Face à une alerte, la première question est toujours la même : que s’est-il réellement passé sur la machine ? Les journaux Windows y répondent, à condition de savoir quels événements regarder. Cette fiche rassemble ceux que je consulte en premier, classés par usage, avec la technique MITRE ATT&CK associée quand elle est évidente.
Un événement n’existe que s’il est journalisé. Les colonnes « À activer » indiquent la condition à vérifier avant de bâtir une détection dessus.
Authentification et comptes
| ID |
Journal |
Signification |
Intérêt pour le triage |
| 4624 |
Security |
Ouverture de session réussie |
Vérifier le type de session (voir plus bas), la source et le compte |
| 4625 |
Security |
Échec d’ouverture de session |
Rafales d’échecs : force brute ou password spraying (T1110) |
| 4634 / 4647 |
Security |
Fermeture de session |
Durée d’une session suspecte |
| 4648 |
Security |
Ouverture de session avec des identifiants explicites |
Utilisation de runas ou déplacement latéral |
| 4672 |
Security |
Privilèges spéciaux attribués à la session |
Connexion d’un compte administrateur |
| 4720 |
Security |
Compte utilisateur créé |
Création de compte persistant (T1136) |
| 4722 / 4725 |
Security |
Compte activé / désactivé |
Réactivation d’un compte dormant |
| 4724 / 4723 |
Security |
Réinitialisation / changement de mot de passe |
Prise de contrôle d’un compte |
| 4740 |
Security |
Compte verrouillé |
Souvent le premier signe d’un brute force |
| 4728 / 4732 / 4756 |
Security |
Ajout à un groupe de sécurité (global / local / universel) |
Élévation de privilèges, ajout à « Admins du domaine » (T1098) |
Types de session (événement 4624)
| Type |
Nom |
À retenir |
| 2 |
Interactive |
Connexion au clavier |
| 3 |
Network |
Accès à un partage ou une ressource à distance |
| 4 |
Batch |
Tâche planifiée |
| 5 |
Service |
Démarrage d’un service |
| 7 |
Unlock |
Déverrouillage de poste |
| 8 |
NetworkCleartext |
Identifiants transmis en clair, à investiguer |
| 9 |
NewCredentials |
runas /netonly, parfois utilisé en déplacement latéral |
| 10 |
RemoteInteractive |
Bureau à distance (RDP) |
| 11 |
CachedInteractive |
Identifiants en cache, poste hors domaine |
Exécution et processus
| ID |
Journal |
Signification |
À activer |
| 4688 |
Security |
Création de processus |
Audit « Création du processus » et ligne de commande dans les événements |
| 4104 |
PowerShell/Operational |
Contenu des scripts PowerShell exécutés (script block logging) |
Stratégie de groupe « Activer la journalisation des blocs de script » |
| 4103 |
PowerShell/Operational |
Exécution de modules et de commandes |
Journalisation des modules |
| Sysmon 1 |
Sysmon/Operational |
Création de processus, avec hachage et processus parent |
Sysmon installé |
Le couple processus parent / ligne de commande est la donnée la plus rentable du triage : Word qui lance powershell.exe (T1059.001) se voit immédiatement.
Persistance
| ID |
Journal |
Signification |
Technique |
| 4698 |
Security |
Tâche planifiée créée |
T1053.005 |
| 4702 |
Security |
Tâche planifiée modifiée |
T1053.005 |
| 7045 |
System |
Nouveau service installé |
T1543.003 |
| 4697 |
Security |
Service installé sur le système |
T1543.003 |
| Sysmon 12, 13, 14 |
Sysmon/Operational |
Création, modification, renommage de clé de registre |
T1547 (clés « Run », etc.) |
| Sysmon 19, 20, 21 |
Sysmon/Operational |
Abonnements WMI (filtre, consommateur, liaison) |
T1546.003 |
Mouvement latéral et accès aux identifiants
| ID |
Journal |
Signification |
Intérêt |
| 4768 |
Security |
Demande de ticket Kerberos (TGT) |
Source inhabituelle, échecs répétés |
| 4769 |
Security |
Demande de ticket de service Kerberos |
Type de chiffrement RC4 (0x17) sur un compte de service : Kerberoasting (T1558.003) |
| 4771 |
Security |
Échec de pré-authentification Kerberos |
Brute force Kerberos |
| 4776 |
Security |
Validation d’identifiants NTLM |
Authentification NTLM inattendue |
| 5140 / 5145 |
Security |
Accès à un partage réseau |
Partages administratifs C$, ADMIN$ (T1021.002) |
| 4662 |
Security |
Opération sur un objet Active Directory |
Droits de réplication demandés par un compte non contrôleur de domaine : DCSync (T1003.006) |
| Sysmon 10 |
Sysmon/Operational |
Accès à un processus |
Accès à lsass.exe : extraction d’identifiants (T1003.001) |
Pour le DCSync, les droits de réplication se repèrent par les GUID 1131f6aa-9c07-11d1-f79f-00c04fc2dcd2 et 1131f6ad-9c07-11d1-f79f-00c04fc2dcd2 dans l’événement 4662.
Réseau, fichiers et DNS (Sysmon)
| ID |
Signification |
Intérêt |
| 3 |
Connexion réseau |
Processus inattendu qui sort vers Internet |
| 7 |
Chargement d’une bibliothèque |
Chargement latéral de DLL (T1574) |
| 8 |
Création d’un thread distant |
Injection de code (T1055) |
| 11 |
Création d’un fichier |
Dépôt d’une charge dans un dossier temporaire |
| 15 |
Flux de données alternatif |
Fichiers téléchargés (marqueur Mark of the Web) |
| 17 / 18 |
Pipe nommé créé / connecté |
Communication entre processus, outils d’attaque |
| 22 |
Requête DNS |
Domaine consulté, avec le processus demandeur |
| 23 |
Suppression de fichier |
Nettoyage de traces |
| 25 |
Altération de processus |
Techniques d’évasion (T1055) |
Effacement de traces et modification de la configuration
| ID |
Journal |
Signification |
Technique |
| 1102 |
Security |
Le journal Security a été effacé |
T1070.001 |
| 104 |
System |
Un journal a été effacé |
T1070.001 |
| 4719 |
Security |
Stratégie d’audit modifiée |
T1562.002 |
| 4657 |
Security |
Valeur de registre modifiée |
T1112 |
Un effacement de journal est toujours un événement à traiter : il n’a presque aucun usage légitime et signale souvent une intrusion en phase de nettoyage.
Mise en place : par où commencer
- Stratégie d’audit avancée par GPO : ouverture de session, gestion des comptes, création de processus, accès au service d’annuaire.
- Ligne de commande dans le 4688 et journalisation PowerShell (blocs de script).
- Sysmon, avec une configuration de référence comme point de départ : sysmon-config de SwiftOnSecurity ou sysmon-modular d’olafhartong, à adapter ensuite à son environnement.
- Taille des journaux : augmenter la taille maximale du journal Security, sinon l’historique s’écrase en quelques heures sur un contrôleur de domaine.
- Centralisation vers un SIEM : un journal local peut être effacé, pas son exemplaire déjà transmis.
Réflexes de triage
- Partez de l’événement de l’alerte, puis remontez le processus parent et descendez les processus enfants.
- Croisez avec l’authentification : quel compte, depuis quelle machine, à quelle heure ?
- Cherchez la persistance (tâches, services, registre) sur la même machine.
- Vérifiez les connexions réseau et les requêtes DNS du processus suspect.
- Regardez si les journaux ont été effacés autour de l’heure de l’incident.
Pour passer de ces événements à de vraies détections, voir mon article sur l’écriture et le test d’une règle Sigma.