RDP Event ID 25 : Session reconnectée
- Event ID
- 25
- Journal
- Microsoft-Windows-TerminalServices-LocalSessionManager/Operational
- Fournisseur
- Microsoft-Windows-TerminalServices-LocalSessionManager
- Fichier
- Microsoft-Windows-TerminalServices-LocalSessionManager%4Operational.evtx
- Catégorie
- Accès distant
- Journalisation par défaut
- Activée par défaut
Que signifie l’événement 25
L'événement 25 consigne le rattachement d'un client à une session qui avait été déconnectée (24). Aucune nouvelle session n'est créée, donc aucun événement 21 — cet événement et le 4778 Sécurité sont les traces de la reconnexion.
Son champ Address est l'IP du client qui s'est reconnecté, qui peut différer de celle de l'ouverture de session d'origine. Le 25 est donc indispensable pour suivre les accès RDP : un attaquant qui se reconnecte à la session déconnectée d'un administrateur ne produit jamais de nouveau 21.
Quand il est journalisé
Aucune — le canal LocalSessionManager/Operational est activé par défaut.
Champs clés
| Champ | Ce qu’il indique |
|---|---|
| User | Compte propriétaire de la session. |
| SessionID | Numéro de la session reprise. |
| Address | Adresse IP du client qui se reconnecte, ou LOCAL. |
Sources légitimes courantes
- Utilisateurs reprenant leur session RDP après une déconnexion ou depuis un autre appareil.
Ce que font les attaquants qui le produit
- Reconnexion à une session privilégiée déconnectée avec les mêmes identifiants depuis un autre hôte.
- Prise de contrôle de session RDP, où une session est rattachée à un autre client.
Pistes d’investigation
- Comparez Address à celle du 21 d'origine pour le même SessionID.
- Associez au 1149 qui précède (la nouvelle connexion) et au 4778 / 4624 Sécurité de LogonType 7 ou 10.
Techniques MITRE ATT&CK
MITRE ATT&CK v19.2. Noms des techniques et tactiques tels que publiés par MITRE (en anglais).
Règles Sigma pour cet événement
Aucune règle SigmaHQ embarquée ne cible spécifiquement cet Event ID. Des règles sur les événements liés peuvent couvrir l’activité.
Exécutez ces règles sur vos journaux
Déposez un fichier .evtx dans la visionneuse : les 2 395 règles SigmaHQ embarquées s’exécutent dans votre navigateur. Rien n’est envoyé.