434\u0438\u043d\u044b\u0439 \u0442\u0430\u0439\u043c\u043b\u0430\u0439\u043d, \u0444\u0438\u043b\u044c\u0442\u0440\u044b, \u044d\u043a\u0441\u043f\u043e\u0440\u0442, \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u043e \u043f\u0440\u0435\u0441\u0435\u0442\u043e\u0432 \u043f\u043e\u0434 \u0442\u0438\u043f\u043e\u0432\u044b\u0435 \u0437\u0430\u0434\u0430\u0447\u0438; \u043f\u043e\u0434\u0440\u043e\u0431\u043d\u043e\u0441\u0442\u0438 \u0432 README, \u0437\u0434\u0435\u0441\u044c \u043e\u043d\u0438 \u043a \u0434\u0435\u043b\u0443 \u043d\u0435 \u043e\u0442\u043d\u043e\u0441\u044f\u0442\u0441\u044f.<\/p>\n<p><strong>\u0427\u0435\u0441\u0442\u043d\u043e \u043e \u0442\u043e\u043c, \u0433\u0434\u0435 \u044d\u0442\u043e \u043d\u0435 \u043d\u0443\u0436\u043d\u043e.<\/strong> Detection \u043f\u043e Sigma-\u043f\u0440\u0430\u0432\u0438\u043b\u0430\u043c \u2014 \u044d\u0442\u043e <a href=\"https:\/\/github.com\/Yamato-Security\/hayabusa\" rel=\"noopener noreferrer nofollow\">Hayabusa<\/a> \u0438 <a href=\"https:\/\/github.com\/WithSecureLabs\/chainsaw\" rel=\"noopener noreferrer nofollow\">Chainsaw<\/a>, \u043e\u043d\u0438 \u0434\u0435\u043b\u0430\u044e\u0442 \u044d\u0442\u043e \u043d\u0435\u0441\u043e\u043f\u043e\u0441\u0442\u0430\u0432\u0438\u043c\u043e \u043b\u0443\u0447\u0448\u0435. \u041d\u043e\u0440\u043c\u0430\u043b\u0438\u0437\u043e\u0432\u0430\u043d\u043d\u044b\u0439 \u043f\u0430\u0440\u0441\u0438\u043d\u0433 \u0441 \u043a\u0430\u0440\u0442\u0430\u043c\u0438 \u043f\u043e\u043b\u0435\u0439 \u043f\u043e\u0434 Timeline Explorer \u2014 <a href=\"https:\/\/ericzimmerman.github.io\/\" rel=\"noopener noreferrer nofollow\">EvtxECmd<\/a>. <code>evtxview<\/code> \u0441 \u043d\u0438\u043c\u0438 \u043d\u0435 \u043a\u043e\u043d\u043a\u0443\u0440\u0438\u0440\u0443\u0435\u0442: \u044d\u0442\u043e \u043c\u0430\u043b\u0435\u043d\u044c\u043a\u0438\u0439 CLI \u0434\u043b\u044f \u0431\u044b\u0441\u0442\u0440\u043e\u0433\u043e \u0442\u0440\u0438\u0430\u0436\u0430 \u0441 \u043e\u0434\u043d\u043e\u0439 \u0444\u0443\u043d\u043a\u0446\u0438\u0435\u0439, \u043a\u043e\u0442\u043e\u0440\u043e\u0439 \u044f \u043d\u0435 \u043d\u0430\u0448\u0451\u043b \u0443 \u043e\u0441\u0442\u0430\u043b\u044c\u043d\u044b\u0445, \u2014 \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u043e\u0439 \u0442\u043e\u0433\u043e, \u0447\u0442\u043e \u0447\u0442\u0435\u043d\u0438\u0435 \u0431\u044b\u043b\u043e \u043f\u043e\u043b\u043d\u044b\u043c, \u0441 \u0440\u0430\u0437\u043b\u0438\u0447\u0435\u043d\u0438\u0435\u043c \u00ab\u043f\u043e\u0442\u0435\u0440\u044f\u043b \u043f\u0430\u0440\u0441\u0435\u0440\u00bb \u0438 \u00ab\u043f\u043e\u0442\u0435\u0440\u044f\u043b \u0444\u0430\u0439\u043b\u00bb. \u041e\u0433\u0440\u0430\u043d\u0438\u0447\u0435\u043d\u0438\u044f: \u0437\u0430\u043f\u0438\u0441\u0438 \u0434\u0435\u0440\u0436\u0430\u0442\u0441\u044f \u0432 \u043f\u0430\u043c\u044f\u0442\u0438 \u0441\u043f\u0438\u0441\u043a\u043e\u043c (\u043f\u043e\u0442\u043e\u043a\u043e\u0432\u044b\u0439 \u0440\u0435\u0436\u0438\u043c \u0432 \u043f\u043b\u0430\u043d\u0430\u0445, <code>--verify<\/code> \u043f\u0430\u043c\u044f\u0442\u044c \u043d\u0435 \u0435\u0441\u0442 \u2014 \u0447\u0438\u0442\u0430\u0435\u0442 \u0442\u043e\u043b\u044c\u043a\u043e \u0437\u0430\u0433\u043e\u043b\u043e\u0432\u043a\u0438); \u043d\u0430\u0431\u043e\u0440\u044b \u043f\u043e\u043b\u0435\u0439 \u0432\u043d\u0443\u0442\u0440\u0438 \u043f\u0440\u0435\u0441\u0435\u0442\u043e\u0432 \u0437\u0430\u0445\u0430\u0440\u0434\u043a\u043e\u0436\u0435\u043d\u044b.<\/p>\n<h3>\u0427\u0438\u0441\u043b\u043e \u0437\u0430\u043f\u0438\u0441\u0435\u0439 \u2014 \u044d\u0442\u043e \u043d\u0435 \u043f\u043e\u043b\u043d\u043e\u0442\u0430<\/h3>\n<p>\u041e\u0434\u043d\u0430 \u043c\u044b\u0441\u043b\u044c, \u0440\u0430\u0434\u0438 \u043a\u043e\u0442\u043e\u0440\u043e\u0439 \u0432\u0441\u0451 \u043f\u0438\u0441\u0430\u043b\u043e\u0441\u044c:<\/p>\n<blockquote>\n<p><strong>\u0427\u0438\u0441\u043b\u043e \u0437\u0430\u043f\u0438\u0441\u0435\u0439, \u043f\u043e\u043b\u0443\u0447\u0435\u043d\u043d\u043e\u0435 \u043e\u0442 \u043f\u0430\u0440\u0441\u0435\u0440\u0430 \u0431\u0435\u0437 \u043e\u0448\u0438\u0431\u043a\u0438, \u043d\u0438\u0447\u0435\u0433\u043e \u043d\u0435 \u0433\u043e\u0432\u043e\u0440\u0438\u0442 \u043e \u043f\u043e\u043b\u043d\u043e\u0442\u0435 \u0434\u0430\u043d\u043d\u044b\u0445.<\/strong><\/p>\n<\/blockquote>\n<p>\u041f\u0430\u0440\u0441\u0435\u0440, \u0432\u0435\u0440\u043d\u0443\u0432\u0448\u0438\u0439 94 \u0437\u0430\u043f\u0438\u0441\u0438 \u0441 \u043a\u043e\u0434\u043e\u043c 0, \u0438 \u043f\u0430\u0440\u0441\u0435\u0440, \u0432\u0435\u0440\u043d\u0443\u0432\u0448\u0438\u0439 2309 \u0437\u0430\u043f\u0438\u0441\u0435\u0439 \u0441 \u043a\u043e\u0434\u043e\u043c 0, \u0434\u043b\u044f \u0432\u044b\u0437\u044b\u0432\u0430\u044e\u0449\u0435\u0433\u043e \u043a\u043e\u0434\u0430 \u043d\u0435\u0440\u0430\u0437\u043b\u0438\u0447\u0438\u043c\u044b. \u0420\u0430\u0437\u043d\u0438\u0446\u0430 \u0432\u0438\u0434\u043d\u0430, \u0442\u043e\u043b\u044c\u043a\u043e \u0435\u0441\u043b\u0438 \u0441\u043f\u0440\u043e\u0441\u0438\u0442\u044c \u0443 \u0441\u0430\u043c\u043e\u0433\u043e \u0444\u0430\u0439\u043b\u0430, \u0441\u043a\u043e\u043b\u044c\u043a\u043e \u0437\u0430\u043f\u0438\u0441\u0435\u0439 \u043e\u043d \u0441\u043e\u0434\u0435\u0440\u0436\u0438\u0442, \u2014 \u0438 \u0441\u0440\u0430\u0432\u043d\u0438\u0442\u044c.<\/p>\n<p>\u041f\u0440\u0430\u043a\u0442\u0438\u0447\u0435\u0441\u043a\u0438\u0439 \u043c\u0438\u043d\u0438\u043c\u0443\u043c \u2014 \u0441\u0432\u0435\u0440\u043a\u0430 \u0434\u0432\u0443\u0445 \u043d\u0435\u0437\u0430\u0432\u0438\u0441\u0438\u043c\u044b\u0445 \u0438\u0441\u0442\u043e\u0447\u043d\u0438\u043a\u043e\u0432. \u041d\u0430 Windows:<\/p>\n<pre><code>$ wevtutil gli \/lf:true Sysmon.evtx | findstr numberOfLogRecordsnumberOfLogRecords: 2309<\/code><div class=\"code-explainer\"><a href=\"https:\/\/sourcecraft.dev\/\" class=\"tm-button code-explainer__link\" style=\"visibility: hidden;\"><img style=\"width:14px;height:14px;object-fit:cover;object-position:left;\"\/><\/a><\/div><\/pre>\n<p>\u0413\u0434\u0435 \u0443\u0433\u043e\u0434\u043d\u043e \u2014 \u043f\u044f\u0442\u043d\u0430\u0434\u0446\u0430\u0442\u044c \u0441\u0442\u0440\u043e\u043a \u0438\u0437 \u0440\u0430\u0437\u0434\u0435\u043b\u0430 \u00ab\u041a\u0430\u043a \u044d\u0442\u043e \u043f\u0440\u043e\u0432\u0435\u0440\u044f\u0442\u044c\u00bb, \u0431\u0435\u0437 \u0437\u0430\u0432\u0438\u0441\u0438\u043c\u043e\u0441\u0442\u0435\u0439 \u0438 \u0431\u0435\u0437 Windows.<\/p>\n<p>\u0415\u0441\u043b\u0438 \u0432\u0430\u0448 \u043f\u0430\u0439\u043f\u043b\u0430\u0439\u043d \u0432\u044b\u0434\u0430\u043b \u0434\u0440\u0443\u0433\u043e\u0435 \u0447\u0438\u0441\u043b\u043e \u2014 \u044d\u0442\u043e \u043d\u0435 \u00ab\u043e\u0441\u043e\u0431\u0435\u043d\u043d\u043e\u0441\u0442\u044c \u0440\u0435\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0438\u00bb. \u042d\u0442\u043e \u0432\u0430\u0448 \u0438\u043d\u0446\u0438\u0434\u0435\u043d\u0442, \u0440\u0430\u0437\u0431\u0438\u0440\u0430\u0435\u043c\u044b\u0439 \u043f\u043e 4% \u0434\u0430\u043d\u043d\u044b\u0445, \u0432 \u043a\u043e\u0442\u043e\u0440\u044b\u0445 \u043d\u0435 \u0431\u044b\u043b\u043e \u043d\u0438 \u043e\u0434\u043d\u043e\u0433\u043e \u0441\u043e\u0431\u044b\u0442\u0438\u044f \u0430\u0442\u0430\u043a\u0438.<\/p>\n<p><strong>\u041f\u0440\u043e\u0432\u0435\u0440\u044c\u0442\u0435 \u0443 \u0441\u0435\u0431\u044f.<\/strong> \u0412\u043e\u0437\u044c\u043c\u0438\u0442\u0435 \u043b\u044e\u0431\u043e\u0439 <code>.evtx<\/code>, \u0441\u043d\u044f\u0442\u044b\u0439 \u0441 \u0436\u0438\u0432\u043e\u0439 \u043c\u0430\u0448\u0438\u043d\u044b, \u043f\u0440\u043e\u0433\u043e\u043d\u0438\u0442\u0435 \u0447\u0435\u0440\u0435\u0437 \u0441\u0432\u043e\u0439 \u043e\u0431\u044b\u0447\u043d\u044b\u0439 \u043f\u0430\u0439\u043f\u043b\u0430\u0439\u043d \u0438 \u0447\u0435\u0440\u0435\u0437 <code>check_<\/code><a href=\"http:\/\/evtx.py\" rel=\"noopener noreferrer nofollow\"><code>evtx.py<\/code><\/a> \u2014 \u0438 \u043a\u0438\u043d\u044c\u0442\u0435 \u0432 \u043a\u043e\u043c\u043c\u0435\u043d\u0442\u0430\u0440\u0438\u0438 \u043e\u0434\u043d\u0443 \u0441\u0442\u0440\u043e\u0447\u043a\u0443 \u0432 \u0442\u0430\u043a\u043e\u043c \u0432\u0438\u0434\u0435:<\/p>\n<pre><code>python-evtx 0.8.1 \u2192 94   |   \u0437\u0430\u0433\u043e\u043b\u043e\u0432\u043a\u0438 \u0437\u0430\u044f\u0432\u043b\u044f\u044e\u0442 2309   |   33 \u0441\u043b\u043e\u0442\u0430, 3 \u043d\u0435\u0447\u0438\u0442\u0430\u0435\u043c\u044b\u0445<\/code><div class=\"code-explainer\"><a href=\"https:\/\/sourcecraft.dev\/\" class=\"tm-button code-explainer__link\" style=\"visibility: hidden;\"><img style=\"width:14px;height:14px;object-fit:cover;object-position:left;\"\/><\/a><\/div><\/pre>\n<p>\u041c\u043d\u0435 \u043e\u0447\u0435\u043d\u044c \u0438\u043d\u0442\u0435\u0440\u0435\u0441\u043d\u043e, \u043d\u0430\u0441\u043a\u043e\u043b\u044c\u043a\u043e \u044d\u0442\u043e \u043c\u0430\u0441\u0441\u043e\u0432\u043e \u0437\u0430 \u043f\u0440\u0435\u0434\u0435\u043b\u0430\u043c\u0438 \u043e\u0434\u043d\u043e\u0433\u043e \u043e\u0431\u0440\u0430\u0437\u0430, \u0438 \u043d\u0430 \u043a\u0430\u043a\u0438\u0445 \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u0430\u0445 \u0440\u0430\u0441\u0445\u043e\u0434\u0438\u0442\u0441\u044f. \u041e\u0442\u0434\u0435\u043b\u044c\u043d\u043e \u0438\u043d\u0442\u0435\u0440\u0435\u0441\u043d\u044b Winlogbeat, NXLog, Velociraptor \u0438 \u0432\u0441\u0451, \u0447\u0442\u043e \u0442\u0430\u0449\u0438\u0442 \u043b\u043e\u0433\u0438 \u0432 SIEM \u0441\u0430\u043c\u043e: \u0443 \u043c\u0435\u043d\u044f \u0438\u0445 \u043f\u043e\u0434 \u0440\u0443\u043a\u043e\u0439 \u043d\u0435\u0442, \u0430 \u0432\u043e\u043f\u0440\u043e\u0441 \u00ab\u0430 \u0447\u0442\u043e \u0434\u043e\u0435\u0445\u0430\u043b\u043e \u0434\u043e \u0438\u043d\u0434\u0435\u043a\u0441\u0430\u00bb \u0440\u043e\u0432\u043d\u043e \u0442\u043e\u0442 \u0436\u0435.<\/p>\n<p><sub>\u041b\u0438\u043d\u043a\u0438: <\/sub><a href=\"https:\/\/github.com\/libyal\/libevtx\/blob\/main\/documentation\/Windows%20XML%20Event%20Log%20(EVTX).asciidoc\" rel=\"noopener noreferrer nofollow\"><sub>\u0441\u043f\u0435\u0446\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u044f \u0444\u043e\u0440\u043c\u0430\u0442\u0430 EVTX (libevtx)<\/sub><\/a><sub> \u00b7 <\/sub><a href=\"https:\/\/github.com\/williballenthin\/python-evtx\" rel=\"noopener noreferrer nofollow\"><sub>python-evtx<\/sub><\/a><sub> \u00b7 <\/sub><a href=\"https:\/\/github.com\/omerbenamram\/evtx\" rel=\"noopener noreferrer nofollow\"><sub>omerbenamram\/evtx<\/sub><\/a><sub> \u00b7 <\/sub><a href=\"https:\/\/github.com\/WithSecureLabs\/chainsaw#gaps-event-log-gap-detection\" rel=\"noopener noreferrer nofollow\"><sub>chainsaw analyse gaps<\/sub><\/a><sub> \u00b7 <\/sub><a href=\"https:\/\/learn.microsoft.com\/windows-server\/administration\/windows-commands\/wevtutil\" rel=\"noopener noreferrer nofollow\"><sub>wevtutil<\/sub><\/a><\/p>\n<\/div>\n<p>\u0441\u0441\u044b\u043b\u043a\u0430 \u043d\u0430 \u043e\u0440\u0438\u0433\u0438\u043d\u0430\u043b \u0441\u0442\u0430\u0442\u044c\u0438 <a href=\"https:\/\/habr.com\/ru\/articles\/1063518\/\">https:\/\/habr.com\/ru\/articles\/1063518\/<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"<p>\u0422\u0440\u0438\u0430\u0436 \u0440\u0430\u0431\u043e\u0447\u0435\u0439 \u0441\u0442\u0430\u043d\u0446\u0438\u0438: \u0436\u0443\u0440\u043d\u0430\u043b Sysmon, \u0441\u043a\u0440\u0438\u043f\u0442 \u043d\u0430 python-evtx \u2014 \u0432\u0441\u0451 \u043a\u0430\u043a \u0432 \u0441\u043e\u0442\u043d\u0435 \u0442\u0443\u0442\u043e\u0440\u0438\u0430\u043b\u043e\u0432:from Evtx.Evtx import Evtxwith Evtx(&#171;Sysmon.evtx&#187;) as log:    for record in log.records():        &#8230;\u0421\u043a\u0440\u0438\u043f\u0442 \u043e\u0442\u0440\u0430\u0431\u043e\u0442\u0430\u043b. \u0411\u0435\u0437 \u0438\u0441\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u0439, \u0431\u0435\u0437 \u043f\u0440\u0435\u0434\u0443\u043f\u0440\u0435\u0436\u0434\u0435\u043d\u0438\u0439, \u0441 \u043a\u043e\u0434\u043e\u043c \u0432\u043e\u0437\u0432\u0440\u0430\u0442\u0430 0. \u041d\u0430 \u0432\u044b\u0445\u043e\u0434\u0435 \u2014 94 \u0437\u0430\u043f\u0438\u0441\u0438.\u041f\u0440\u043e\u0431\u043b\u0435\u043c\u0430 \u0432 \u0442\u043e\u043c, \u0447\u0442\u043e \u0432 \u0444\u0430\u0439\u043b\u0435 \u0438\u0445 2309.\u0410 \u0432 \u043f\u043e\u0442\u0435\u0440\u044f\u043d\u043d\u044b\u0445 96% \u043b\u0435\u0436\u0430\u043b\u0430 \u0432\u0441\u044f \u0430\u0442\u0430\u043a\u0430: \u0441\u043e\u0437\u0434\u0430\u043d\u0438\u0435 \u0430\u0434\u043c\u0438\u043d\u0441\u043a\u043e\u0439 \u0443\u0447\u0451\u0442\u043a\u0438, \u0434\u0430\u043c\u043f \u043f\u0430\u0440\u043e\u043b\u0435\u0439, \u0430\u0440\u0445\u0438\u0432\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u0435 \u043a\u0430\u0442\u0430\u043b\u043e\u0433\u043e\u0432 \u043f\u0435\u0440\u0435\u0434 \u0432\u044b\u0433\u0440\u0443\u0437\u043a\u043e\u0439 \u0438 \u0437\u0430\u043f\u0443\u0441\u043a \u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043b\u044c\u0449\u0438\u043a\u0430. \u0426\u0435\u043b\u0438\u043a\u043e\u043c. \u041e\u0442 \u043f\u0435\u0440\u0432\u043e\u0433\u043e \u0434\u043e \u043f\u043e\u0441\u043b\u0435\u0434\u043d\u0435\u0433\u043e \u0441\u043e\u0431\u044b\u0442\u0438\u044f.\u0421\u0440\u0430\u0437\u0443 \u043e\u0433\u043e\u0432\u043e\u0440\u043a\u0430, \u0447\u0442\u043e\u0431\u044b \u043d\u0435 \u0442\u0440\u0430\u0442\u0438\u0442\u044c \u0432\u0430\u0448\u0435 \u0432\u0440\u0435\u043c\u044f \u0437\u0440\u044f: \u0440\u0435\u0447\u044c \u043f\u0440\u043e \u0434\u0435\u0444\u043e\u043b\u0442\u043d\u043e\u0435 \u043f\u043e\u0432\u0435\u0434\u0435\u043d\u0438\u0435 python-evtx. Rust-\u043f\u0430\u0440\u0441\u0435\u0440 evtx, EvtxECmd \u0438 wevtutil \u044d\u0442\u043e\u0442 \u0436\u0435 \u0444\u0430\u0439\u043b \u0447\u0438\u0442\u0430\u044e\u0442 \u0446\u0435\u043b\u0438\u043a\u043e\u043c \u2014 \u043d\u0438\u0436\u0435 \u044f \u043f\u043e\u043a\u0430\u0437\u044b\u0432\u0430\u044e, \u043a\u0430\u043a \u0432 \u044d\u0442\u043e\u043c \u0443\u0431\u0435\u0434\u0438\u0442\u044c\u0441\u044f. \u0422\u0430\u043a \u0447\u0442\u043e \u0432\u043e\u043f\u0440\u043e\u0441 \u043d\u0435 \u00ab\u0441\u043b\u043e\u043c\u0430\u043d\u0430 \u043b\u0438 \u0431\u0438\u0431\u043b\u0438\u043e\u0442\u0435\u043a\u0430\u00bb, \u0430 \u00ab\u0447\u0442\u043e \u0438\u043c\u0435\u043d\u043d\u043e \u0438\u0437 \u044d\u0442\u043e\u0433\u043e \u0434\u0435\u043b\u0430\u0435\u0442 \u0432\u0430\u0448 \u043f\u0430\u0439\u043f\u043b\u0430\u0439\u043d\u00bb.TL;DR\u0412 \u0437\u0430\u0433\u043e\u043b\u043e\u0432\u043a\u0435 .evtx \u0435\u0441\u0442\u044c \u043f\u043e\u043b\u0435 chunk_count. \u041d\u0430 \u0436\u0443\u0440\u043d\u0430\u043b\u0435, \u0441\u043d\u044f\u0442\u043e\u043c \u0441 \u0440\u0430\u0431\u043e\u0442\u0430\u044e\u0449\u0435\u0439 \u043c\u0430\u0448\u0438\u043d\u044b, \u043e\u043d\u043e \u043f\u043e\u0447\u0442\u0438 \u0432\u0441\u0435\u0433\u0434\u0430 \u0437\u0430\u043d\u0438\u0436\u0435\u043d\u043e \u2014 \u044d\u0442\u043e \u043d\u0435 \u043f\u043e\u0432\u0440\u0435\u0436\u0434\u0435\u043d\u0438\u0435, \u0430 \u0448\u0442\u0430\u0442\u043d\u043e\u0435 \u0441\u043e\u0441\u0442\u043e\u044f\u043d\u0438\u0435.python-evtx \u043f\u043e \u0443\u043c\u043e\u043b\u0447\u0430\u043d\u0438\u044e \u0432\u0435\u0440\u0438\u0442 \u044d\u0442\u043e\u043c\u0443 \u043f\u043e\u043b\u044e \u0438 \u043e\u0441\u0442\u0430\u043d\u0430\u0432\u043b\u0438\u0432\u0430\u0435\u0442 \u043e\u0431\u0445\u043e\u0434 \u043d\u0430 \u043d\u0451\u043c. \u041e\u0448\u0438\u0431\u043a\u0438 \u043d\u0435\u0442, \u043a\u043e\u0434\u0430 \u0432\u043e\u0437\u0432\u0440\u0430\u0442\u0430 \u043d\u0435\u0442, \u0435\u0441\u0442\u044c \u0447\u0438\u0441\u043b\u043e \u0437\u0430\u043f\u0438\u0441\u0435\u0439, \u043a\u043e\u0442\u043e\u0440\u043e\u0435 \u043d\u0438\u0447\u0435\u0433\u043e \u043d\u0435 \u0437\u043d\u0430\u0447\u0438\u0442.\u041f\u0440\u043e\u0432\u0435\u0440\u043a\u0430 \u00ab\u0430 \u043d\u0435\u0442 \u043b\u0438 \u0434\u044b\u0440 \u0432 EventRecordID\u00bb \u044d\u0442\u043e\u0442 \u0441\u043b\u0443\u0447\u0430\u0439 \u043d\u0435 \u043b\u043e\u0432\u0438\u0442 \u043f\u043e \u043f\u043e\u0441\u0442\u0440\u043e\u0435\u043d\u0438\u044e \u2014 \u043e\u043d\u0430 \u043f\u043e\u0434\u0442\u0432\u0435\u0440\u0434\u0438\u0442 \u0446\u0435\u043b\u043e\u0441\u0442\u043d\u043e\u0441\u0442\u044c \u0434\u0430\u043d\u043d\u044b\u0445, \u043a\u043e\u0442\u043e\u0440\u044b\u0445 \u0443 \u0432\u0430\u0441 \u043d\u0435\u0442.\u0427\u0442\u043e \u0441\u0434\u0435\u043b\u0430\u0442\u044c \u043f\u0440\u044f\u043c\u043e \u0441\u0435\u0439\u0447\u0430\u0441: \u043f\u0440\u043e\u0433\u043d\u0430\u0442\u044c \u043b\u044e\u0431\u043e\u0439 .evtx \u0441 \u0436\u0438\u0432\u043e\u0439 \u043c\u0430\u0448\u0438\u043d\u044b \u0447\u0435\u0440\u0435\u0437 \u0441\u0432\u043e\u0439 \u043f\u0430\u0439\u043f\u043b\u0430\u0439\u043d \u0438 \u0441\u0440\u0430\u0432\u043d\u0438\u0442\u044c \u0441 wevtutil gli \/lf:true. \u041f\u044f\u0442\u043d\u0430\u0434\u0446\u0430\u0442\u044c \u0441\u0442\u0440\u043e\u043a \u0434\u043b\u044f \u0442\u043e\u0439 \u0436\u0435 \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0438 \u0431\u0435\u0437 Windows \u2014 \u0432 \u0440\u0430\u0437\u0434\u0435\u043b\u0435 \u00ab\u041a\u0430\u043a \u044d\u0442\u043e \u043f\u0440\u043e\u0432\u0435\u0440\u044f\u0442\u044c\u00bb.\u0421\u0442\u0435\u043d\u0434. \u041e\u0431\u0440\u0430\u0437: Windows 7 Pro SP1 (6.1.7601), \u043b\u043e\u0433\u0438 \u0441\u043d\u044f\u0442\u044b \u0441 \u0440\u0430\u0431\u043e\u0442\u0430\u044e\u0449\u0435\u0439 \u043c\u0430\u0448\u0438\u043d\u044b \u0441\u043a\u0440\u0438\u043f\u0442\u043e\u043c live-response-\u0441\u0431\u043e\u0440\u0430. python-evtx 0.8.1, evtx (rust-\u0431\u0438\u043d\u0434\u0438\u043d\u0433) 0.12.1, Chainsaw 2.16.2. \u0414\u0430\u0442\u044b \u0432 \u0432\u044b\u0432\u043e\u0434\u0430\u0445 \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u043e\u0432 \u0438\u0437\u043c\u0435\u043d\u0435\u043d\u044b, EventRecordID \u0438 \u0432\u0441\u0451 \u043e\u0441\u0442\u0430\u043b\u044c\u043d\u043e\u0435 \u2014 \u043f\u043e\u0434\u043b\u0438\u043d\u043d\u044b\u0435.\u0414\u0432\u0430 \u0431\u0430\u0439\u0442\u0430, \u043a\u043e\u0442\u043e\u0440\u044b\u043c \u0432\u0441\u0435 \u0432\u0435\u0440\u044f\u0442\u0420\u0430\u0441\u043a\u043b\u0430\u0434\u043a\u0430 .evtx: \u0437\u0430\u0433\u043e\u043b\u043e\u0432\u043e\u043a 4096 \u0431\u0430\u0439\u0442, 33 \u0441\u043b\u043e\u0442\u0430 \u043f\u043e 64 \u041a\u0411, \u0438\u0437 \u043d\u0438\u0445 30 chunk&#8217;\u043e\u0432 \u0438 3 \u0441\u043b\u043e\u0442\u0430 \u0441 \u043f\u043e\u0441\u0442\u043e\u0440\u043e\u043d\u043d\u0438\u043c\u0438 \u0434\u0430\u043d\u043d\u044b\u043c\u0438; chunk_count = 1 \u0443\u043a\u0430\u0437\u044b\u0432\u0430\u0435\u0442 \u0442\u043e\u043b\u044c\u043a\u043e \u043d\u0430 \u043f\u0435\u0440\u0432\u044b\u0439\u0424\u043e\u0440\u043c\u0430\u0442 EVTX \u0443\u0441\u0442\u0440\u043e\u0435\u043d \u043f\u0440\u043e\u0441\u0442\u043e: \u0437\u0430\u0433\u043e\u043b\u043e\u0432\u043e\u043a \u0444\u0430\u0439\u043b\u0430 \u043d\u0430 4096 \u0431\u0430\u0439\u0442, \u0434\u0430\u043b\u044c\u0448\u0435 \u2014 chunk&#8217;\u0438 \u043f\u043e 65 536 \u0431\u0430\u0439\u0442 (0x10000), \u043a\u0430\u0436\u0434\u044b\u0439 \u0441\u043e \u0441\u0432\u043e\u0438\u043c \u0437\u0430\u0433\u043e\u043b\u043e\u0432\u043a\u043e\u043c ElfChnk\\x00. \u0417\u0430\u043f\u0438\u0441\u0438 \u0436\u0438\u0432\u0443\u0442 \u0432\u043d\u0443\u0442\u0440\u0438 chunk&#8217;\u043e\u0432.\u0412 \u0437\u0430\u0433\u043e\u043b\u043e\u0432\u043a\u0435 \u0444\u0430\u0439\u043b\u0430 \u043f\u043e \u0441\u043c\u0435\u0449\u0435\u043d\u0438\u044e 0x2A \u043b\u0435\u0436\u0438\u0442 chunk_count \u2014 \u0434\u0432\u0443\u0445\u0431\u0430\u0439\u0442\u043e\u0432\u043e\u0435 \u043f\u043e\u043b\u0435: \u0441\u043a\u043e\u043b\u044c\u043a\u043e \u0432 \u0444\u0430\u0439\u043b\u0435 chunk&#8217;\u043e\u0432.\u0412\u043e\u0442 \u0437\u0430\u0433\u043e\u043b\u043e\u0432\u043e\u043a \u0442\u043e\u0433\u043e \u0441\u0430\u043c\u043e\u0433\u043e Sysmon-\u0436\u0443\u0440\u043d\u0430\u043b\u0430 (2 166 784 \u0431\u0430\u0439\u0442\u0430 \u2014 33 \u0441\u043b\u043e\u0442\u0430 \u043f\u043e\u0434 chunk&#8217;\u0438):00000000  45 6c 66 46 69 6c 65 00   ElfFile.    \u043c\u0430\u0433\u0438\u044f00000008  00 00 00 00 00 00 00 00               oldest_chunk00000010  00 00 00 00 00 00 00 00               current_chunk_num00000018  b9 2b 00 00 00 00 00 00               next_record_num = 1119300000020  80 00 00 00 01 00 03 00               hdr_size=128, minor=1, major=300000028  00 10 01 00                           hdr_chunk_size=0x1000, chunk_count = 1  &lt;&#8212;&#8230;00000078  01 00 00 00                           flags = 0x1 (DIRTY)                     &lt;&#8212;chunk_count = 1. \u0424\u0438\u0437\u0438\u0447\u0435\u0441\u043a\u0438 chunk&#8217;\u043e\u0432 \u2014 30.\u042d\u0442\u043e \u043d\u0435 \u043f\u043e\u0432\u0440\u0435\u0436\u0434\u0435\u043d\u0438\u0435. \u042d\u0442\u043e \u043d\u043e\u0440\u043c\u0430\u043b\u044c\u043d\u043e\u0435 \u0441\u043e\u0441\u0442\u043e\u044f\u043d\u0438\u0435 \u0436\u0438\u0432\u043e\u0433\u043e \u0436\u0443\u0440\u043d\u0430\u043b\u0430. \u0424\u043b\u0430\u0433 0x1 (dirty) \u043e\u0437\u043d\u0430\u0447\u0430\u0435\u0442 \u0440\u043e\u0432\u043d\u043e \u0442\u043e, \u0447\u0442\u043e \u043d\u0430\u043f\u0438\u0441\u0430\u043d\u043e \u0432 \u0441\u043f\u0435\u0446\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u0438 libevtx: \u0436\u0443\u0440\u043d\u0430\u043b \u043e\u0442\u043a\u0440\u044b\u0442 \u0438 \u0438\u0437\u043c\u0435\u043d\u044f\u043b\u0441\u044f, \u0438 \u043d\u0435 \u0432\u0441\u0435 \u0438\u0437\u043c\u0435\u043d\u0435\u043d\u0438\u044f \u043e\u0442\u0440\u0430\u0436\u0435\u043d\u044b \u0432 \u0437\u0430\u0433\u043e\u043b\u043e\u0432\u043a\u0435.\u041d\u0430\u0441\u043a\u043e\u043b\u044c\u043a\u043e \u00ab\u043d\u0435 \u0432\u0441\u0435\u00bb \u2014 \u0432\u0438\u0434\u043d\u043e \u043f\u043e \u0432\u0442\u043e\u0440\u043e\u043c\u0443 \u043f\u043e\u043b\u044e. next_record_num \u0432 \u044d\u0442\u043e\u043c \u0437\u0430\u0433\u043e\u043b\u043e\u0432\u043a\u0435 \u2014 11193, \u0438 \u0440\u043e\u0432\u043d\u043e \u0442\u0430\u043a\u043e\u0439 EventRecordID \u0443 \u043f\u0435\u0440\u0432\u043e\u0439 \u0437\u0430\u043f\u0438\u0441\u0438 \u043f\u0435\u0440\u0432\u043e\u0433\u043e chunk&#8217;\u0430. \u0422\u043e \u0435\u0441\u0442\u044c \u0437\u0430\u0433\u043e\u043b\u043e\u0432\u043e\u043a \u2014 \u0441\u043d\u0438\u043c\u043e\u043a \u0441\u043e\u0441\u0442\u043e\u044f\u043d\u0438\u044f \u043d\u0430 \u043c\u043e\u043c\u0435\u043d\u0442, \u043a\u043e\u0433\u0434\u0430 \u0441\u0438\u0441\u0442\u0435\u043c\u0430 \u0441\u043e\u0431\u0438\u0440\u0430\u043b\u0430\u0441\u044c \u043f\u0438\u0441\u0430\u0442\u044c \u0437\u0430\u043f\u0438\u0441\u044c \u211611193 \u0432 \u043f\u0435\u0440\u0432\u044b\u0439 (\u0438 \u0442\u043e\u0433\u0434\u0430 \u0435\u0434\u0438\u043d\u0441\u0442\u0432\u0435\u043d\u043d\u044b\u0439) chunk. \u041f\u043e\u0441\u043b\u0435 \u044d\u0442\u043e\u0433\u043e Windows \u0434\u043e\u043f\u0438\u0441\u0430\u043b\u0430 \u0435\u0449\u0451 29 chunk&#8217;\u043e\u0432 \u0438 2215 \u0437\u0430\u043f\u0438\u0441\u0435\u0439, \u043d\u0438 \u0440\u0430\u0437\u0443 \u043d\u0435 \u0442\u0440\u043e\u043d\u0443\u0432 \u0437\u0430\u0433\u043e\u043b\u043e\u0432\u043e\u043a \u0444\u0430\u0439\u043b\u0430. \u041d\u0435 \u00ab\u043e\u0431\u043d\u043e\u0432\u043b\u044f\u043b\u0430 \u0440\u0435\u0434\u043a\u043e\u00bb \u2014 \u043d\u0435 \u043e\u0431\u043d\u043e\u0432\u043b\u044f\u043b\u0430 \u0432\u043e\u043e\u0431\u0449\u0435, \u0432\u0441\u0435 45 \u043c\u0438\u043d\u0443\u0442 \u0436\u0438\u0437\u043d\u0438 \u0436\u0443\u0440\u043d\u0430\u043b\u0430.\u041e\u0442\u0441\u044e\u0434\u0430 \u0432\u0430\u0436\u043d\u043e\u0435 \u0441\u043b\u0435\u0434\u0441\u0442\u0432\u0438\u0435, \u043a\u043e\u0442\u043e\u0440\u043e\u0435 \u043e\u043f\u0440\u0435\u0434\u0435\u043b\u044f\u0435\u0442, \u043a\u0430\u0441\u0430\u0435\u0442\u0441\u044f \u043b\u0438 \u0432\u0430\u0441 \u0432\u0441\u0451 \u0434\u0430\u043b\u044c\u043d\u0435\u0439\u0448\u0435\u0435: \u0436\u0443\u0440\u043d\u0430\u043b, \u044d\u043a\u0441\u043f\u043e\u0440\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u0439 \u0447\u0435\u0440\u0435\u0437 wevtutil epl, \u0438\u043b\u0438 \u0441\u043d\u044f\u0442\u044b\u0439 \u0441 \u043a\u043e\u0440\u0440\u0435\u043a\u0442\u043d\u043e \u0432\u044b\u043a\u043b\u044e\u0447\u0451\u043d\u043d\u043e\u0439 \u043c\u0430\u0448\u0438\u043d\u044b, \u0437\u0430\u0433\u043e\u043b\u043e\u0432\u043a\u0443 \u043d\u0435 \u043f\u0440\u043e\u0442\u0438\u0432\u043e\u0440\u0435\u0447\u0438\u0442 \u2014 \u0442\u0430\u043c chunk_count \u0432\u0435\u0440\u043d\u044b\u0439 \u0438 \u043f\u0440\u043e\u0431\u043b\u0435\u043c\u044b \u043d\u0435\u0442. \u0420\u0430\u0441\u0445\u043e\u0436\u0434\u0435\u043d\u0438\u0435 \u0436\u0438\u0432\u0451\u0442 \u043d\u0430 \u043a\u043e\u043f\u0438\u044f\u0445, \u0441\u043d\u044f\u0442\u044b\u0445 \u0441 \u0440\u0430\u0431\u043e\u0442\u0430\u044e\u0449\u0435\u0439 \u0441\u0438\u0441\u0442\u0435\u043c\u044b: \u0442\u0440\u0438\u0430\u0436\u043d\u044b\u0435 \u0441\u0431\u043e\u0440\u044b, VSS-\u0441\u043d\u0438\u043c\u043a\u0438, \u0444\u0430\u0439\u043b\u044b, \u0432\u044b\u0442\u0430\u0449\u0435\u043d\u043d\u044b\u0435 \u0438\u0437 \u0441\u043c\u043e\u043d\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u0433\u043e \u043e\u0431\u0440\u0430\u0437\u0430 \u0436\u0438\u0432\u043e\u0439 \u043c\u0430\u0448\u0438\u043d\u044b. \u0422\u043e \u0435\u0441\u0442\u044c \u043d\u0430 \u0441\u0430\u043c\u043e\u043c \u043c\u0430\u0441\u0441\u043e\u0432\u043e\u043c \u0441\u043f\u043e\u0441\u043e\u0431\u0435 \u043f\u043e\u043b\u0443\u0447\u0438\u0442\u044c \u043b\u043e\u0433\u0438.\u041d\u0430\u0441\u043a\u043e\u043b\u044c\u043a\u043e \u044d\u0442\u043e \u043c\u0430\u0441\u0441\u043e\u0432\u043e\u0412 \u043e\u0431\u0440\u0430\u0437\u0435 137 \u0436\u0443\u0440\u043d\u0430\u043b\u043e\u0432 \u0441 \u0432\u0430\u043b\u0438\u0434\u043d\u044b\u043c \u0437\u0430\u0433\u043e\u043b\u043e\u0432\u043a\u043e\u043c. \u0420\u0430\u0437\u043b\u043e\u0436\u0438\u043c \u0438\u0445 \u0447\u0435\u0441\u0442\u043d\u043e, \u043f\u043e\u0442\u043e\u043c\u0443 \u0447\u0442\u043e \u0446\u0438\u0444\u0440\u0430 \u00ab26 \u0438\u0437 137 \u2014 dirty\u00bb \u0441\u0430\u043c\u0430 \u043f\u043e \u0441\u0435\u0431\u0435 \u043d\u0438\u0447\u0435\u0433\u043e \u043d\u0435 \u0437\u043d\u0430\u0447\u0438\u0442:\u0444\u0430\u0439\u043b\u043e\u0432\u0432\u0441\u0435\u0433\u043e .evtx137\u0438\u0437 \u043d\u0438\u0445 dirty (flags &amp; 1)26\u0438\u0437 \u043d\u0438\u0445 \u043c\u043d\u043e\u0433\u043e\u0447\u0430\u043d\u043a\u043e\u0432\u044b\u0445 (\u0440\u0435\u0430\u043b\u044c\u043d\u043e \u0431\u043e\u043b\u044c\u0448\u0435 \u043e\u0434\u043d\u043e\u0433\u043e chunk&#8217;\u0430)6\u043c\u043d\u043e\u0433\u043e\u0447\u0430\u043d\u043a\u043e\u0432\u044b\u0445 \u0438 dirty4\u043c\u043d\u043e\u0433\u043e\u0447\u0430\u043d\u043a\u043e\u0432\u044b\u0445, dirty \u0438 \u0441 \u0437\u0430\u043d\u0438\u0436\u0435\u043d\u043d\u044b\u043c chunk_count3\u041a\u043b\u044e\u0447\u0435\u0432\u043e\u0439 \u043c\u043e\u043c\u0435\u043d\u0442, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043b\u0435\u0433\u043a\u043e \u0443\u043f\u0443\u0441\u0442\u0438\u0442\u044c: \u0443 22 \u0438\u0437 26 dirty-\u0436\u0443\u0440\u043d\u0430\u043b\u043e\u0432 \u0444\u0438\u0437\u0438\u0447\u0435\u0441\u043a\u0438 \u043e\u0434\u0438\u043d chunk. \u0417\u0430\u043d\u0438\u0436\u0430\u0442\u044c \u0442\u0430\u043c \u043d\u0435\u0447\u0435\u0433\u043e \u2014 chunk_count = 1 \u0438 \u0435\u0441\u0442\u044c \u043f\u0440\u0430\u0432\u0434\u0430, \u0431\u0430\u0433 \u043d\u0435 \u043f\u0440\u043e\u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f. \u041f\u0440\u043e\u0431\u043b\u0435\u043c\u0430 \u0436\u0438\u0432\u0451\u0442 \u0442\u043e\u043b\u044c\u043a\u043e \u043d\u0430 \u0436\u0443\u0440\u043d\u0430\u043b\u0430\u0445 \u0431\u043e\u043b\u044c\u0448\u0435 \u043e\u0434\u043d\u043e\u0433\u043e chunk&#8217;\u0430, \u0430 \u044d\u0442\u043e \u0440\u043e\u0432\u043d\u043e \u0442\u0435, \u0433\u0434\u0435 \u043d\u0430\u043a\u043e\u043f\u0438\u043b\u043e\u0441\u044c \u043c\u043d\u043e\u0433\u043e \u0441\u043e\u0431\u044b\u0442\u0438\u0439, \u0442\u043e \u0435\u0441\u0442\u044c \u0441\u0430\u043c\u044b\u0435 \u0438\u043d\u0442\u0435\u0440\u0435\u0441\u043d\u044b\u0435 \u0434\u043b\u044f \u0440\u0430\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u0438\u044f.\u0412\u0441\u0435 \u0448\u0435\u0441\u0442\u044c, \u0446\u0435\u043b\u0438\u043a\u043e\u043c:\u0416\u0443\u0440\u043d\u0430\u043bchunk_countChunk&#8217;\u043e\u0432 \u0440\u0435\u0430\u043b\u044c\u043d\u043e\u0411\u0438\u0442\u044b\u0445 \u0441\u043b\u043e\u0442\u043e\u0432dirty\u0417\u0430\u043f\u0438\u0441\u0435\u0439 \u0437\u0430\u044f\u0432\u043b\u0435\u043d\u043eSysmon1303\u0434\u04302309CAPI214142\u043d\u0435\u0442513GroupPolicy550\u0434\u0430670TS-RCM140\u0434\u0430406Firewall230\u0434\u0430165WSAT220\u043d\u0435\u0442126\u041f\u043e\u043b\u043d\u044b\u0435 \u0438\u043c\u0435\u043d\u0430 \u043a\u0430\u043d\u0430\u043b\u043e\u0432: Microsoft-Windows-Sysmon\/Operational, &#8230;\/CAPI2\/Operational, &#8230;\/GroupPolicy\/Operational, &#8230;\/TerminalServices-RemoteConnectionManager\/Operational, &#8230;\/Windows Firewall With Advanced Security\/Firewall, &#8230;\/WindowsSystemAssessmentTool\/Operational. \u0414\u0430\u043b\u044c\u0448\u0435 \u043f\u043e \u0442\u0435\u043a\u0441\u0442\u0443 \u2014 \u043a\u043e\u0440\u043e\u0442\u043a\u0438\u0435 \u0438\u043c\u0435\u043d\u0430 \u0438\u0437 \u0442\u0430\u0431\u043b\u0438\u0446\u044b.\u041e\u0431\u0440\u0430\u0442\u0438\u0442\u0435 \u0432\u043d\u0438\u043c\u0430\u043d\u0438\u0435 \u043d\u0430 GroupPolicy: \u0436\u0443\u0440\u043d\u0430\u043b dirty, \u043d\u043e chunk_count \u043f\u0440\u0438 \u044d\u0442\u043e\u043c \u0432\u0435\u0440\u043d\u044b\u0439. \u0422\u0430\u043a \u0447\u0442\u043e \u00abdirty \u21d2 \u0437\u0430\u0433\u043e\u043b\u043e\u0432\u043e\u043a \u0432\u0440\u0451\u0442\u00bb \u2014 \u043d\u0435\u043f\u0440\u0430\u0432\u0434\u0430, \u0437\u0430\u0432\u0438\u0441\u0438\u043c\u043e\u0441\u0442\u044c \u043e\u0434\u043d\u043e\u0441\u0442\u043e\u0440\u043e\u043d\u043d\u044f\u044f: \u0447\u0438\u0441\u0442\u044b\u0439 \u0436\u0443\u0440\u043d\u0430\u043b \u0437\u0430\u0433\u043e\u043b\u043e\u0432\u043a\u0443 \u043d\u0435 \u043f\u0440\u043e\u0442\u0438\u0432\u043e\u0440\u0435\u0447\u0438\u0442, \u0433\u0440\u044f\u0437\u043d\u044b\u0439 \u2014 \u043c\u043e\u0436\u0435\u0442. \u0412\u044b\u0431\u043e\u0440\u043a\u0430 \u0442\u0443\u0442 \u043a\u0440\u043e\u0448\u0435\u0447\u043d\u0430\u044f, \u0438\u0437 \u043e\u0434\u043d\u043e\u0433\u043e \u043e\u0431\u0440\u0430\u0437\u0430, \u0438 \u044f \u043d\u0435 \u0431\u0435\u0440\u0443\u0441\u044c \u043f\u043e \u043d\u0435\u0439 \u0443\u0442\u0432\u0435\u0440\u0436\u0434\u0430\u0442\u044c \u00ab\u0432 X% \u0441\u043b\u0443\u0447\u0430\u0435\u0432\u00bb. \u0423\u0442\u0432\u0435\u0440\u0436\u0434\u0430\u044e \u0434\u0440\u0443\u0433\u043e\u0435: \u044d\u0442\u043e \u043d\u0435 \u044d\u043a\u0437\u043e\u0442\u0438\u043a\u0430, \u0438 \u0432\u0435\u0440\u043e\u044f\u0442\u043d\u043e\u0441\u0442\u044c \u0432\u0441\u0442\u0440\u0435\u0442\u0438\u0442\u044c \u0442\u0430\u043a\u043e\u0439 \u0444\u0430\u0439\u043b \u0432 \u0440\u0435\u0430\u043b\u044c\u043d\u043e\u043c \u0442\u0440\u0438\u0430\u0436\u0435 \u0434\u0430\u043b\u0435\u043a\u0430 \u043e\u0442 \u043d\u0443\u043b\u044f.\u0421\u0442\u043e\u043b\u0431\u0435\u0446 \u00ab\u0431\u0438\u0442\u044b\u0445 \u0441\u043b\u043e\u0442\u043e\u0432\u00bb \u043f\u043e\u043a\u0430 \u043f\u0440\u043e\u0441\u0442\u043e \u0437\u0430\u043f\u043e\u043c\u043d\u0438\u0442\u0435 \u2014 \u043a \u043d\u0435\u043c\u0443 \u0432\u0435\u0440\u043d\u0451\u043c\u0441\u044f \u0432 \u0440\u0430\u0437\u0434\u0435\u043b\u0435 \u00ab\u041c\u0443\u0441\u043e\u0440 \u0432 \u0445\u0432\u043e\u0441\u0442\u0435\u00bb, \u0442\u0430\u043c \u0441\u0430\u043c\u043e\u0435 \u043d\u0435\u043e\u0447\u0435\u0432\u0438\u0434\u043d\u043e\u0435.\u0413\u0434\u0435 \u0438\u043c\u0435\u043d\u043d\u043e \u0442\u0435\u0440\u044f\u044e\u0442\u0441\u044f \u0437\u0430\u043f\u0438\u0441\u0438\u0422\u0435\u043f\u0435\u0440\u044c \u0441\u043c\u043e\u0442\u0440\u0438\u043c \u0432 python-evtx 0.8.1, Evtx\/Evtx.py:def chunks(self, include_inactive=False):    if include_inactive:        chunk_count = sys.maxsize    else:        chunk_count = self.chunk_count()      # &lt;&#8212; \u0438\u0437 \u0437\u0430\u0433\u043e\u043b\u043e\u0432\u043a\u0430 \u0444\u0430\u0439\u043b\u0430    i = 0    ofs = self._offset + self.header_chunk_size()    while ofs + 0x10000 &lt;= len(self._buf) and i &lt; chunk_count:        yield ChunkHeader(self._buf, ofs)        ofs += 0x10000        i += 1\u0412\u043e\u0442 \u0438 \u0432\u0441\u0451. i &lt; chunk_count \u2014 \u043e\u0431\u0445\u043e\u0434 \u043e\u0441\u0442\u0430\u043d\u0430\u0432\u043b\u0438\u0432\u0430\u0435\u0442\u0441\u044f \u043d\u0430 \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0438 \u0438\u0437 \u0437\u0430\u0433\u043e\u043b\u043e\u0432\u043a\u0430 \u0444\u0430\u0439\u043b\u0430. records() \u0438\u0434\u0451\u0442 \u0447\u0435\u0440\u0435\u0437 chunks() \u0441 \u0434\u0435\u0444\u043e\u043b\u0442\u043d\u044b\u043c include_inactive=False.\u0417\u0430\u0433\u043e\u043b\u043e\u0432\u043e\u043a \u0441\u043a\u0430\u0437\u0430\u043b \u00ab\u043e\u0434\u0438\u043d chunk\u00bb \u2014 \u0431\u0438\u0431\u043b\u0438\u043e\u0442\u0435\u043a\u0430 \u043f\u0440\u043e\u0447\u0438\u0442\u0430\u043b\u0430 \u043e\u0434\u0438\u043d chunk, \u043e\u0442\u0434\u0430\u043b\u0430 94 \u0437\u0430\u043f\u0438\u0441\u0438 \u0438 \u0448\u0442\u0430\u0442\u043d\u043e \u0437\u0430\u0432\u0435\u0440\u0448\u0438\u043b\u0430\u0441\u044c. \u041e\u043d\u0430 \u0441\u0434\u0435\u043b\u0430\u043b\u0430 \u0440\u043e\u0432\u043d\u043e \u0442\u043e, \u0447\u0442\u043e \u043e\u0442 \u043d\u0435\u0451 \u043f\u0440\u043e\u0441\u0438\u043b\u0438. \u041e\u0448\u0438\u0431\u043a\u0438 \u043d\u0435 \u0431\u044b\u043b\u043e.\u0417\u0430\u043c\u0435\u0440\u044b \u043f\u043e \u0432\u0441\u0435\u043c \u0448\u0435\u0441\u0442\u0438 \u043c\u043d\u043e\u0433\u043e\u0447\u0430\u043d\u043a\u043e\u0432\u044b\u043c \u0436\u0443\u0440\u043d\u0430\u043b\u0430\u043c:\u0416\u0443\u0440\u043d\u0430\u043brecords() \u043f\u043e \u0443\u043c\u043e\u043b\u0447\u0430\u043d\u0438\u044einclude_inactive=True\u0417\u0430\u044f\u0432\u043b\u0435\u043d\u043e \u0437\u0430\u0433\u043e\u043b\u043e\u0432\u043a\u0430\u043c\u0438\u041f\u043e\u0442\u0435\u0440\u044f\u043d\u043eSysmon942309230996%TS-RCM12540640669%Firewall1501651659%CAPI2513513513\u2014GroupPolicy670670670\u2014WSAT126126126\u2014\u0427\u0442\u043e \u0438\u043c\u0435\u043d\u043d\u043e \u043e\u043a\u0430\u0437\u0430\u043b\u043e\u0441\u044c \u0432 \u043f\u043e\u0442\u0435\u0440\u044f\u043d\u043d\u044b\u0445 96%\u0428\u043a\u0430\u043b\u0430 \u0436\u0443\u0440\u043d\u0430\u043b\u0430 \u043d\u0430 45 \u043c\u0438\u043d\u0443\u0442: \u043f\u0440\u043e\u0447\u0438\u0442\u0430\u043d\u043d\u043e\u0435 \u043e\u043a\u043d\u043e \u2014 \u043f\u0435\u0440\u0432\u044b\u0435 34 \u0441\u0435\u043a\u0443\u043d\u0434\u044b, \u0432\u0441\u0451 \u043e\u0441\u0442\u0430\u043b\u044c\u043d\u043e\u0435 \u0441 \u0441\u043e\u0431\u044b\u0442\u0438\u044f\u043c\u0438 \u0430\u0442\u0430\u043a\u0438 \u043f\u0430\u0440\u0441\u0435\u0440 \u043d\u0435 \u0443\u0432\u0438\u0434\u0435\u043b\u042d\u0442\u043e \u043d\u0435 \u0430\u0431\u0441\u0442\u0440\u0430\u043a\u0442\u043d\u0430\u044f \u00ab\u0447\u0430\u0441\u0442\u044c \u0434\u0430\u043d\u043d\u044b\u0445\u00bb. \u0412\u043e\u0442 \u0430\u0442\u0430\u043a\u0430, \u0432\u043e\u0441\u0441\u0442\u0430\u043d\u043e\u0432\u043b\u0435\u043d\u043d\u0430\u044f \u043f\u043e \u043f\u043e\u043b\u043d\u043e\u043c\u0443 \u0436\u0443\u0440\u043d\u0430\u043b\u0443. \u0412\u0440\u0435\u043c\u044f \u2014 \u043e\u0442 \u043f\u0435\u0440\u0432\u043e\u0439 \u0437\u0430\u043f\u0438\u0441\u0438 \u0436\u0443\u0440\u043d\u0430\u043b\u0430, EventRecordID \u2014 \u043f\u043e\u0434\u043b\u0438\u043d\u043d\u044b\u0435:EventRecordID\u0394 \u043e\u0442 \u043d\u0430\u0447\u0430\u043b\u0430\u0421\u043e\u0431\u044b\u0442\u0438\u0435111930:00\u043f\u0435\u0440\u0432\u0430\u044f \u0437\u0430\u043f\u0438\u0441\u044c \u0436\u0443\u0440\u043d\u0430\u043b\u043011286+0:34\u043f\u043e\u0441\u043b\u0435\u0434\u043d\u044f\u044f \u0437\u0430\u043f\u0438\u0441\u044c, \u043a\u043e\u0442\u043e\u0440\u0443\u044e \u0443\u0432\u0438\u0434\u0435\u043b python-evtx12251+9:39net user \/domain \u2014 \u0440\u0430\u0437\u0432\u0435\u0434\u043a\u0430 \u0443\u0447\u0451\u0442\u043e\u043a12257+10:14net user &lt;acct&gt; ******** \/add \u2014 \u0441\u043e\u0437\u0434\u0430\u043d\u0438\u0435 \u0443\u0447\u0451\u0442\u043a\u043812272+11:54net localgroup Administrators &lt;acct&gt; \/add12279+12:09net localgroup &#171;Remote Desktop Users&#187; &lt;acct&gt; \/add12420+12:54AnyDesk.exe &#8212;control \u2014 \u0443\u0434\u0430\u043b\u0451\u043d\u043d\u044b\u0439 \u0434\u043e\u0441\u0442\u0443\u043f12510+15:17\u0441\u0435\u0442\u0435\u0432\u043e\u0439 \u0441\u043a\u0430\u043d\u0435\u0440 \u0441 \u0440\u0430\u0431\u043e\u0447\u0435\u0433\u043e \u0441\u0442\u043e\u043b\u0430 \u2014 \u0440\u0430\u0437\u0432\u0435\u0434\u043a\u0430 \u0441\u0435\u0442\u043812741+17:59LaZagne.exe \u2014 \u0434\u0430\u043c\u043f \u0441\u043e\u0445\u0440\u0430\u043d\u0451\u043d\u043d\u044b\u0445 \u0443\u0447\u0451\u0442\u043d\u044b\u0445 \u0434\u0430\u043d\u043d\u044b\u044512799+18:19WinRAR a &#8230; &#8212; . &lt;\u0432\u0435\u0431-\u043a\u0430\u0442\u0430\u043b\u043e\u0433&gt; \u2014 \u0441\u0431\u043e\u0440 \u0434\u0430\u043d\u043d\u044b\u044512818+19:16WinRAR a &#8230; &#8212; . &lt;\u043a\u0430\u0442\u0430\u043b\u043e\u0433 \u0431\u044d\u043a\u0430\u043f\u043e\u0432 \u0411\u0414&gt;13002+26:44cryptor.exe -p &#171;&lt;\u0432\u0435\u0431-\u043a\u0430\u0442\u0430\u043b\u043e\u0433&gt;&#187; -ef13014+27:14cryptor.exe -p &#171;&lt;\u043a\u0430\u0442\u0430\u043b\u043e\u0433 \u0431\u044d\u043a\u0430\u043f\u043e\u0432 \u0411\u0414&gt;&#187; -ef13501+45:07\u043f\u043e\u0441\u043b\u0435\u0434\u043d\u044f\u044f \u0437\u0430\u043f\u0438\u0441\u044c \u0436\u0443\u0440\u043d\u0430\u043b\u0430\u041f\u0430\u0440\u0441\u0435\u0440 \u043e\u0441\u0442\u0430\u043d\u043e\u0432\u0438\u043b\u0441\u044f \u043d\u0430 \u0437\u0430\u043f\u0438\u0441\u0438 11286. \u041f\u0435\u0440\u0432\u043e\u0435 \u0441\u043e\u0431\u044b\u0442\u0438\u0435 \u0430\u0442\u0430\u043a\u0438 \u2014 12251. \u041c\u0435\u0436\u0434\u0443 \u043d\u0438\u043c\u0438 964 \u0437\u0430\u043f\u0438\u0441\u0438, \u0438 \u043d\u0438 \u043e\u0434\u043d\u043e\u0439 \u0438\u0437 \u043d\u0438\u0445 \u043e\u043d \u043d\u0435 \u0443\u0432\u0438\u0434\u0435\u043b.\u0412 \u043f\u0440\u043e\u0447\u0438\u0442\u0430\u043d\u043d\u044b\u0445 94 \u0437\u0430\u043f\u0438\u0441\u044f\u0445 \u043d\u0435\u0442 \u0432\u043e\u043e\u0431\u0449\u0435 \u043d\u0438\u0447\u0435\u0433\u043e: 34 \u0441\u0435\u043a\u0443\u043d\u0434\u044b \u0437\u0430\u0433\u0440\u0443\u0437\u043e\u0447\u043d\u043e\u0433\u043e \u0448\u0443\u043c\u0430, svchost, mscorsvw, \u043a\u043e\u043c\u043f\u0438\u043b\u044f\u0446\u0438\u044f \u043d\u0430\u0442\u0438\u0432\u043d\u044b\u0445 \u043e\u0431\u0440\u0430\u0437\u043e\u0432 .NET. \u0421\u043a\u0440\u0438\u043f\u0442 \u043e\u0442\u0440\u0430\u0431\u043e\u0442\u0430\u043b \u0441 \u043a\u043e\u0434\u043e\u043c 0, \u0432\u044b\u0434\u0430\u043b \u0430\u043a\u043a\u0443\u0440\u0430\u0442\u043d\u044b\u0439 \u0441\u043f\u0438\u0441\u043e\u043a \u0441\u043e\u0431\u044b\u0442\u0438\u0439 \u2014 \u0438 \u0432 \u044d\u0442\u043e\u043c \u0441\u043f\u0438\u0441\u043a\u0435 \u0434\u0432\u043e\u0439\u043d\u043e\u0435 \u0432\u044b\u043c\u043e\u0433\u0430\u0442\u0435\u043b\u044c\u0441\u0442\u0432\u043e \u0432\u044b\u0433\u043b\u044f\u0434\u0438\u0442 \u043a\u0430\u043a \u0442\u0438\u0448\u0438\u043d\u0430.\u041e\u0442\u0434\u0435\u043b\u044c\u043d\u043e \u043e\u0442\u043c\u0435\u0447\u0443 \u0432\u0442\u043e\u0440\u0443\u044e \u0441\u0442\u0440\u043e\u043a\u0443 \u0442\u0430\u0431\u043b\u0438\u0446\u044b \u043f\u043e\u0442\u0435\u0440\u044c. TS-RCM \u2014 \u0436\u0443\u0440\u043d\u0430\u043b, \u0433\u0434\u0435 \u0436\u0438\u0432\u0451\u0442 EID 1149, \u0441\u0430\u043c\u043e\u0435 \u0440\u0430\u043d\u043d\u0435\u0435 \u0441\u0432\u0438\u0434\u0435\u0442\u0435\u043b\u044c\u0441\u0442\u0432\u043e RDP-\u0430\u0443\u0442\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u0438. \u0410\u0442\u0430\u043a\u0443\u044e\u0449\u0438\u0439 \u0434\u043e\u0431\u0430\u0432\u0438\u043b \u0441\u0432\u043e\u044e \u0443\u0447\u0451\u0442\u043a\u0443 \u0432 Remote Desktop Users; \u043f\u043e\u0442\u0435\u0440\u044f 69% \u044d\u0442\u043e\u0433\u043e \u0436\u0443\u0440\u043d\u0430\u043b\u0430 \u0431\u044c\u0451\u0442 \u0440\u043e\u0432\u043d\u043e \u0442\u0443\u0434\u0430.\u00ab\u0422\u0430\u043a \u044d\u0442\u043e \u0436\u0435 \u0434\u043e\u043a\u0443\u043c\u0435\u043d\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u0435 \u043f\u043e\u0432\u0435\u0434\u0435\u043d\u0438\u0435\u00bb\u0414\u0430, \u0438 \u0434\u043e\u043a\u0441\u0442\u0440\u0438\u043d\u0433 \u0447\u0435\u0441\u0442\u043d\u044b\u0439:If include_inactive is set to true, enumerate chunks beyond those declared in the file header (and may therefore be corrupt).\u0414\u043b\u044f \u043f\u0430\u0440\u0441\u0435\u0440\u0430 \u043e\u0431\u0449\u0435\u0433\u043e \u043d\u0430\u0437\u043d\u0430\u0447\u0435\u043d\u0438\u044f \u043a\u043e\u043d\u0441\u0435\u0440\u0432\u0430\u0442\u0438\u0432\u043d\u044b\u0439 \u0434\u0435\u0444\u043e\u043b\u0442 \u043c\u043e\u0436\u043d\u043e \u0437\u0430\u0449\u0438\u0442\u0438\u0442\u044c: \u043d\u0435 \u043b\u0435\u0437\u0442\u044c \u0437\u0430 \u043f\u0440\u0435\u0434\u0435\u043b\u044b \u0442\u043e\u0433\u043e, \u0447\u0442\u043e \u0437\u0430\u044f\u0432\u0438\u043b \u0444\u0430\u0439\u043b, \u2014 \u0440\u0430\u0437\u0443\u043c\u043d\u0430\u044f \u043f\u043e\u0437\u0438\u0446\u0438\u044f. \u041d\u043e \u0432 \u0444\u043e\u0440\u0435\u043d\u0437\u0438\u043a\u0435 \u044d\u0442\u043e\u0442 \u0434\u0435\u0444\u043e\u043b\u0442 \u043c\u0435\u043d\u044f\u0435\u0442 \u043f\u043e\u043b\u043d\u043e\u0442\u0443 \u043d\u0430 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u044c, \u043d\u0435 \u0441\u043e\u043e\u0431\u0449\u0430\u044f \u043e \u0440\u0430\u0437\u043c\u0435\u043d\u0435 \u043d\u0438 \u0441\u0442\u0440\u043e\u0447\u043a\u043e\u0439. \u0422\u044b \u043d\u0435 \u043f\u043e\u043b\u0443\u0447\u0430\u0435\u0448\u044c \u043d\u0438 warning&#8217;\u0430, \u043d\u0438 \u043d\u0435\u043d\u0443\u043b\u0435\u0432\u043e\u0433\u043e \u043a\u043e\u0434\u0430 \u0432\u043e\u0437\u0432\u0440\u0430\u0442\u0430 \u2014 \u0442\u044b \u043f\u043e\u043b\u0443\u0447\u0430\u0435\u0448\u044c \u0447\u0438\u0441\u043b\u043e, \u043a\u043e\u0442\u043e\u0440\u043e\u0435 \u0432\u044b\u0433\u043b\u044f\u0434\u0438\u0442 \u043a\u0430\u043a \u043e\u0442\u0432\u0435\u0442.\u0418 \u0432\u043e\u0442 \u0447\u0442\u043e \u043f\u0440\u0435\u0432\u0440\u0430\u0449\u0430\u0435\u0442 \u044d\u0442\u043e \u0438\u0437 \u00ab\u043d\u0430\u0441\u0442\u0440\u0430\u0438\u0432\u0430\u0435\u043c\u043e\u0433\u043e \u043f\u043e\u0432\u0435\u0434\u0435\u043d\u0438\u044f\u00bb \u0432 \u0433\u0440\u0430\u0431\u043b\u0438: \u0444\u043b\u0430\u0433 \u0435\u0441\u0442\u044c \u043d\u0430 \u0443\u0440\u043e\u0432\u043d\u0435 FileHeader, \u043d\u043e \u043d\u0435 \u043d\u0430 \u0443\u0440\u043e\u0432\u043d\u0435 \u0442\u043e\u0433\u043e \u043a\u043b\u0430\u0441\u0441\u0430, \u043a\u043e\u0442\u043e\u0440\u044b\u043c \u0432\u0441\u0435 \u043f\u043e\u043b\u044c\u0437\u0443\u044e\u0442\u0441\u044f.\u041c\u0435\u0442\u043e\u0434\u0421\u0438\u0433\u043d\u0430\u0442\u0443\u0440\u0430Evtx.records()(self)Evtx.chunks()(self)FileHeader.chunks()(self, include_inactive=False)log.records(include_inactive=True) \u2014 \u044d\u0442\u043e TypeError. \u0412\u0435\u0440\u0445\u043d\u0435\u0443\u0440\u043e\u0432\u043d\u0435\u0432\u044b\u0439 \u043a\u043b\u0430\u0441\u0441 Evtx \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440 \u043d\u0435 \u043f\u0440\u043e\u0431\u0440\u0430\u0441\u044b\u0432\u0430\u0435\u0442: \u0435\u0433\u043e chunks() \u0432\u044b\u0437\u044b\u0432\u0430\u0435\u0442 self._fh.chunks() \u0431\u0435\u0437 \u0430\u0440\u0433\u0443\u043c\u0435\u043d\u0442\u043e\u0432. \u0427\u0442\u043e\u0431\u044b \u043e\u0431\u043e\u0439\u0442\u0438 \u0434\u0435\u0444\u043e\u043b\u0442, \u043d\u0430\u0434\u043e \u0441\u043f\u0443\u0441\u0442\u0438\u0442\u044c\u0441\u044f \u043d\u0430 \u0443\u0440\u043e\u0432\u0435\u043d\u044c \u043d\u0438\u0436\u0435 \u2014 \u043a FileHeader:from Evtx.Evtx import Evtxwith Evtx(&#171;Sysmon.evtx&#187;) as log:    for chunk in log.get_file_header().chunks(include_inactive=True):        for record in chunk.records():            &#8230;\u0412\u043e\u0442 \u0442\u0430\u043a \u2014 \u0432\u0441\u0435 2309 \u0437\u0430\u043f\u0438\u0441\u0435\u0439. \u0422\u043e \u0435\u0441\u0442\u044c \u043b\u0435\u043a\u0430\u0440\u0441\u0442\u0432\u043e \u0432 \u0431\u0438\u0431\u043b\u0438\u043e\u0442\u0435\u043a\u0435 \u0435\u0441\u0442\u044c, \u043d\u043e \u043c\u0435\u0436\u0434\u0443 \u0442\u0443\u0442\u043e\u0440\u0438\u0430\u043b\u044c\u043d\u044b\u043c log.records() \u0438 \u0438\u043c \u043b\u0435\u0436\u0438\u0442 \u0437\u043d\u0430\u043d\u0438\u0435 \u043e \u0442\u043e\u043c, \u0447\u0442\u043e \u0443 \u0444\u0430\u0439\u043b\u0430 \u0431\u044b\u0432\u0430\u0435\u0442 \u0437\u0430\u0433\u043e\u043b\u043e\u0432\u043e\u043a, \u043a\u043e\u0442\u043e\u0440\u043e\u043c\u0443 \u043d\u0435\u043b\u044c\u0437\u044f \u0432\u0435\u0440\u0438\u0442\u044c. \u0410 \u044d\u0442\u043e \u0440\u043e\u0432\u043d\u043e \u0442\u043e \u0437\u043d\u0430\u043d\u0438\u0435, \u0440\u0430\u0434\u0438 \u043a\u043e\u0442\u043e\u0440\u043e\u0433\u043e \u0432\u044b \u0431\u044b \u0438 \u043f\u043e\u043b\u0435\u0437\u043b\u0438 \u0438\u0441\u043a\u0430\u0442\u044c \u043b\u0435\u043a\u0430\u0440\u0441\u0442\u0432\u043e.\u0426\u0435\u043d\u0430 \u0443 \u0444\u043b\u0430\u0433\u0430 \u0442\u043e\u0436\u0435 \u0435\u0441\u0442\u044c: sys.maxsize \u0437\u0430\u0441\u0442\u0430\u0432\u043b\u044f\u0435\u0442 \u0438\u0434\u0442\u0438 \u0434\u043e \u043a\u043e\u043d\u0446\u0430 \u0431\u0443\u0444\u0435\u0440\u0430, \u0432\u043a\u043b\u044e\u0447\u0430\u044f \u0441\u043b\u043e\u0442\u044b, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 chunk&#8217;\u0430\u043c\u0438 \u043d\u0435 \u044f\u0432\u043b\u044f\u044e\u0442\u0441\u044f. \u041d\u0430 \u043c\u043e\u0451\u043c Sysmon \u0441 \u0442\u0440\u0435\u043c\u044f \u043c\u0443\u0441\u043e\u0440\u043d\u044b\u043c\u0438 \u0441\u043b\u043e\u0442\u0430\u043c\u0438 \u0432 \u0445\u0432\u043e\u0441\u0442\u0435 \u044d\u0442\u043e \u043e\u0442\u0440\u0430\u0431\u043e\u0442\u0430\u043b\u043e \u0431\u0435\u0437 \u0438\u0441\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u0439 \u0438 \u0432\u044b\u0434\u0430\u043b\u043e \u0440\u043e\u0432\u043d\u043e 2309 \u2014 \u043d\u043e \u0440\u0430\u0441\u0441\u0447\u0438\u0442\u044b\u0432\u0430\u0442\u044c \u043d\u0430 \u0442\u0430\u043a\u0443\u044e \u0432\u0435\u0436\u043b\u0438\u0432\u043e\u0441\u0442\u044c \u044f \u0431\u044b \u043d\u0435 \u0441\u0442\u0430\u043b: \u043e\u0431\u0432\u044f\u0437\u044b\u0432\u0430\u0439\u0442\u0435 try\/except \u0432\u043e\u043a\u0440\u0443\u0433 \u0432\u043d\u0443\u0442\u0440\u0435\u043d\u043d\u0435\u0433\u043e \u0446\u0438\u043a\u043b\u0430.\u0414\u043b\u044f \u0441\u0440\u0430\u0432\u043d\u0435\u043d\u0438\u044f \u2014 rust-\u043f\u0430\u0440\u0441\u0435\u0440 omerbenamram\/evtx (\u0442\u043e\u0442, \u0447\u0442\u043e \u0437\u0430 evtx_dump \u0438 \u043f\u0438\u0442\u043e\u043d\u043e\u0432\u0441\u043a\u0438\u043c \u0431\u0438\u043d\u0434\u0438\u043d\u0433\u043e\u043c evtx). \u041e\u043d \u0437\u0430\u0433\u043e\u043b\u043e\u0432\u043a\u0443 \u0444\u0430\u0439\u043b\u0430 \u043d\u0435&#8230;<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[],"tags":[],"class_list":["post-488725","post","type-post","status-publish","format-standard","hentry"],"_links":{"self":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/posts\/488725","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=488725"}],"version-history":[{"count":0,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/posts\/488725\/revisions"}],"wp:attachment":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=488725"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=488725"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=488725"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}