Glossaire
ID d'événement Windows
Le numéro qui identifie un type d'événement au sein d'un fournisseur donné ; il n'a de sens qu'associé à ce fournisseur et à son canal.
Un ID d'événement (event ID) est le numéro qui identifie un type d'événement au sein d'un fournisseur d'événements Windows. C'est le premier critère de filtrage dans les journaux d'événements Windows, mais il n'est unique que par fournisseur : le même numéro peut signifier tout autre chose dans deux journaux différents. Lisez toujours un ID d'événement avec son fournisseur et son canal.
Quelques ID que tout enquêteur Windows devrait reconnaître :
- Journal Security (
Microsoft-Windows-Security-Auditing) : 4624 ouverture de session réussie, 4625 échec d'ouverture de session, 4688 création de processus, 4698 tâche planifiée créée, 1102 journal d'audit effacé. - Journal System : 7045 nouveau service installé (Service Control Manager, voir les services) et 104 journal effacé.
Microsoft-Windows-TaskScheduler/Operational: 106 tâche enregistrée (voir les tâches planifiées).
Trois pièges reviennent sans cesse. D'abord, beaucoup d'événements utiles n'existent que si l'audit correspondant est activé : 4688 exige l'audit de la création de processus, et sa ligne de commande nécessite un paramètre de stratégie supplémentaire. Ensuite, les événements évoluent selon les versions de Windows et gagnent des champs : les outils d'analyse doivent gérer plusieurs versions d'un même événement. Enfin, l'absence d'un événement prouve peu de chose à elle seule — le journal a pu tourner, être effacé ou n'avoir jamais été configuré.
Pour les ouvertures de session, l'ID ne raconte que la moitié de l'histoire : le champ type d'ouverture de session distingue une connexion console d'une connexion réseau ou RDP. Les événements eux-mêmes sont produits par des fournisseurs ETW.
Artefacts concernés
- Artefacts de stratégie de groupeFiche stratégie de groupe : SYSVOL, Registry.pol, mots de passe GPP, historique côté client et journaux, et comment les attaquants détournent les GPO.
- Fichiers du spouleur d'impression (.SPL et .SHD)Fiche spouleur d'impression : fichiers .SPL et .SHD de spool\PRINTERS, récupération EMF, événement 307 PrintService, pilotes et traces PrintNightmare.
- Images disque montées (ISO, IMG, VHD, VHDX)Fiche images disque montées : ISO/IMG/VHD/VHDX, événements VHDMP, MountedDevices, traces LNK et Jump Lists, failles Mark-of-the-Web et méthode de détection.
- Journal d'événements SysmonFiche Sysmon : emplacement du journal Operational, ID d'événements clés, corrélation ProcessGuid et hash, config dans le registre, altérations et outils.
- Journaux d'événements Windows (EVTX)Fiche des journaux d'événements Windows : emplacements EVTX, ID indispensables (connexions, processus, services, effacement), rétention, audit et outils.
- Journaux de suivi d'événements (fichiers ETL)Fiche fichiers ETL : ce que sont les traces ETW, les .etl utiles en forensique (traces WDI, Wifi.etl, DiagTrack), collecte, tracerpt et etl-parser.
- Journaux du pare-feu WindowsFiche pare-feu Windows : format et réglages de pfirewall.log, événements de règles 2004-2006, audit WFP 5156/5157, règles dans le registre et abus de netsh.
- Journaux et historique PowerShellForensique PowerShell : journaux 4103/4104, événements 400/403/800, historique PSReadLine ConsoleHost_history.txt, transcriptions et clés de stratégie.
- Journaux et quarantaine Microsoft DefenderForensique Microsoft Defender : événements 1116/1117/5001/5007, fichiers MPLog, DetectionHistory, quarantaine chiffrée, exclusions et traces de sabotage.
- NTDS.dit et contrôleurs de domaineFiche NTDS.dit : la base Active Directory, ce qu'elle prouve, les traces de vol sur un DC et les Event IDs Kerberos, NTLM et DCSync utiles à l'enquêteur.
- Outils d'accès distant (RMM)Fiche RMM et outils d'accès distant : AnyDesk, TeamViewer, ScreenConnect, leurs journaux, IDs de connexion, IP et horodatages, et comment traquer l'abus.
- Pilotes noyau (.sys, services de pilote, BYOVD)Fiche pilotes noyau : services de pilote (Type 1/2), événement 7045, DriverStore, setupapi.dev.log, Amcache et journaux CodeIntegrity contre BYOVD et rootkits.
- Programmes installés (clés Uninstall, MSI, AppX)Fiche programmes installés : clés Uninstall, événements MSI 1033/11707, MSI en cache, paquets AppX, journaux winget et Amcache pour dater les installations.
- Rapports d'erreurs Windows (WER)Fiche Windows Error Reporting : dossiers Report.wer, champs AppPath et SHA-1, événements Application 1000/1001/1002, vidages LocalDumps et rétention.
- Référentiel WMI et SCCM RecentlyUsedAppsFiche référentiel WMI : OBJECTS.DATA, filtres, consommateurs et liaisons d'événements, WMI-Activity 5857–5861, fichiers MOF et CCM_RecentlyUsedApps.
- Serveur et client OpenSSHFiche OpenSSH sous Windows : journal de sshd, sshd_config et clés d'hôte, persistance par authorized_keys, known_hosts, traces du client et tunnels inversés.
- Services WindowsFiche services Windows : valeurs de la clé Services (ImagePath, Start, Type, ServiceDll), événements 7045 et 4697, traces de PsExec et pièges.
- Tâches BITS (base qmgr)Fiche tâches BITS : qmgr0.dat/qmgr1.dat ou qmgr.db (ESE), événements Bits-Client 3, 4, 59, 60, persistance SetNotifyCmdLine et BitsParser.
- Tâches planifiéesFiche tâches planifiées : XML et .job, clés TaskCache, horodatages DynamicInfo, tâches masquées, événements TaskScheduler et 4698.
- Traces de connexions RDPFiche forensique RDP : ID côté cible (4624 type 10, 1149, 21 à 25, 131) et traces côté source (clés Terminal Server Client, Default.rdp, événement 1024).
- Vidages mémoire (MEMORY.DMP, minidumps)Fiche vidages mémoire : emplacements de MEMORY.DMP et des minidumps, types CrashControl, vidages en mode utilisateur, traces de dump LSASS et outils d'analyse.