AdSense Placeholder
Slot: header_reference_page
Windows enregistre l'activité pertinente pour la sécurité sous forme d'événements numérotés dans des journaux .evtx situés dans C:\Windows\System32\winevt\Logs\. Ce sont les ID que les enquêteurs recherchent en premier. Chargez un journal exporté dans l'analyse forensique de journaux pour les regrouper et les filtrer dans votre navigateur. Plusieurs événements n'apparaissent que si la stratégie d'audit correspondante est activée.
Ouvertures de session et sessions (journal Sécurité)
| ID |
Signification |
Pourquoi c'est important |
4624 |
Un compte a ouvert une session avec succès |
Qui, d'où (IpAddress, WorkstationName) et comment (type d'ouverture de session) |
4625 |
Un compte n'a pas pu ouvrir de session |
Les rafales indiquent des tentatives de mots de passe ; lisez les codes d'état plus bas |
4634 |
Une session de compte a été fermée |
À associer à 4624 via TargetLogonId pour obtenir la durée de la session |
4647 |
Fermeture de session initiée par l'utilisateur |
Fermeture interactive lancée par l'utilisateur lui-même |
4648 |
Une ouverture de session a été tentée avec des identifiants explicites |
runas, lecteurs mappés avec d'autres identifiants, mouvement latéral |
4672 |
Privilèges spéciaux attribués à la nouvelle session |
Une ouverture de session équivalente à administrateur |
4740 |
Un compte utilisateur a été verrouillé |
Trop d'échecs ; l'événement indique l'ordinateur appelant |
4767 |
Un compte utilisateur a été déverrouillé |
|
4778 |
Une session a été reconnectée à une station Window |
Reconnexion RDP ou changement rapide d'utilisateur |
4779 |
Une session a été déconnectée d'une station Window |
Déconnexion RDP |
Types d'ouverture de session (champ LogonType dans 4624, 4625, 4634)
| Type |
Nom |
Source habituelle |
2 |
Interactive |
Clavier sur la console |
3 |
Network |
Partage SMB, net use, de nombreux outils d'administration à distance |
4 |
Batch |
Tâches planifiées |
5 |
Service |
Un service qui démarre sous un compte |
7 |
Unlock |
Station déverrouillée |
8 |
NetworkCleartext |
Identifiants envoyés en clair, p. ex. authentification de base IIS |
9 |
NewCredentials |
runas /netonly |
10 |
RemoteInteractive |
Bureau à distance (RDP) |
11 |
CachedInteractive |
Ouverture avec identifiants de domaine en cache, sans joindre de contrôleur de domaine |
12 |
CachedRemoteInteractive |
RDP avec identifiants en cache |
13 |
CachedUnlock |
Déverrouillage avec identifiants en cache |
Pourquoi une ouverture de session a échoué (Status / SubStatus de 4625)
| Code |
Signification |
Lecture |
0xC000006D |
Nom d'utilisateur ou informations d'authentification incorrects |
État générique ; regardez le SubStatus |
0xC0000064 |
Le nom d'utilisateur n'existe pas |
Beaucoup de noms différents : énumération de comptes ou pulvérisation (spraying) |
0xC000006A |
Nom correct, mot de passe incorrect |
Beaucoup d'essais sur un seul nom : devinette de mot de passe |
0xC0000234 |
Compte verrouillé |
|
0xC0000072 |
Compte désactivé |
|
0xC0000193 |
Compte expiré |
|
0xC0000071 |
Mot de passe expiré |
|
0xC0000224 |
Le mot de passe doit être changé à la prochaine ouverture de session |
|
0xC000006F |
Ouverture de session en dehors des heures autorisées |
|
0xC0000070 |
Ouverture de session depuis une station non autorisée |
|
0xC000015B |
Type d'ouverture de session non accordé à ce compte |
|
Comptes et groupes (journal Sécurité)
| ID |
Signification |
4720 |
Un compte utilisateur a été créé |
4722 |
Un compte utilisateur a été activé |
4723 |
Une tentative de changement du mot de passe d'un compte a eu lieu |
4724 |
Une tentative de réinitialisation du mot de passe d'un compte a eu lieu |
4725 |
Un compte utilisateur a été désactivé |
4726 |
Un compte utilisateur a été supprimé |
4738 |
Un compte utilisateur a été modifié |
4728 |
Un membre a été ajouté à un groupe global avec sécurité activée |
4732 |
Un membre a été ajouté à un groupe local avec sécurité activée (p. ex. Administrateurs) |
4756 |
Un membre a été ajouté à un groupe universel avec sécurité activée |
4768 |
Un ticket d'authentification Kerberos (TGT) a été demandé |
4769 |
Un ticket de service Kerberos a été demandé |
4771 |
La préauthentification Kerberos a échoué |
4776 |
L'ordinateur a tenté de valider les identifiants d'un compte (NTLM) |
Processus, services et tâches
| ID |
Journal |
Signification |
4688 |
Sécurité |
Un nouveau processus a été créé (ligne de commande seulement si activée) |
4689 |
Sécurité |
Un processus s'est terminé |
4697 |
Sécurité |
Un service a été installé dans le système |
4698 |
Sécurité |
Une tâche planifiée a été créée |
4699 |
Sécurité |
Une tâche planifiée a été supprimée |
4702 |
Sécurité |
Une tâche planifiée a été mise à jour |
7045 |
Système |
Un nouveau service a été installé (cherchez des chemins étranges, cmd /c, PowerShell encodé) |
7034 |
Système |
Un service s'est arrêté de façon inattendue |
7036 |
Système |
Un service est passé à l'état en cours d'exécution ou arrêté |
7040 |
Système |
Le type de démarrage d'un service a été modifié |
106 |
TaskScheduler/Operational |
Une tâche planifiée a été enregistrée |
200 / 201 |
TaskScheduler/Operational |
Une action de tâche a démarré / s'est terminée |
Chaque installation de service (7045) laisse aussi une clé sous SYSTEM\CurrentControlSet\Services ; comparez les deux avec l'analyse forensique du registre et Aide-mémoire des artefacts forensiques du registre Windows.
Falsification des journaux et état du système
| ID |
Journal |
Signification |
1102 |
Sécurité |
Le journal d'audit a été effacé |
104 |
Système |
Un journal d'événements a été effacé |
4719 |
Sécurité |
La stratégie d'audit du système a été modifiée |
6005 |
Système |
Le service Journal d'événements a démarré (démarrage) |
6006 |
Système |
Le service Journal d'événements a été arrêté (arrêt propre) |
6008 |
Système |
L'arrêt précédent du système était inattendu |
1074 |
Système |
Un processus ou un utilisateur a lancé un arrêt ou un redémarrage |
PowerShell et accès à distance
| ID |
Journal |
Signification |
4103 |
PowerShell/Operational |
Journalisation des modules : détails d'exécution du pipeline |
4104 |
PowerShell/Operational |
Journalisation des blocs de script : le texte réel du script, décodé |
400 / 403 |
Windows PowerShell |
Le moteur PowerShell a démarré / s'est arrêté (montre l'application hôte) |
1149 |
TerminalServices-RemoteConnectionManager/Operational |
Authentification RDP réussie (IP source) |
21 |
TerminalServices-LocalSessionManager/Operational |
Ouverture de session RDP réussie |
24 / 25 |
TerminalServices-LocalSessionManager/Operational |
Session RDP déconnectée / reconnectée |
5140 |
Sécurité |
Un objet de partage réseau a été consulté |
5145 |
Sécurité |
L'accès à un objet de partage réseau a été vérifié (partage de fichiers détaillé) |
Schémas de lecture
- Pulvérisation ou devinette. De nombreux 4625 avec
0xC0000064 sur beaucoup de noms depuis une même source indiquent une pulvérisation (spraying) ou une énumération ; de nombreux 0xC000006A sur un seul nom indiquent une attaque par force brute. Un 4624 depuis cette source juste après est l'événement qui compte.
- Ouverture de session RDP. Cherchez 4624 de type
10 avec 1149 et le 21 de LocalSessionManager ; le type 3 seul correspond le plus souvent à du partage de fichiers, pas à une session de bureau.
- Persistance. 7045 ou 4697 (nouveau service), 4698 (nouvelle tâche) et 4720 + 4732 (nouveau compte ajouté aux Administrateurs) sont des indicateurs de compromission classiques.
- Trous. Un 1102 ou 104, ou des plages horaires manquantes, signifient qu'une partie de l'histoire a été supprimée ; vérifiez les autres journaux et le registre pour la même période.