Stell dir vor, du öffnest am Montagmorgen die Ereignisanzeige deines Servers und findest Tausende Einträge aus den letzten 24 Stunden. Irgendwo darin steckt ein Brute-Force-Angriff, aber von Hand wirst du ihn kaum finden. Genau hier setzt diese Anleitung an. Du lernst, die wichtigsten Windows-Event-IDs zu filtern, die Daten als CSV oder per PowerShell zu exportieren und sie anschließend von ChatGPT auswerten zu lassen. Das Szenario ist ein klassischer Angriff auf Anmeldedaten, wie er in vielen Unternehmensnetzwerken vorkommt.
Das Video wird erst beim Abspielen von YouTube geladen – dabei werden Daten (u. a. deine IP-Adresse) an YouTube bzw. Google übertragen. Mehr dazu in der Datenschutzerklärung
Wichtigste Erkenntnisse
Die Analyse von Sicherheitsprotokollen gelingt nur, wenn du die relevanten Event-IDs kennst und die Daten gezielt eingrenzt. Fehlgeschlagene Anmeldungen (Event-ID 4625) sind dabei der wichtigste Ausgangspunkt. Bevor du Logdaten an ein KI-Werkzeug übergibst, musst du sensible Informationen wie IP-Adressen, Benutzernamen und Hostnamen anonymisieren. ChatGPT liefert auf Basis strukturierter Prompts schnell eine Mustererkennung, Bewertungen und Handlungsempfehlungen. Die Ergebnisse musst du jedoch immer selbst überprüfen, denn KI-Modelle können sich irren.
Schritt-für-Schritt-Anleitung
Schritt 1: Die wichtigsten Event-IDs verstehen
Bevor du Logs filterst, solltest du wissen, welche Ereignisse du überhaupt suchst. Die Event-ID 4624 steht für eine erfolgreiche Anmeldung, 4625 für eine fehlgeschlagene. Die 4634 markiert eine Abmeldung. Kontoereignisse wie 4720 (Benutzer erstellt), 4722 (Benutzer aktiviert), 4724 (Passwort-Reset-Versuch) und 4728 bzw. 4732 (Benutzer zu einer Gruppe hinzugefügt) helfen dir, Rechteausweitungen nachzuvollziehen. Für Prozesse sind die 4688 (neuer Prozess gestartet) und die 4689 (Prozess beendet) relevant. Ein Teil dieser IDs sollte dir geläufig sein, denn du wirst sie in fast jeder Untersuchung brauchen.
Schritt 2: Fehlgeschlagene Anmeldungen filtern
Öffne im Windows-Ereignisprotokoll das Sicherheitsprotokoll und lege einen Filter an. Gib als Event-ID 4625 ein und begrenze den Zeitraum auf die letzten 24 Stunden. Damit reduzierst du die Datenmenge erheblich und konzentrierst dich auf die Anmeldeversuche, die den Verdacht begründen könnten. Der Filter funktioniert nur auf einem Windows-System. Wenn du wie im Video mit einem Mac arbeitest, nutzt du stattdessen eine vorbereitete Logdatei.
Schritt 3: Die Daten als CSV exportieren
Damit ChatGPT die Ereignisse auswerten kann, brauchst du ein lesbares, tabellarisches Format. Im Ereignisprotokoll kannst du die gefilterten Einträge direkt als CSV-Datei speichern. Die CSV-Datei lässt sich in Excel öffnen, prüfen und bereinigen, bevor du sie weiterverwendest.
Schritt 4: Der Export per PowerShell
Alternativ kannst du die Daten mit PowerShell exportieren. Das ist vor allem dann praktisch, wenn du den Vorgang wiederholen oder automatisieren möchtest. Ein möglicher Befehl sieht so aus:
Der Befehl liest alle fehlgeschlagenen Anmeldungen der letzten 24 Stunden aus dem Sicherheitsprotokoll und speichert sie als CSV-Datei. Für den Lauf brauchst du Administratorrechte.
Schritt 5: Daten vor dem Upload anonymisieren
Bevor du die CSV-Datei in ein externes System hochlädst, prüfe sie auf sensible Informationen. Dazu gehören IP-Adressen, Benutzernamen, Hostnamen und alles, was sich auf dein Unternehmen zurückführen lässt. Ersetze diese Werte durch neutrale Platzhalter, etwa „IP_A“, „User_01“ oder „Host_X“. Die Muster bleiben dabei erhalten, und die Analyse funktioniert trotzdem. Dieser Schritt ist keine Formsache, sondern Teil eines verantwortungsvollen Umgangs mit Daten.
Schritt 6: Einen strukturierten Prompt formulieren
Die Qualität der Analyse hängt stark von deinem Prompt ab. Gib der KI eine Rolle, einen Kontext und eine klare Aufgabe. Ein bewährter Aufbau lautet: Du bist ein erfahrener Windows-Security-Spezialist für Login-Forensik. Du erhältst exportierte Events mit der ID 4625. Analysiere die Daten auf Brute-Force-Muster, identifiziere auffällige Quellen, IPs und Benutzernamen, bewerte die Kritikalität (kritisch, hoch, mittel, niedrig) und gib konkrete Handlungsempfehlungen. Strukturiere die Antwort als Tabelle. Füge danach die anonymisierte CSV-Datei an und sende den Prompt ab.
Schritt 7: Die Analyse lesen und einordnen
ChatGPT erkennt in der Auswertung typische Muster. Im Beispiel waren mehrere Fehlversuche innerhalb weniger Sekunden von einer Quell-IP und einer Workstation aus zu sehen. Es wurden mehrere Benutzernamen getestet, darunter sowohl existierende als auch nicht existierende Konten. Diese Mischung spricht für Credential Stuffing. Danach folgte ein erfolgreicher Login mit einem echten Konto, gefolgt von Sonderprivilegien. Lies die Analyse also nicht nur oberflächlich, sondern prüfe, ob die Abfolge zu deinem Verdacht passt.
Schritt 8: Statuscodes gezielt nachfragen
Die Analyse nennt oft Statuscodes wie 0xC000006A oder 0xC0000064. Der Code 0xC000006A bedeutet, dass der Benutzername existiert, das Passwort aber falsch ist. Für den Angreifer ist das ein Hinweis auf ein gültiges Konto. Der Code 0xC0000064 zeigt dagegen an, dass der Benutzername nicht existiert. Frag die KI nach jedem Code, den du nicht sicher zuordnen kannst. So verstehst du den Ablauf des Angriffs besser.
Schritt 9: Mit Follow-up-Fragen vertiefen
Eine einzelne Antwort reicht selten aus. Stelle Anschlussfragen, etwa zum Logontyp. Der Typ 3 steht für eine Netzwerkanmeldung, zum Beispiel über SMB oder eine Netzwerkfreigabe. Der Typ 10 steht für eine interaktive Anmeldung per RDP. Wenn das Muster Typ 3 nutzt, deutet das auf einen Angriff über Netzwerkdienste hin. So grenzt du die Angriffsfläche weiter ein.
Schritt 10: Sofortmaßnahmen ableiten
Im nächsten Schritt fragst du nach konkreten Maßnahmen. Formuliere zum Beispiel: Welche sofortigen Maßnahmen empfiehlst du? Die KI gliedert ihre Antwort typischerweise in technische und organisatorische Sofortmaßnahmen. Dazu gehören das Sperren betroffener Konten, das Blockieren der Quell-IP und das Sichern der Beweise. Halte dich an die Reihenfolge: Erst sichern, dann härten. Wer Logs verliert, verliert die Grundlage für die Untersuchung.
Schritt 11: Eine Erkennungsregel erstellen lassen
Damit sich das Muster künftig automatisch meldet, kannst du ChatGPT nach einer SIEM-Regel fragen. Die Antwort enthält meist eine Logik in Klartext und eine Pseudo-Abfrage, etwa in SQL-ähnlicher Form. Diese Vorlage passt du an deine Umgebung an, bevor du sie in Betrieb nimmst. Eine Regel, die eine Schwelle von mehreren Fehlversuchen innerhalb weniger Minuten prüft, ist ein typischer Startpunkt.
Schritt 12: Ergebnisse verifizieren und dokumentieren
Zum Schluss prüfst du jede kritische Aussage. KI-Modelle können Ereignisse falsch deuten oder Details erfinden, deshalb gleichst du die Ergebnisse mit den Originaldaten ab. Lass dir für deine Dokumentation außerdem das passende MITRE-ATT&CK-Mapping geben, zum Beispiel für Brute-Force-Techniken. So bleibt deine Untersuchung nachvollziehbar.
Zusammenfassung – Windows Event Log Analyse mit ChatGPT: Brute-Force-Angriffe in Minuten erkennen
Du hast gelernt, fehlgeschlagene Anmeldungen mit Event-ID 4625 zu filtern, die Daten als CSV oder per PowerShell zu exportieren und vor dem Upload zu anonymisieren. Mit einem strukturierten Prompt lässt du ChatGPT Muster erkennen, Statuscodes erklären und Sofortmaßnahmen sowie Erkennungsregeln ableiten. Achte dabei immer auf Datenschutz und überprüfe kritische Ergebnisse, bevor du daraus Entscheidungen ableitest. Im nächsten Schritt geht es um Firewall- und Proxy-Logs, mit denen du C2-Kommunikation und Reconnaissance-Muster aufspürst.
FAQ
Welche Event-ID zeigt fehlgeschlagene Anmeldungen an?Die Event-ID 4625 zeigt fehlgeschlagene Anmeldungen im Windows-Sicherheitsprotokoll an.
Warum sollte ich Logdaten vor dem Upload in ChatGPT anonymisieren?Logs enthalten oft IP-Adressen, Benutzernamen und Hostnamen, die sich auf dein Unternehmen zurückführen lassen. Diese Daten dürfen nicht ungeprüft in externe Systeme gelangen.
Was bedeutet der Statuscode 0xC000006A?Der Code bedeutet, dass der Benutzername existiert, das eingegebene Passwort aber falsch war. Für einen Angreifer ist das ein Hinweis auf ein gültiges Konto.
Was bedeutet der Logontyp 3?Der Logontyp 3 steht für eine Netzwerkanmeldung, etwa über SMB oder eine Netzwerkfreigabe.
Kann ich der KI-Analyse vertrauen?Du solltest die Ergebnisse immer verifizieren. KI-Modelle können sich irren oder Details erfinden, deshalb gleichst du kritische Befunde mit den Originaldaten ab.
Muss ich Windows verwenden, um die Analyse durchzuführen?Zum direkten Filtern im Ereignisprotokoll brauchst du ein Windows-System. Du kannst aber auch eine bereits exportierte Logdatei auf einem anderen System auswerten.
