03 · Journaux d'événements
Analyse forensique des journaux Windows : EVTX et event IDs
Guide pratique des journaux d'événements Windows : format EVTX, canaux clés, event IDs Security et Sysmon, politique d'audit, logs effacés et outils.
Domaine 03
Journaux d'événements
Les journaux d'événements transforment l'activité en horodatages défendables. Ce domaine couvre le format EVTX et sa rétention, les canaux Security, System et opérationnels qui comptent, les angles morts de la politique d'audit, Sysmon et la journalisation PowerShell, et la chasse à grande échelle avec EvtxECmd, Hayabusa et Chainsaw.
Sources clés
- Security.evtx
- Sysmon
- 4624 / 4688
Guides de ce domaine
03 · Journaux d'événements
Forensic Active Directory : logs des contrôleurs de domaine
Enquêter sur les DC : événements Kerberos et NTLM, comptes et groupes, DCSync 4662, modifications d'annuaire, abus de GPO, vol de NTDS.dit, tickets forgés.
Fiches artefacts
Emplacement selon la version de Windows, ce que prouve chaque artefact, ses horodatages et les outils pour l'analyser.
- Journaux d'événements Windows (EVTX)Fiche des journaux d'événements Windows : emplacements EVTX, ID indispensables (connexions, processus, services, effacement), rétention, audit et outils.
- Journaux et historique PowerShellForensique PowerShell : journaux 4103/4104, événements 400/403/800, historique PSReadLine ConsoleHost_history.txt, transcriptions et clés de stratégie.
- Journaux de suivi d'événements (fichiers ETL)Fiche fichiers ETL : ce que sont les traces ETW, les .etl utiles en forensique (traces WDI, Wifi.etl, DiagTrack), collecte, tracerpt et etl-parser.
- Journaux et quarantaine Microsoft DefenderForensique Microsoft Defender : événements 1116/1117/5001/5007, fichiers MPLog, DetectionHistory, quarantaine chiffrée, exclusions et traces de sabotage.
- Journal d'événements SysmonFiche Sysmon : emplacement du journal Operational, ID d'événements clés, corrélation ProcessGuid et hash, config dans le registre, altérations et outils.
- Journaux du pare-feu WindowsFiche pare-feu Windows : format et réglages de pfirewall.log, événements de règles 2004-2006, audit WFP 5156/5157, règles dans le registre et abus de netsh.
- Journaux du serveur web IISFiche journaux IIS : emplacement des logs W3C par site, horodatage UTC, champs par défaut, HTTPERR, applicationHost.config et chasse aux webshells sur Windows.
- NTDS.dit et contrôleurs de domaineFiche NTDS.dit : la base Active Directory, ce qu'elle prouve, les traces de vol sur un DC et les Event IDs Kerberos, NTLM et DCSync utiles à l'enquêteur.