Fiche mémo
Event IDs Windows
Les identifiants d'événements qui reviennent dans toutes les investigations. Pour savoir comment les exploiter, voir la méthodologie Journaux Windows et Sysmon.
CJCADéfense
Journal Security
| ID | Signification |
|---|---|
| 4624 | Ouverture de session réussie |
| 4625 | Échec d'ouverture de session |
| 4634 / 4647 | Fermeture de session |
| 4648 | Ouverture de session avec identifiants explicites |
| 4672 | Privilèges spéciaux attribués à la session (compte administrateur) |
| 4688 | Création de processus |
| 4697 | Installation d'un service |
| 4698 | Création d'une tâche planifiée |
| 4720 | Compte utilisateur créé |
| 4726 | Compte utilisateur supprimé |
| 4728 | Membre ajouté à un groupe global |
| 4732 | Membre ajouté à un groupe local |
| 4756 | Membre ajouté à un groupe universel |
| 4740 | Compte verrouillé |
| 4768 | Demande de TGT Kerberos |
| 4769 | Demande de ticket de service Kerberos |
| 4776 | Validation d'identifiants NTLM |
| 1102 | Journal d'audit effacé |
Autres journaux
| ID | Journal | Signification |
|---|---|---|
| 7045 | System | Nouveau service installé |
| 4103 | PowerShell/Operational | Module Logging : appels de commandes |
| 4104 | PowerShell/Operational | Script Block Logging : contenu des scripts |
Types de logon (4624 / 4625)
| Type | Signification |
|---|---|
| 2 | Interactif (clavier, console) |
| 3 | Réseau (partage SMB, par exemple) |
| 4 | Batch (tâche planifiée) |
| 5 | Service |
| 7 | Déverrouillage de session |
| 8 | NetworkCleartext (mot de passe transmis en clair) |
| 9 | NewCredentials (runas /netonly) |
| 10 | RemoteInteractive (RDP) |
| 11 | CachedInteractive (identifiants en cache, hors réseau) |
Sysmon
| ID | Événement |
|---|---|
| 1 | Création de processus (hash, parent, ligne de commande) |
| 3 | Connexion réseau |
| 5 | Fin de processus |
| 7 | Chargement d'une image (DLL) |
| 8 | CreateRemoteThread |
| 10 | Accès à un processus (ex. lsass.exe) |
| 11 | Création de fichier |
| 12 / 13 / 14 | Registre : création ou suppression / valeur modifiée / renommage |
| 15 | Flux de données alternatif (ADS) créé |
| 22 | Requête DNS |