drop 4688 or sysmon evtx csv · certutil downloader/decoder · url cache · decode chains · certificate ops · export csv · runs locally
input
drop evtx csv
or click
security 4688 · sysmon event 1 · optional mft csv for output file status
drop 4688 or sysmon evtx csv · optional mft csv