Logs Windows — Event IDs à connaître

DFIR Incident Response

★★★★★

Event IDs — Authentification

4624  Connexion réussie
      Type 2 = console, Type 3 = réseau (SMB)
      Type 10 = RDP, Type 7 = déverrouillage
4625  Connexion ÉCHOUÉE (> 5/min = brute force ?)
4648  Connexion avec credentials explicites (RunAs)
4768  Kerberos TGT demandé
4769  Kerberos Service Ticket (beaucoup = Kerberoasting ?)

Event IDs — Gestion des comptes

4720  Nouveau compte créé
4728  Membre AJOUTÉ au groupe global (Domain Admins !)
4732  Membre ajouté au groupe local

Event IDs — Processus et persistance

4688  Nouveau processus créé (avec ligne de commande)
      -> chercher : cmd.exe, powershell.exe, wscript.exe
4104  Script block PowerShell exécuté
4698  Tâche planifiée créée (persistance classique)
7045  Nouveau service installé

Outils d'analyse

chainsaw hunt evtx/ -s sigma_rules/ --mapping mappings.yml
hayabusa csv-timeline -d evtx/ -o timeline.csv

# Historique PS
$env:APPDATA\Microsoft\Windows\PowerShell\PSReadLine\ConsoleHost_history.txt

← Retour à la Knowledge Map