Type d'ouverture de session (logon type)

Le type d'ouverture de session (logon type) est un champ numérique des ID d'événement Security 4624 (ouverture réussie) et 4625 (échec) qui indique comment la session a été créée. Il est journalisé sur la machine à laquelle on a accédé, ce qui le rend central pour reconstituer un mouvement latéral à partir des journaux d'événements Windows.

Type	Nom	Cause typique
2	Interactive	Connexion au clavier de la console
3	Network	Accès réseau à un partage, un service distant ou WMI
4	Batch	Tâche planifiée exécutée sous un compte utilisateur
5	Service	Service démarré par le Service Control Manager
7	Unlock	Déverrouillage du poste
8	NetworkCleartext	Connexion réseau avec mot de passe transmis non haché
9	NewCredentials	Jeton cloné avec de nouveaux identifiants sortants, par ex. `runas /netonly`
10	RemoteInteractive	Bureau à distance ou Terminal Services
11	CachedInteractive	Connexion avec identifiants de domaine en cache, sans contacter de contrôleur de domaine

Les types 0 (System), 12 et 13 existent aussi mais sont moins fréquents. Lisez le type avec l'adresse réseau source, le nom du poste et le Logon ID : ce dernier relie l'ouverture de session aux processus et à la fermeture de session qui suivent. Les événements de type 10 sont un point de départ vers les artefacts de connexion RDP, tandis que des rafales de connexions de type 3 d'un hôte vers de nombreux autres constituent un schéma classique de mouvement latéral.

Artefacts concernés