Réseau et accès distant
Journaux du pare-feu Windows
Fiche pare-feu Windows : format et réglages de pfirewall.log, événements de règles 2004-2006, audit WFP 5156/5157, règles dans le registre et abus de netsh.
- Emplacement
- C:\Windows\System32\LogFiles\Firewall\pfirewall.log
- Prouve
- Connexions autorisées ou bloquées (si la journalisation est active) et dates de modification des règles ou des profils du pare-feu
- Horodatages
- Colonnes date/heure de pfirewall.log en heure locale ; journaux d'événements en UTC (précision FILETIME)
- Rétention
- pfirewall.log limité à 4 Mo par défaut, renommé une fois en pfirewall.log.old ; journaux d'événements circulaires
- Accès
- Administrateur ; pfirewall.log est tenu ouvert par le service de pare-feu, une copie brute peut être nécessaire
- Type
- Fichier / système de fichiers
- Windows
- XPVista / 78 / 8.11011
- Cible KAPE
- WindowsFirewallEventLogs
- Velociraptor
- Windows.Triage.Targets:WindowsFirewallEventLogs
Outils
Comparer tous les outils- EVTX ParserNavigateur
- PCAP ParserNavigateur
- EvtxECmdCLI
- Get-WinEventCLI · intégré à Windows
- Log ParserCLI
- Registry ExplorerGUI
- VelociraptorPlateforme · open source
Présentation
Le Pare-feu Windows Defender (anciennement Pare-feu Windows) laisse trois types de traces : un journal de paquets texte (pfirewall.log), des journaux d'événements qui consignent les changements de configuration, et les événements d'audit de la Windows Filtering Platform (WFP) dans le journal Security. Les règles elles-mêmes sont stockées dans le registre. Ensemble, ils répondent à deux questions : cette machine a-t-elle communiqué avec cette adresse, et quelqu'un a-t-il ouvert une brèche dans le pare-feu ?
Emplacement
| Trace | Emplacement | État par défaut |
|---|---|---|
| Journal de paquets (XP SP2) | C:\Windows\pfirewall.log | Désactivé |
| Journal de paquets (Vista et suivants) | %SystemRoot%\System32\LogFiles\Firewall\pfirewall.log | Désactivé (par profil) |
| Journal d'événements du pare-feu (Vista et suivants) | Microsoft-Windows-Windows Firewall With Advanced Security%4Firewall.evtx | Activé |
| Audit WFP | Security.evtx | Désactivé (stratégie d'audit requise) |
| Règles locales | HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\FirewallRules | Présent |
| Règles GPO | HKLM\SOFTWARE\Policies\Microsoft\WindowsFirewall\FirewallRules | Si une stratégie s'applique |
| Réglages des profils et de la journalisation | ...\FirewallPolicy\DomainProfile, StandardProfile, PublicProfile (et sous-clés \Logging) | Présent |
Le chemin du journal est modifiable par profil : lisez LogFilePath avant de supposer l'emplacement par défaut.
Ce que l'artefact prouve
- pfirewall.log : une tentative de connexion a été autorisée (
ALLOW) ou bloquée (DROP), avec IP, ports et protocole. La colonnepathindique le sens (SEND,RECEIVE), pas le chemin d'un processus ; certaines versions récentes de Windows 11 ajoutent une colonnepid, sans garantie. - Journal d'événements du pare-feu : une règle a été ajoutée, modifiée ou supprimée, ou un réglage de profil (par exemple pare-feu activé/désactivé) a changé, et par quelle application.
- 5156/5157 : le processus (
Application) derrière chaque connexion autorisée ou bloquée, information généralement absente de pfirewall.log.
Il ne prouve pas le volume de données transférées (voir SRUM), ni quoi que ce soit sur le trafic lorsque la journalisation était désactivée, ce qui est le cas par défaut.
Champs clés
| Source | Champ / ID | Signification |
|---|---|---|
| pfirewall.log | date time action protocol src-ip dst-ip src-port dst-port size tcpflags tcpsyn tcpack tcpwin icmptype icmpcode info path | En-tête de style W3C (#Fields:), séparateur espace |
| EVTX du pare-feu | 2004 / 2005 / 2006 | Règle ajoutée / modifiée / supprimée (nom, chemin d'application, ports, application à l'origine du changement) |
| EVTX du pare-feu | 2033 | Toutes les règles supprimées |
| EVTX du pare-feu | 2003 | Réglage de profil modifié (par exemple Enable Windows Defender Firewall) |
| Security | 5156 / 5157 | La WFP a autorisé / bloqué une connexion (processus, sens, IP, ports) |
| Security | 5152 | La WFP a rejeté un paquet |
| Security | 4946 / 4947 / 4948 / 4950 | Règle ajoutée / modifiée / supprimée, réglage modifié (audit MPSSVC au niveau des règles) |
| Valeur de règle (registre) | v2.xx|Action=Allow|Active=TRUE|Dir=In|Protocol=6|LPort=3389|App=...|Name=...| | Une valeur par règle, nommée par GUID ou nom de règle |
Les versions récentes de Windows 11 journalisent les changements de règles sous de nouveaux ID (2097 ajout, 2099 modification, 2052 suppression sont souvent cités). Filtrez sur les deux jeux.
Horodatages
| Horodatage | Format | Pièges |
|---|---|---|
date + time de pfirewall.log | AAAA-MM-JJ HH:MM:SS, heure locale | Aucun fuseau dans le fichier ; convertissez avec TimeZoneInformation de la machine (UTC et heure locale) |
TimeCreated des événements | UTC | Date du changement de règle, pas de sa création dans le registre |
| Dernière écriture de la clé | UTC | L'horodatage de FirewallRules ne reflète que le dernier changement, toutes règles confondues |
Rétention et effacement
pfirewall.logest limité par défaut à 4 096 Ko. Une fois plein, il est renommépfirewall.log.old(en écrasant le précédent) et un nouveau fichier démarre : il n'existe jamais plus d'environ 8 Mo d'historique.- Le journal du pare-feu et le journal Security sont circulaires ; le volume de Security explose si le 5156 est activé.
- Les attaquants désactivent souvent le pare-feu ou ajoutent des règles d'autorisation :
netsh advfirewall set allprofiles state off,netsh advfirewall firewall add rule name="x" dir=in action=allow protocol=TCP localport=3389,Set-NetFirewallProfile -Enabled False, ou l'ancien contextenetsh firewall.
Collecte
robocopy C:\Windows\System32\LogFiles\Firewall E:\case\Firewall /COPY:DAT
wevtutil epl "Microsoft-Windows-Windows Firewall With Advanced Security/Firewall" E:\case\Firewall.evtx
reg export "HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy" E:\case\FirewallPolicy.reg
netsh advfirewall show allprofiles
auditpol /get /subcategory:"Filtering Platform Connection"
La cible KAPE WindowsFirewall collecte les journaux texte ; EventLogs couvre les fichiers EVTX. Si la copie échoue parce que le fichier est en cours d'utilisation, passez par une copie brute (KAPE, Velociraptor ou une image).
Outils d'analyse
- EvtxECmd, Get-WinEvent, Chainsaw : événements du pare-feu et de Security.
- Log Parser ou tout outil CSV :
pfirewall.logest du texte brut ; ignorez les lignes d'en-tête#. - Registry Explorer / RECmd : décodage des valeurs de
FirewallRuleset des horodatages de clés. - Velociraptor : interrogation en direct des règles et des journaux sur tout le parc.
Conseils d'investigation
- Cherchez les événements de règles dont l'application à l'origine est
netsh.exe,powershell.exeou un binaire inconnu, et les règles qui ouvrent RDP (3389), SMB (445), WinRM (5985/5986) ou autorisent un programme situé dans un chemin accessible en écriture aux utilisateurs. - Comparez
FirewallRulesà une installation saine : noms de règles étranges, autorisations entrantesActive=TRUEetApp=dans\AppData\ou\ProgramData\ressortent vite. - Un événement 2003 désactivant le pare-feu peu avant un mouvement latéral est un point d'ancrage solide pour la chronologie.
- Corrélez les rafales de
DROPde pfirewall.log avec les échecs de connexion 4625 pour repérer scans et force brute. - Rapprochez les noms de processus des 5156 de l'événement 3 de Sysmon si les deux existent.
Artefacts liés
- Journaux d'événements Windows (EVTX)Fiche des journaux d'événements Windows : emplacements EVTX, ID indispensables (connexions, processus, services, effacement), rétention, audit et outils.
- Profils réseau (NetworkList)Fiche NetworkList : profils réseau, SSID, adresses MAC de passerelle, première et dernière connexion (heure locale), profils WLAN et événements WLAN.
- SRUM (System Resource Usage Monitor)Fiche SRUM : tables et GUID de SRUDB.dat, octets réseau et temps CPU par application, enregistrements horaires UTC, rétention de 30 à 60 jours, réparation ESE.
- Traces de connexions RDPFiche forensique RDP : ID côté cible (4624 type 10, 1149, 21 à 25, 131) et traces côté source (clés Terminal Server Client, Default.rdp, événement 1024).
- Journal d'événements SysmonFiche Sysmon : emplacement du journal Operational, ID d'événements clés, corrélation ProcessGuid et hash, config dans le registre, altérations et outils.
- Outils d'accès distant (RMM)Fiche RMM et outils d'accès distant : AnyDesk, TeamViewer, ScreenConnect, leurs journaux, IDs de connexion, IP et horodatages, et comment traquer l'abus.
Termes du glossaire
- ID d'événement WindowsLe numéro qui identifie un type d'événement au sein d'un fournisseur donné ; il n'a de sens qu'associé à ce fournisseur et à son canal.
- Mouvement latéralDéplacement d'un attaquant d'un hôte compromis vers d'autres machines du réseau, via RDP, SMB, PsExec, WMI, WinRM ou tâches et services distants.
- Anti-forensiqueTechniques visant à détruire, cacher ou falsifier des preuves : effacement de journaux, timestomping, wiping, suppression des clichés ou du journal USN.
- UTC et heure locale dans les artefacts WindowsPourquoi certains artefacts Windows enregistrent l'UTC et d'autres l'heure locale, et comment la clé TimeZoneInformation aide à normaliser une chronologie.
Guides
- Analyse forensique des journaux Windows : EVTX et event IDsGuide pratique des journaux d'événements Windows : format EVTX, canaux clés, event IDs Security et Sysmon, politique d'audit, logs effacés et outils.
- Mouvement latéral : traces RDP, PsExec, WMI et WinRMArtefacts côté source et côté destination pour RDP, PsExec, SMB, WMI, WinRM, tâches planifiées et DCOM, et construction du graphe de mouvement latéral.
- Anti-forensique Windows : détecter les traces qui subsistentDétecter effacement de journaux, timestomping, suppression sécurisée, destruction des VSS et neutralisation de Defender, avec ATT&CK et les traces laissées.
- Outils d'accès distant : forensic d'AnyDesk et TeamViewerEnquêter sur les outils RMM et d'accès à distance détournés : traces d'installation, journaux par outil, ID et IP de session, transferts de fichiers, usage IT.