Event ID 4663 : tentative d'accès à un objet
L'Event ID 4663 journalise l'accès aux fichiers, dossiers et clés de registre audités par une SACL : qui a touché quoi, avec quel masque. Mise en place.
Notes sur le journal d'événements
Event ID 4672 expliqué : détecter les logons privilégiés sous Windows
4672 se déclenche dès qu'un logon se voit accorder des privilèges sensibles comme SeDebugPrivilege ou SeTcbPrivilege. Lisez-le comme le signal « ce logon est équivalent admin » et le reste de la stratégie d'audit tombe en place.
Event ID 4688 expliqué : audit de création de processus Windows pour le DFIR
4688 est l'enregistrement de création de processus du système de base, à condition que l'audit de la ligne de commande soit activé. Voici ce qu'il contient, en quoi il diffère de Sysmon 1 et les motifs de triage qui gagnent leur place.
Event ID 4720 expliqué : détecter la création de comptes malveillants dans AD
4720 se déclenche chaque fois qu'un compte utilisateur est créé, local ou de domaine. Lisez-le avec 4722, 4724 et 4732 et vous attrapez les comptes de persistance et de mouvement latéral en quelques minutes.
Event ID 4768 expliqué : requêtes TGT Kerberos et AS-REP roasting
4768 est l'enregistrement DC de chaque TGT émis. Lisez-le via le code de résultat et le flag pre-auth et vous repérez l'AS-REP roasting, la brute force et l'abus d'unconstrained delegation.
Event ID 4769 expliqué : tickets de service Kerberos et kerberoasting
4769 est l'enregistrement DC de chaque demande de ticket de service. Lisez-le via le type de chiffrement et vous repérez le kerberoasting. Lisez-le avec 4768 et vous repérez le pass-the-ticket.
Event ID 7036 expliqué : changements d'état de service pour le triage DFIR
7036 se déclenche chaque fois qu'un service démarre ou s'arrête. Associé à 7045, il confirme si la persistance a vraiment tourné. Seul, il révèle l'abus de service, l'évasion de défense et les anomalies de boot.
Comment ouvrir un fichier .evtx (5 méthodes, sans installation requise)
Cinq façons d'ouvrir un fichier .evtx Windows : dans votre navigateur, dans Event Viewer, avec wevtutil, avec EvtxECmd ou avec python-evtx. Choisissez selon l'OS de l'hôte et la friction que vous tolérez.
Qu'est-ce qu'un fichier .evtx ? Le format du journal d'événements Windows expliqué
Un fichier .evtx est un journal d'événements Windows binaire. Où ils résident, ce qu'ils contiennent, en quoi ils diffèrent du .evt, et comment les ouvrir. Sans rien installer.