ESENTイベント（ESENTログ）とは【用語集詳細】

カテゴリ

用語集 

タグ

セキュリティ対策  用語集  用語集：英数字記号  用語集：E  Windows  APT 

・

ESENTログあるいはESENTイベントはWindowsのストレージ技術であるWindows ESE（Extensible Storage Engine）が生成するイベントログです。
ESEはWindowsの中核機能であり、ファイル検索やアプリケーションのバックアップ・修復に利用されています。
WindowsログーApplicationログにおけるESENTソースのイベントは、ESEデータストレージに何らかの事象が生起した際に生成されます。

例：

• ID 102：データベースエンジンは新しいインスタンスを開始しています
• ID 105：データベースエンジンが新しいインスタンスを開始した
• ID 300：データベースエンジンは回復ステップを開始しています
• ID 301：データベースエンジンによるログファイルの再生が完了しました
• ID 302：データベースエンジンは正常に回復ステップを完了しました
• ID 326：データベースエンジンにデータベースがアタッチされた 

APTや高度な脅威アクターが用いるLOTL攻撃は、セキュリティツールやWindowsセキュリティ機能に検知されない場合があります。こういったケースでは、ESENTが生成するインデックス関連イベントから侵害の手がかりを特定する必要があります。
米CISAは、中国系APT Volt TyphoonによるActive Directory侵害の兆候を検知する手掛かりとして、ソースESENTイベントの216、325、326、327を特に注意深く調査するよう推奨しています（外部リンク）。