Exécution
Journaux d'événements Windows (EVTX)
Fiche des journaux d'événements Windows : emplacements EVTX, ID indispensables (connexions, processus, services, effacement), rétention, audit et outils.
- Emplacement
- C:\Windows\System32\winevt\Logs\*.evtx
- Prouve
- Connexions, créations de processus, installations de services et tâches, effacement des journaux…
- Horodatages
- TimeCreated SystemTime en FILETIME, UTC (l'Observateur affiche l'heure locale) ; certains champs EventData contiennent l'heure locale
- Rétention
- Circulaire par défaut, anciens événements écrasés à taille max (environ 20 Mo pour Security, System, Application sur 7+) ; un effacement laisse 1102/104
- Accès
- Administrateur ; .evtx verrouillés par le service Event Log : export via wevtutil epl, ou copie NTFS brute ou VSS (KAPE EventLogs)
- Type
- Journal d'événements
- Windows
- XPVista / 78 / 8.11011
- Cible KAPE
- EventLogs
- Velociraptor
- Windows.Triage.Targets:EventLogs
Outils
Comparer tous les outils- EVTX ParserNavigateur
- EvtxECmdCLI
- ChainsawCLI · open source
- HayabusaCLI · open source
- Event ViewerGUI · intégré à Windows
- python-evtxBibliothèque · open source
Présentation
Windows consigne les événements du système, des services et des applications dans des journaux d'événements. Depuis Windows Vista, ce sont des fichiers XML binaires (.evtx), un par canal : les classiques Security, System et Application, plus des centaines de canaux Microsoft-Windows-*/Operational. Ils forment l'ossature de la plupart des chronologies d'intrusion : authentification, création de processus, persistance, accès distant et tentatives de l'attaquant pour effacer ses traces.
Emplacement
| Version de Windows | Chemin | Format |
|---|---|---|
| XP / Server 2003 | C:\Windows\System32\config\AppEvent.Evt, SecEvent.Evt, SysEvent.Evt | EVT (binaire ancien) |
| Vista / 7 / 8 / 10 / 11 | C:\Windows\System32\winevt\Logs\*.evtx | EVTX |
Le canal Microsoft-Windows-TerminalServices-LocalSessionManager/Operational devient le fichier Microsoft-Windows-TerminalServices-LocalSessionManager%4Operational.evtx (le / s'écrit %4). Le chemin et la taille configurés de chaque journal se trouvent dans SYSTEM\CurrentControlSet\Services\EventLog\<journal> et SOFTWARE\Microsoft\Windows\CurrentVersion\WINEVT\Channels.
Ce que l'artefact prouve
Selon la stratégie d'audit et les composants installés, les journaux montrent qui s'est connecté, d'où et comment, quels processus ont tourné (avec leur ligne de commande), quels services et tâches planifiées ont été créés, l'activité RDP et PowerShell, les détections Defender, les connexions USB et l'effacement des journaux. Ils montrent rarement le contenu ou l'accès aux fichiers, sauf si l'audit des accès aux objets est configuré.
Champs clés
| Champ | Signification |
|---|---|
EventID | ID d'événement numérique, qui n'a de sens qu'avec son fournisseur |
Provider / Channel | Source et journal de l'événement |
TimeCreated SystemTime | Heure d'enregistrement de l'événement |
EventRecordID | Numéro séquentiel de l'enregistrement dans le journal |
Computer | Nom de l'hôte |
Security UserID | SID du compte à l'origine de l'événement (quand il est présent) |
EventData | Champs propres à l'événement (TargetUserName, LogonType, IpAddress, NewProcessName, CommandLine…) |
Événements incontournables :
| Journal | ID | Signification |
|---|---|---|
| Security | 4624 / 4625 | Connexion réussie / échouée (voir type de connexion) |
| Security | 4634 / 4647 | Fermeture de session / fermeture à l'initiative de l'utilisateur |
| Security | 4648 | Connexion avec identifiants explicites (runas, outils de mouvement latéral) |
| Security | 4672 | Privilèges spéciaux attribués à une nouvelle session (niveau administrateur) |
| Security | 4688 / 4689 | Processus créé / terminé (nécessite l'audit de création de processus) |
| Security | 4697 | Service installé (nécessite l'audit d'extension du système de sécurité) |
| Security | 4698 / 4702 | Tâche planifiée créée / mise à jour (nécessite l'audit des accès aux objets) |
| Security | 4720 / 4726 | Compte utilisateur créé / supprimé |
| Security | 4732 | Membre ajouté à un groupe local de sécurité (par exemple Administrateurs) |
| Security | 1102 | Journal de sécurité effacé |
| System | 104 | Un journal (autre que Security) effacé |
| System | 7045 | Nouveau service installé |
| System | 7036 | Service passé à l'état démarré / arrêté |
| System | 6005 / 6006 | Service Journal d'événements démarré / arrêté (démarrage / arrêt propre) |
Les ID propres à chaque canal sont détaillés sur les pages RDP, PowerShell, tâches planifiées, Defender et USB.
Horodatages
| Horodatage | Positionné quand | Format | Pièges |
|---|---|---|---|
TimeCreated SystemTime | Écriture de l'événement par le fournisseur | FILETIME, UTC | L'Observateur d'événements l'affiche dans le fuseau local de l'analyste ; les CSV exportés aussi parfois |
Champs de EventData | Propres au fournisseur | Variable | Certains fournisseurs écrivent des chaînes en heure locale |
Horodatages $SI du .evtx | Modifications du fichier | NTFS, UTC | Ne disent rien des événements individuels |
Rétention et effacement
- Chaque journal a une taille maximale et, par défaut, écrase les événements les plus anciens une fois plein. Depuis Windows 7, la valeur par défaut est d'environ 20 Mo pour
Security,SystemetApplication; sur un serveur chargé ou un contrôleur de domaine, le journal Security peut tourner en quelques heures. - Effacer un journal laisse un 1102 (Security) ou un 104 (System), avec le compte responsable.
- Des trous dans
EventRecordID, un journal qui commence bien après le dernier démarrage, ou un service Journal d'événements arrêté (paires 6005/6006 manquantes) signalent une altération. - Beaucoup d'événements utiles exigent une stratégie d'audit (
auditpol) ou un paramètre de GPO : 4688 requiert Auditer la création du processus, et la ligne de commande requiert Inclure la ligne de commande dans les événements de création de processus.
Collecte
- Cible KAPE :
EventLogs(tous les.evtx, et les.evtsur les systèmes anciens) ;EventLogs-RDPpour un sous-ensemble orienté RDP. - Velociraptor (
Windows.Triage.Targets) :EventLogs;Windows.EventLogs.EvtxetWindows.Sigma.EventLogsles interrogent en direct. - Commandes natives (administrateur) :
wevtutil epl Security E:\case\Security.evtx
wevtutil gl Security
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4624,4625} -MaxEvents 50
auditpol /get /category:*
Outils d'analyse
- EvtxECmd (Eric Zimmerman) :
EvtxECmd.exe -d E:\case\Logs --csv E:\outnormalise les événements grâce à des maps en CSV pour Timeline Explorer. - Chainsaw (WithSecure) et Hayabusa (Yamato Security) : chasse rapide à base de règles Sigma sur des dossiers de fichiers EVTX.
- python-evtx (Willi Ballenthin) et Velociraptor
Windows.EventLogs.Evtx: accès scripté. - Observateur d'événements : suffisant pour quelques événements ; utilisez Filtrer le journal actuel et Enregistrer le fichier journal filtré sous.
Conseils d'investigation
- Commencez par l'authentification : 4624 par type de connexion, IP source et nom de poste ; les connexions de type 3 et 10 depuis des hôtes inattendus sont la trace classique d'un mouvement latéral.
- Enchaînez 4624 → 4672 → 4688 via
TargetLogonId/SubjectLogonIdpour voir ce qu'a fait une session élevée. - Traquez la persistance avec 7045 / 4697 (services) et 4698 (tâches) autour de la fenêtre d'intrusion.
- Traitez 1102 et 104 comme des preuves prioritaires d'anti-forensique, puis cherchez des copies survivantes dans les clichés instantanés, le SIEM et les sauvegardes.
- Normalisez toujours en UTC avant de fusionner avec d'autres artefacts dans une super-chronologie.
Artefacts liés
- Traces de connexions RDPFiche forensique RDP : ID côté cible (4624 type 10, 1149, 21 à 25, 131) et traces côté source (clés Terminal Server Client, Default.rdp, événement 1024).
- Journaux et historique PowerShellForensique PowerShell : journaux 4103/4104, événements 400/403/800, historique PSReadLine ConsoleHost_history.txt, transcriptions et clés de stratégie.
- Tâches planifiéesFiche tâches planifiées : XML et .job, clés TaskCache, horodatages DynamicInfo, tâches masquées, événements TaskScheduler et 4698.
- Services WindowsFiche services Windows : valeurs de la clé Services (ImagePath, Start, Type, ServiceDll), événements 7045 et 4697, traces de PsExec et pièges.
- Journaux et quarantaine Microsoft DefenderForensique Microsoft Defender : événements 1116/1117/5001/5007, fichiers MPLog, DetectionHistory, quarantaine chiffrée, exclusions et traces de sabotage.
- Historique des périphériques USBFiche forensique USB : clés USBSTOR et USB, numéros de série, première et dernière connexion, lettres de lecteur, setupapi.dev.log et événements.
- Journal d'événements SysmonFiche Sysmon : emplacement du journal Operational, ID d'événements clés, corrélation ProcessGuid et hash, config dans le registre, altérations et outils.
- Journaux du serveur web IISFiche journaux IIS : emplacement des logs W3C par site, horodatage UTC, champs par défaut, HTTPERR, applicationHost.config et chasse aux webshells sur Windows.
- Serveur et client OpenSSHFiche OpenSSH sous Windows : journal de sshd, sshd_config et clés d'hôte, persistance par authorized_keys, known_hosts, traces du client et tunnels inversés.
- NTDS.dit et contrôleurs de domaineFiche NTDS.dit : la base Active Directory, ce qu'elle prouve, les traces de vol sur un DC et les Event IDs Kerberos, NTLM et DCSync utiles à l'enquêteur.
Termes du glossaire
- ID d'événement WindowsLe numéro qui identifie un type d'événement au sein d'un fournisseur donné ; il n'a de sens qu'associé à ce fournisseur et à son canal.
- Type d'ouverture de session (logon type)Le champ numérique des événements 4624 et 4625 qui indique comment un compte s'est connecté : console, réseau, service, RDP, cache, etc.
- Mouvement latéralDéplacement d'un attaquant d'un hôte compromis vers d'autres machines du réseau, via RDP, SMB, PsExec, WMI, WinRM ou tâches et services distants.
- Anti-forensiqueTechniques visant à détruire, cacher ou falsifier des preuves : effacement de journaux, timestomping, wiping, suppression des clichés ou du journal USN.
- Event Tracing for Windows (ETW)Le mécanisme de traçage du noyau Windows : des fournisseurs émettent des événements vers des sessions, alimentant journaux, fichiers .etl et EDR.
Guides
- Construire une super timeline avec PlasoConstruire et filtrer une super timeline Windows avec Plaso : options de log2timeline, psteal et psort, fuseaux, MACB, Timeline Explorer, CSV EZ Tools, pivots.
- Premiers pas en investigation forensique WindowsBien démarrer en DFIR Windows : méthode, ordre de volatilité, collecte, grands domaines de preuves, outils gratuits et plan des 48 premières heures.
- Forensic Active Directory : logs des contrôleurs de domaineEnquêter sur les DC : événements Kerberos et NTLM, comptes et groupes, DCSync 4662, modifications d'annuaire, abus de GPO, vol de NTDS.dit, tickets forgés.