AD 安全入门：SIEM 工具与 AD 监控

为何部分 AD 攻击不留痕迹：DCShadow 经复制流注入更改、Ryuk 式 GPO 篡改在事件日志中无细节、ZeroLogon 构造特殊 Netlogon 消息；仅靠 SIEM 难以发现，需要更高级的监控检测。

防御 DCShadow（下篇）：测试仅限隔离实验环境；通过 PAM 严控并监控特权访问；重点监控 AD Sites and Services——DCShadow 注入的变更不进安全日志，但其在配置分区（CN=Sites,CN=Configuration）注册服务器对象的痕迹可被 SIEM 捕获并及时告警。

Golang 安全日志实践指南：从标准库 log 基础用法，到借助 Apex/log、logrus 实现结构化 JSON 日志与分级策略，并建议避免滥用 log.Fatal 直接终止进程。

AWS 共享责任模型系列第三篇聚焦日志、监控与告警：CloudTrail 记录账户与服务的全部操作（默认保存 90 天）、VPC Flow Logs 提供网络流量可视、CloudWatch 集中汇聚各类日志并触发告警；文章讲解如何组合这些原生服务，把噪音过滤成对分析师真正有用的高价值告警。

Wiz 通过共享数据模型和 Content Pack 深化与 Google Security Operations 的集成，分析师可以在任一平台上结合云上下文调查 Wiz Defend 告警。

一份 SIEM 日志治理清单：把九类日志源按调查价值分级，指导解析、留存与检测工程投入，避免检测规则因数据源缺失或字段解析不良而失效。