RDP Event ID 24 : Session déconnectée
- Event ID
- 24
- Journal
- Microsoft-Windows-TerminalServices-LocalSessionManager/Operational
- Fournisseur
- Microsoft-Windows-TerminalServices-LocalSessionManager
- Fichier
- Microsoft-Windows-TerminalServices-LocalSessionManager%4Operational.evtx
- Catégorie
- Accès distant
- Journalisation par défaut
- Activée par défaut
Que signifie l’événement 24
L'événement 24 consigne le détachement d'une session de son client — fenêtre RDP fermée, coupure réseau, ou reprise de la session par un autre client. La session continue de tourner sur le serveur avec ses processus et ses identifiants, et peut donc être reprise (événement 25).
Le champ Address donne le client connecté à ce moment-là. Des séries de couples 24/25 avec des adresses changeantes montrent une session utilisée depuis plusieurs endroits.
Quand il est journalisé
Aucune — le canal LocalSessionManager/Operational est activé par défaut.
Champs clés
| Champ | Ce qu’il indique |
|---|---|
| User | Compte dont la session a été déconnectée. |
| SessionID | Numéro de session. |
| Address | Adresse IP du client qui était connecté, ou LOCAL. |
Sources légitimes courantes
- Utilisateurs fermant la fenêtre RDP au lieu de se déconnecter, portables passant en veille, réseaux instables.
Ce que font les attaquants qui le produit
- Opérateurs laissant une session ouverte pour y revenir plus tard avec un 25.
- Détournement ou prise de contrôle de session — une déconnexion suivie d'une reconnexion de la même session depuis une autre adresse ou par une autre session (voir le 39).
Pistes d’investigation
- Suivez le SessionID jusqu'au 25 ou 23 suivant ; comparez les valeurs d'Address.
- Associez au 4779 Sécurité pour l'identifiant de session, et au 40 pour le code de motif de déconnexion.
Techniques MITRE ATT&CK
| Technique | Tactiques |
|---|---|
| T1021.001 Remote Services: Remote Desktop Protocol | Lateral Movement |
MITRE ATT&CK v19.2. Noms des techniques et tactiques tels que publiés par MITRE (en anglais).
Règles Sigma pour cet événement
Aucune règle SigmaHQ embarquée ne cible spécifiquement cet Event ID. Des règles sur les événements liés peuvent couvrir l’activité.
Exécutez ces règles sur vos journaux
Déposez un fichier .evtx dans la visionneuse : les 2 395 règles SigmaHQ embarquées s’exécutent dans votre navigateur. Rien n’est envoyé.