Windows Event Forwarding

Au cours des dernières années, Palantir a maintenu un pipeline interne de Windows Event Forwarding (WEF) pour générer et collecter de manière centralisée des journaux de valeur judiciaire et de sécurité provenant d'hôtes Microsoft Windows. Une fois ces événements collectés et indexés, des stratégies d'alerte et de détection (ADS) peuvent être construites non seulement sur des événements de sécurité de haute fidélité (par exemple, suppression de journaux), mais aussi pour des écarts par rapport à la normalité, tels qu'un accès inhabituel aux comptes de service, un accès à des emplacements sensibles du système de fichiers ou du registre, ou l'installation de persistance de malware.