ConsoleHost_history.txt 해당 로그 확인 시, 해당 유저가 사용한 Powershell 명령어 로그를 확인할 수 있다. Powershell 명령어로도 확인 가능 (Get-History) 경로 %USER_PROFILES%\AppData\Roaming\Microsoft\Windows\PowerShell\PSReadline\ConsoleHost_history.txt Event 로그 로컬 Powershell 실행 Windows PowerShell.evtx EID 400 : 로컬이든 원격이든 PowerShell 활동 시작 EID 403 : PowerShell 활동 완료 EID 600 : WSMan과 같은 provider가 시스템에서 Powershell 활동 수행 Microsoft-Windows-P..