Les ID d'événements de sécurité Windows qui comptent

Windows journalise des centaines d'ID d'événements. Quelques dizaines répondent à presque toutes les questions d'investigation. Cette référence les recense, avec leur signification, les champs qui comptent et les pièges dans lesquels tombent les analystes. Elle complète le socle stratégie d'audit et Sysmon, qui indique quelles sous-catégories d'audit activer. Ici, l'accent est mis sur la lecture et l'exploitation de ce qu'elles produisent.

Sauf mention contraire, les événements se trouvent dans le journal Security. Les événements propres aux contrôleurs de domaine sont marqués DC.

Types d'ouverture de session

Les événements 4624 (et 4625) portent un Logon Type qui indique comment quelqu'un s'est connecté. Apprenez-les avant tout le reste :

Les ouvertures de session de type 3 par des comptes d'administration sur des postes de travail, de type 10 vers des serveurs depuis des hôtes qui ne sont pas des postes d'administration, et de type 9 n'importe où en dehors des postes d'administration méritent toutes un second regard.

Authentification et sessions

Corrélez 4624 et 4672 par Logon ID : vous voyez ainsi quelles ouvertures de session étaient privilégiées. Un Authentication Package NTLM avec Package Name NTLM V1 ne devrait pas exister dans un réseau moderne. Auditez-le et éliminez-le dans le cadre de votre travail de restriction de NTLM.

Pour le 4625, le Sub Status indique la raison :

De nombreux échecs 0xC0000064 depuis une même source signifient que quelqu'un devine des noms de comptes. De nombreux échecs 0xC000006A sur des comptes différents depuis une même source signifient une pulvérisation de mots de passe (password spraying). Des 0xC000015B répétés pour des comptes d'administration sur des postes de travail sont souvent le signe que vos restrictions de tiering fonctionnent comme prévu.

Contrôleurs de domaine : Kerberos et NTLM

Types de chiffrement dans les 4768/4769 : 0x11 correspond à AES128, 0x12 à AES256, 0x17 à RC4. À mesure que les domaines abandonnent RC4, tout ticket 0x17 restant désigne des comptes ou des services à corriger. Sur Windows Server 2019 et versions ultérieures, et sur Server 2016 depuis la mise à jour cumulative de janvier 2025, les 4768 et 4769 contiennent aussi MSDS-SupportedEncryptionTypes, Available Keys, Advertized Etypes (ce que le client a proposé) et Session Encryption Type. Ces champs montrent si un compte ou un client sait faire de l'AES avant que vous ne désactiviez RC4.

Modifications de l'annuaire et des comptes

Alertez sur les 4728, 4732 et 4756 lorsque le groupe est privilégié : Domain Admins, Enterprise Admins, Administrators, Account Operators, Backup Operators, DnsAdmins, Group Policy Creator Owners et vos propres groupes Tier 0.

Un DCSync apparaît sous forme de 4662 sur un DC dont les propriétés incluent les GUID des droits de réplication 1131f6aa-9c07-11d1-f79f-00c04fc2dcd2 (Get-Changes) et 1131f6ad-9c07-11d1-f79f-00c04fc2dcd2 (Get-Changes-All), demandés par un compte qui n'est pas un contrôleur de domaine.

Exécution et persistance

Le XML de la tâche dans le 4698 contient la commande exécutée par la tâche : lisez-le, ne vous contentez pas de compter les événements. Pour un niveau de détail sur les processus au-delà du 4688, voir déploiement et ajustement de Sysmon.

Altérations et modifications de stratégie

Chacun de ces événements devrait être rare. Les 1102, 104 et 4719 en dehors d'une fenêtre de changement sont à eux seuls des indicateurs forts. Les événements Defender sont traités plus en détail dans durcissement de Microsoft Defender Antivirus.

Accès à distance et PowerShell

RDP laisse des traces à trois endroits (Security 4624 type 10, 1149 et 21). Si l'une manque, vous avez encore les autres. Durcissez le service lui-même avec le guide de durcissement RDP. Pour les schémas de chasse PowerShell, voir détecter le PowerShell malveillant.

Interroger les événements

Get-WinEvent avec une table de hachage de filtre est rapide, car le filtrage a lieu dans le service de journal des événements :

# Échecs d'ouverture de session des dernières 24 heures, groupés par compte, source et raison
Get-WinEvent -FilterHashtable @{ LogName = 'Security'; Id = 4625; StartTime = (Get-Date).AddDays(-1) } |
  ForEach-Object {
    $d = @{}; ([xml]$_.ToXml()).Event.EventData.Data | ForEach-Object { $d[$_.Name] = $_.'#text' }
    [pscustomobject]@{ Account = $d.TargetUserName; Source = $d.IpAddress; SubStatus = $d.SubStatus }
  } | Group-Object Account, Source, SubStatus | Sort-Object Count -Descending | Select-Object -First 20 Count, Name

Pour filtrer sur les champs de données de l'événement, utilisez XPath :

# Ouvertures de session RDP
Get-WinEvent -LogName Security -MaxEvents 50 `
  -FilterXPath "*[System[EventID=4624] and EventData[Data[@Name='LogonType']='10']]"

# Tickets de service RC4 sur un DC
Get-WinEvent -LogName Security -MaxEvents 100 `
  -FilterXPath "*[System[EventID=4769] and EventData[Data[@Name='TicketEncryptionType']='0x17']]"

Les requêtes locales servent à l'investigation et aux tests. Pour la détection, envoyez ces événements vers un stockage central avec Windows Event Forwarding ou un agent.

Ce qui casse

• Des événements manquants signifient généralement que la sous-catégorie est désactivée, que le journal a bouclé ou qu'une SACL manque. auditpol /get /category:* affiche la stratégie effective.
• Le volume : les 4624, 4634, 4688, 4769 et 5140 sont très volumineux sur les serveurs et les DC. Collectez-les, mais alertez sur des agrégats et des anomalies plutôt que sur des événements isolés.
• Des champs mal interprétés : un 4624 sur un serveur reflète le point de vue du serveur ; l'adresse source peut être un NAT, un proxy, ou vide pour les ouvertures de session locales. Le 4740 apparaît sur les contrôleurs de domaine, pas sur le client.
• Les messages localisés : analysez les champs à partir du XML de l'événement, pas du texte du message rendu, qui change selon la langue de l'OS.

Vérifier

Sur une machine de test et un DC de test, générez quelques événements et confirmez qu'ils sont journalisés et transférés : un échec d'ouverture de session avec un mauvais mot de passe (4625, 0xC000006A), un utilisateur de test ajouté à un groupe de test (4732 ou 4728), une tâche planifiée créée avec Register-ScheduledTask (4698) et un service créé avec New-Service (7045, 4697). Supprimez ensuite les objets de test. Si un événement n'apparaît pas, corrigez la stratégie d'audit avant de bâtir des détections dessus. Pour aller plus loin sur la chaîne de journalisation, voir la page thématique audit et journalisation.

Liste de contrôle

• Types d'ouverture de session et codes de sous-statut du 4625 connus de chaque analyste
• Sous-catégories d'audit et SACL en place pour que chaque événement listé puisse réellement se déclencher
• Alertes sur 1102, 104, 4719, 7045/4697, les modifications de groupes privilégiés et Defender 5001/5013
• Surveillance Kerberos sur les DC : tickets RC4, pré-authentification désactivée, pics de 4771
• Détection du DCSync via les GUID de réplication dans les 4662 émis par des comptes qui ne sont pas des DC
• Journal Task Scheduler Operational activé ; journaux RDP collectés
• Requêtes analysant les champs XML des événements, pas les messages rendus
• Événements de test générés et confirmés de bout en bout après chaque modification de stratégie