Glossaire
Identifiant de sécurité (SID)
La valeur unique qui identifie utilisateurs, groupes et ordinateurs sous Windows, comme S-1-5-21-…-1001, présente dans le Registre et les journaux.
Un identifiant de sécurité (Security Identifier, SID) est la valeur utilisée en interne par Windows pour identifier un principal de sécurité : utilisateur, groupe, ordinateur ou service. Un nom de compte peut changer, pas le SID, et un SID n'est jamais réattribué à un autre compte. C'est donc la clé fiable pour attribuer une activité.
Sous forme de chaîne, un SID s'écrit S-R-X-Y1-Y2-…-Yn : S, la révision (toujours 1), l'autorité émettrice (5 pour NT Authority) et une série de sous-autorités. Pour les comptes locaux et de domaine, les sous-autorités intermédiaires forment l'identifiant de la machine ou du domaine (21-xxxxxxxxxx-yyyyyyyyyy-zzzzzzzzzz), et la dernière valeur est l'identifiant relatif (RID) :
- 500 : le compte Administrateur intégré ;
- 501 : le compte Invité ;
- 1000 et au-delà : les comptes créés par des personnes ou des outils sur un poste autonome.
Les SID bien connus sont identiques sur tous les systèmes, par exemple S-1-5-18 (LocalSystem), S-1-5-19 (LocalService), S-1-5-20 (NetworkService) et S-1-5-32-544 (le groupe Administrateurs intégré).
Les SID apparaissent tout au long d'une enquête. La clé ProfileList de la ruche SOFTWARE associe chaque SID à un chemin de profil, NTUSER.DAT est chargé sous HKEY_USERS\<SID>, les dossiers de la Corbeille portent le nom du SID et les journaux d'événements consignent le SID du compte à l'origine de l'action. La base des comptes locaux est traitée dans SAM et comptes utilisateurs. Un nouveau compte au RID inattendu, ou l'usage interactif du compte de RID 500, mérite souvent un examen attentif.
Artefacts concernés
- Artefacts de stratégie de groupeFiche stratégie de groupe : SYSVOL, Registry.pol, mots de passe GPP, historique côté client et journaux, et comment les attaquants détournent les GPO.
- BAM / DAM (Background Activity Moderator)Fiche BAM et DAM : clés de la ruche SYSTEM selon la version de Windows 10, SID par utilisateur, dernière exécution en FILETIME, rétention de sept jours.
- CorbeilleFiche Corbeille : fichiers $I et $R de $Recycle.Bin, $I version 1 et 2, INFO2 sous XP, date de suppression, chemin d'origine, vidage et Maj+Suppr.
- Descripteurs de sécurité $Secure:$SDSFiche $Secure:$SDS : magasin NTFS des descripteurs de sécurité, index $SDH et $SII, Security ID du $SI, SID propriétaire, ACL, collecte et MFTECmd.
- DPAPI et Gestionnaire d'identifiantsFiche DPAPI et Gestionnaire d'identifiants : clés maîtresses, coffre Windows, secrets stockés, prérequis de déchiffrement hors ligne et traces de vol.
- NTDS.dit et contrôleurs de domaineFiche NTDS.dit : la base Active Directory, ce qu'elle prouve, les traces de vol sur un DC et les Event IDs Kerberos, NTLM et DCSync utiles à l'enquêteur.
- Programmes installés (clés Uninstall, MSI, AppX)Fiche programmes installés : clés Uninstall, événements MSI 1033/11707, MSI en cache, paquets AppX, journaux winget et Amcache pour dater les installations.
- Ruche SAM et comptes utilisateursFiche ruche SAM : comptes locaux, RID, dernière connexion et changement de mot de passe, compteurs, groupes, ProfileList et ID d'événements liés aux comptes.
- SRUM (System Resource Usage Monitor)Fiche SRUM : tables et GUID de SRUDB.dat, octets réseau et temps CPU par application, enregistrements horaires UTC, rétention de 30 à 60 jours, réparation ESE.