windows log
実行されたPowershell スクリプトのログ Event Viewer Applications and Services Logs > Microsoft > Windows > PowerShell > Operational Prefetchファイルを閲覧するにはWinPrefetchView
PowerShell版Mimikatz などのPowerShellを用いたスクリプトはここに記録されている。
LSASS (LSA Server Service)
Remote Desktop Protocol のログ Applications and Services Logs > Microsoft > Windows > TerminalServices-ClientActiveXCore > Microsoft-Windows-TerminalServices-RDPClient/Operational
残された攻撃の痕跡を追え！ ～Post-Exploitationで起きていること～ | インフォメーション・ディベロプメント (idnet.co.jp)