چه لاگ‌هایی برای کشف حمله مندرج در لینک زیر لازم است :

جمع‌آوری لاگ‌های صدور گواهینامه (Certificate Enrollment) و هم مانیتورینگ رخدادهای مربوط به PKI (سرورهای CA) پایه‌ی Hunting و Detection در سناریوهای ADCS abuse به حساب می‌آید.
۱. لاگ‌های مورد نیاز در Windows CA:

این Event Log: سرورهای CA لاگ‌های مرتبط را در Event Viewer ثبت می‌کنند. مسیر:
✅️ Application and Services Logs > Microsoft > Windows > CertificateServicesClient-CertEnroll
✅️ Application and Services Logs > Microsoft > Windows > CertificateAuthority
فایل Database CA:
مسیر پیش‌فرض: C:\Windows\System32\CertLog\*.edb
برای جست‌وجوی درخواست‌ها به ابزار اختصاصی مثل “certutil” نیاز دارید.

۲. مهم‌ترین Eventهای مرتبط با صدور گواهی:

Event ID 4886: Certificate request submitted
Event ID 4887: Certificate issued
Event ID 4898: Certificate request approved
Event ID 4899: Certificate request denied
Event ID 1003: (CA Operation Audit)


#آکادمی_روزبه
مرکز تخصصی CISSP

https://dfir.ch/posts/tear_down_castle_part_one/#1-adcs-active-directory-certificate-services