Glossaire
Transfert d'événements Windows (WEF)
Fonctionnalité intégrée à Windows qui envoie des entrées choisies des journaux d'événements de nombreux ordinateurs vers un collecteur central via WinRM, sans agent.
Windows Event Forwarding (WEF) utilise le protocole WS-Management (WinRM) pour envoyer les événements des ordinateurs sources vers un ou plusieurs serveurs Windows Event Collector. Les administrateurs créent sur le collecteur des abonnements qui définissent, par des requêtes XPath, les événements à collecter. Dans le mode courant initié par la source, un paramètre de stratégie de groupe indique aux clients le collecteur ; ils récupèrent l'abonnement et envoient les événements correspondants dans le journal Événements transférés, avec une authentification Kerberos dans un domaine. Aucun logiciel supplémentaire n'est requis sur les postes, et les abonnements peuvent être filtrés finement pour garder un volume maîtrisable.
Les journaux qui restent sur l'hôte sont perdus lorsqu'un attaquant les efface ou que le disque est chiffré, et ils ne peuvent pas être corrélés entre machines. WEF offre un moyen gratuit et évolutif de centraliser les événements de sécurité ainsi que les journaux PowerShell et Sysmon, alimentant souvent un SIEM depuis le collecteur. Dimensionnez les collecteurs selon le volume d'événements, concentrez les abonnements sur les ID d'événement à forte valeur et surveillez les sources qui cessent de remonter des données, car ce silence peut signaler un problème ou une falsification.
Voir Windows Event Forwarding à grande échelle et Audit Windows et Sysmon : un socle de journalisation.