Exécution
Journal d'événements Sysmon
Fiche Sysmon : emplacement du journal Operational, ID d'événements clés, corrélation ProcessGuid et hash, config dans le registre, altérations et outils.
- Emplacement
- C:\Windows\System32\winevt\Logs\Microsoft-Windows-Sysmon%4Operational.evtx
- Prouve
- Créations de processus avec ligne de commande complète et hash, connexions réseau, activité fichiers, registre et DNS, selon la configuration
- Horodatages
- Champ UtcTime dans chaque événement (UTC, chaîne à la milliseconde) et TimeCreated de l'EVTX (UTC, précision FILETIME)
- Rétention
- Journal circulaire, souvent 64 Mo par défaut ; une configuration verbeuse peut boucler en quelques heures
- Accès
- Administrateur pour lire ou exporter ; le .evtx actif est verrouillé par le service Journal d'événements
- Type
- Journal d'événements
- Windows
- Vista / 78 / 8.11011
- Cible KAPE
- EventLogs
- Velociraptor
- Windows.Triage.Targets:EventLogs
Outils
Comparer tous les outils- EVTX ParserNavigateur
- EvtxECmdCLI
- ChainsawCLI · open source
- HayabusaCLI · open source
- Get-WinEventCLI · intégré à Windows
- VelociraptorPlateforme · open source
Présentation
System Monitor (Sysmon) est un outil Sysinternals gratuit composé d'un service (Sysmon.exe ou Sysmon64.exe) et d'un pilote minifiltre noyau (SysmonDrv, altitude 385201). Il écrit une télémétrie détaillée sur les processus, les connexions réseau et l'activité fichiers et registre dans son propre canal de journal d'événements. Il n'est pas installé par défaut : le trouver sur une machine signifie que quelqu'un l'a déployé, en général l'équipe sécurité. Les versions récentes de Windows 11 et de Server 2025 proposent aussi Sysmon comme fonctionnalité facultative, qu'il faut toutefois activer et configurer.
Ce qui est journalisé dépend entièrement de la configuration XML chargée à l'installation (sysmon -accepteula -i config.xml) ou ensuite (sysmon -c config.xml). Les bases communautaires de SwiftOnSecurity ou le sysmon-modular d'Olaf Hartong sont courantes.
Emplacement
| Élément | Emplacement |
|---|---|
| Journal | C:\Windows\System32\winevt\Logs\Microsoft-Windows-Sysmon%4Operational.evtx |
| Binaire du service | C:\Windows\Sysmon.exe ou C:\Windows\Sysmon64.exe (nom modifiable en renommant le binaire) |
| Pilote | C:\Windows\SysmonDrv.sys (nom modifiable avec -d) |
| Configuration active | HKLM\SYSTEM\CurrentControlSet\Services\SysmonDrv\Parameters (blob binaire Rules, HashingAlgorithm, Options) |
| Archive des fichiers supprimés | C:\Sysmon\ par défaut (ArchiveDirectory, événements 23) |
Les versions actuelles de Sysmon ciblent Windows 10/11 et Server 2012 R2 ou ultérieur ; les anciennes versions tournaient sur Windows 7. Vérifiez la version trouvée (version de fichier de Sysmon.exe ou sortie de sysmon -c).
Ce que l'artefact prouve
- Exécution avec contexte : chemin de l'image, ligne de commande complète, processus parent, utilisateur, niveau d'intégrité et hash du fichier (événement 1). C'est l'une des preuves d'exécution les plus riches qui soient.
- Activité réseau par processus : IP et ports source et destination, nom d'hôte s'il est résolu (événement 3), et requêtes DNS par processus (événement 22).
- Persistance et évasion : clés Run du registre (12 à 14), fichiers déposés (11), chargement de pilotes (6), injection de processus (8, 10, 25).
Il ne prouve rien de ce que la configuration exclut. Un événement absent signifie « non journalisé », pas « ne s'est pas produit ». Lisez la configuration chargée avant toute conclusion négative.
Champs clés
| ID | Nom | Champs clés |
|---|---|---|
| 1 | Process Create | Image, CommandLine, ParentImage, User, Hashes, ProcessGuid, ParentProcessGuid, LogonId |
| 2 | File creation time changed | TargetFilename, CreationUtcTime, PreviousCreationUtcTime |
| 3 | Network connection | SourceIp, DestinationIp, DestinationPort, Initiated |
| 4 | Sysmon service state changed | State (Started/Stopped) |
| 5 | Process terminated | ProcessGuid, UtcTime |
| 6 | Driver loaded | ImageLoaded, Hashes, Signed, Signature |
| 7 | Image loaded (DLL) | ImageLoaded, Signed, Signature |
| 8 | CreateRemoteThread | SourceImage, TargetImage, StartAddress |
| 10 | ProcessAccess | SourceImage, TargetImage, GrantedAccess, CallTrace |
| 11 | FileCreate | TargetFilename, CreationUtcTime |
| 12 / 13 / 14 | Registre : création-suppression / valeur écrite / renommage | TargetObject, Details |
| 15 | FileCreateStreamHash | TargetFilename, Hash, Contents (texte du Zone.Identifier) |
| 16 | Sysmon config change | Configuration, ConfigurationFileHash |
| 17 / 18 | Pipe created / connected | PipeName, Image |
| 22 | DNS query | QueryName, QueryResults, Image |
| 23 / 26 | File delete archivé / journalisé | TargetFilename, Hashes, Archived |
| 25 | Process tampering | Image, Type (image remplacée, hollowing) |
| 29 | FileExecutableDetected | TargetFilename, Hashes |
| 255 | Error | ID, Description |
ProcessGuid est unique pour chaque instance de processus, contrairement aux PID qui sont réutilisés. Pivotez dessus pour relier les événements 1, 3, 7, 11, 22 et 5 en une seule histoire de processus.
Horodatages
| Horodatage | Signification | Pièges |
|---|---|---|
UtcTime (EventData) | Moment où Sysmon a observé l'activité, UTC | Stocké sous forme de chaîne avec millisecondes |
TimeCreated (System) | Écriture de l'enregistrement | En général à quelques millisecondes de UtcTime |
CreationUtcTime / PreviousCreationUtcTime (événement 2) | Nouvelle et ancienne date de création du fichier | Preuve directe de timestomping, bruyant pour les installeurs et navigateurs |
Rétention et effacement
- Le canal Operational est circulaire ; sa taille maximale par défaut est souvent de 64 Mo. Avec la journalisation des processus, des chargements d'images ou du réseau, un serveur chargé peut boucler en quelques heures. Vérifiez avec
wevtutil gl Microsoft-Windows-Sysmon/Operational. - L'effacement de ce canal est consigné par l'événement 104 du journal System, pas par le 1102 du journal Security.
- Signes d'altération : événement 4 avec
State: Stopped, événement 16 (nouvelle configuration, comparezConfigurationFileHash), erreurs 255, trou dans un flux d'événements habituellement régulier,fltMC.exe unload SysmonDrvdans la télémétrie de processus, ou changements de service dans le journal System (7036, 7040). La désinstallation (sysmon -u) retire le pilote et le service, mais le.evtxsurvit normalement.
Collecte
Les cibles KAPE et Velociraptor EventLogs incluent ce canal. Exportez-le et consignez la configuration active :
wevtutil epl Microsoft-Windows-Sysmon/Operational E:\case\Sysmon.evtx
wevtutil gl Microsoft-Windows-Sysmon/Operational
Sysmon64.exe -c
reg export HKLM\SYSTEM\CurrentControlSet\Services\SysmonDrv\Parameters E:\case\SysmonDrv.reg
Get-WinEvent -Path E:\case\Sysmon.evtx -FilterXPath "*[System[EventID=1]]" |
Select-Object TimeCreated, @{n='Cmd';e={$_.Properties[10].Value}}
Outils d'analyse
- EvtxECmd (Eric Zimmerman) : les maps Sysmon aplatissent l'EventData en colonnes CSV pour Timeline Explorer.
- Chainsaw et Hayabusa : chasse basée sur Sigma, dont la plupart des règles sont écrites pour les champs Sysmon.
- Get-WinEvent : filtrage XPath rapide sur un poste en direct ou un fichier exporté.
- Velociraptor : artefacts de chasse EVTX sur tout un parc.
Conseils d'investigation
- Commencez par l'événement 1 filtré sur des parents inhabituels (
w3wp.exe,winword.exe,wmiprvse.exe) et les LOLBins, puis pivotez surProcessGuid. - Utilisez
Hashespour confronter les binaires au renseignement sur les menaces ou aux SHA-1 d'Amcache, même après suppression du fichier. LogonIddans l'événement 1 relie les processus à une session d'ouverture 4624 du journal Security.- Un événement 10 ciblant
lsass.exeavec des valeursGrantedAccesssuspectes (par exemple0x1010,0x1410) est une piste classique de vol d'identifiants ; confirmez avec la pile d'appels. - Avant de vous y fier, lisez la configuration : beaucoup de bases excluent des chemins bruyants mais pertinents.
Artefacts liés
- Journaux d'événements Windows (EVTX)Fiche des journaux d'événements Windows : emplacements EVTX, ID indispensables (connexions, processus, services, effacement), rétention, audit et outils.
- Journaux et historique PowerShellForensique PowerShell : journaux 4103/4104, événements 400/403/800, historique PSReadLine ConsoleHost_history.txt, transcriptions et clés de stratégie.
- Journaux et quarantaine Microsoft DefenderForensique Microsoft Defender : événements 1116/1117/5001/5007, fichiers MPLog, DetectionHistory, quarantaine chiffrée, exclusions et traces de sabotage.
- Services WindowsFiche services Windows : valeurs de la clé Services (ImagePath, Start, Type, ServiceDll), événements 7045 et 4697, traces de PsExec et pièges.
- Journaux de suivi d'événements (fichiers ETL)Fiche fichiers ETL : ce que sont les traces ETW, les .etl utiles en forensique (traces WDI, Wifi.etl, DiagTrack), collecte, tracerpt et etl-parser.
- Fichiers Prefetch (.pf)Fiche Prefetch Windows : emplacement des .pf par version, nombre d'exécutions, huit dernières dates, fichiers référencés, rétention et analyse.
Termes du glossaire
- ID d'événement WindowsLe numéro qui identifie un type d'événement au sein d'un fournisseur donné ; il n'a de sens qu'associé à ce fournisseur et à son canal.
- Preuve d'exécutionLes artefacts qui montrent qu'un programme s'est réellement exécuté sous Windows, et pas seulement qu'il était présent sur le disque.
- TimestompingUne technique anti-forensique qui modifie les horodatages d'un fichier pour masquer sa date de création, de modification ou d'accès.
- Anti-forensiqueTechniques visant à détruire, cacher ou falsifier des preuves : effacement de journaux, timestomping, wiping, suppression des clichés ou du journal USN.
- LOLBin (binaire living-off-the-land)Binaire Windows légitime et signé que les attaquants détournent pour télécharger, exécuter ou dissimuler une charge sans déposer leurs outils.
Guides
- Analyse forensique des journaux Windows : EVTX et event IDsGuide pratique des journaux d'événements Windows : format EVTX, canaux clés, event IDs Security et Sysmon, politique d'audit, logs effacés et outils.
- Chasser la persistance Windows : registre, tâches, WMIDétecter la persistance d'un attaquant sous Windows : clés Run, services, tâches planifiées, WMI, Winlogon, IFEO, COM et BITS, avec MITRE ATT&CK et outils.
- Anti-forensique Windows : détecter les traces qui subsistentDétecter effacement de journaux, timestomping, suppression sécurisée, destruction des VSS et neutralisation de Defender, avec ATT&CK et les traces laissées.
- Vol d'identifiants Windows : LSASS, DCSync et KerberoastingEnquêter sur le vol d'identifiants Windows : dumps LSASS, SAM et NTDS.dit, DCSync, DPAPI, Kerberoasting et AS-REP roasting, avec événements et ATT&CK.