Journaux Windows et Sysmon

Où sont les journaux

• Fichiers .evtx dans C:\Windows\System32\winevt\Logs\.
• Principaux : Security, System, Application, puis Microsoft-Windows-Sysmon/Operational et Microsoft-Windows-PowerShell/Operational.
• Beaucoup d'événements utiles exigent d'activer la politique d'audit correspondante (audit avancé).

Event IDs à connaître

Les identifiants, les types de logon et les événements Sysmon sont rassemblés dans une fiche à réviser avec le mode révision.

Sysmon

Sysmon enrichit énormément la visibilité. Il se configure par un fichier XML ; les configurations publiques de SwiftOnSecurity ou d'Olaf Hartong sont de bons points de départ.

Les événements à retenir (1, 3, 10, 11, 22…) sont dans la fiche Event IDs.

Ce qui doit attirer l'œil

• Rafale de 4625 sur un compte ou depuis une IP : force brute ou pulvérisation de mots de passe.
• Parent inhabituel : winword.exe ou excel.exe qui lance powershell.exe ou cmd.exe.
• PowerShell encodé (-enc), téléchargement depuis Internet, contenu obfusqué en 4104.
• Accès à lsass.exe (Sysmon 10) par un processus qui n'a rien à y faire.
• Nouveau service, nouvelle tâche planifiée ou clé Run : persistance possible.
• Nombreuses demandes 4769 avec chiffrement RC4 : possible attaque visant les comptes de service.
• Événement 1102 : quelqu'un efface ses traces.

Interroger les journaux en PowerShell

# Les 20 derniers échecs de connexion
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625} -MaxEvents 20
# Processus créés dans la dernière heure (Sysmon)
Get-WinEvent -FilterHashtable @{LogName='Microsoft-Windows-Sysmon/Operational'; Id=1; StartTime=(Get-Date).AddHours(-1)}
# Lire un fichier .evtx exporté
Get-WinEvent -Path .\Security.evtx | Where-Object Id -eq 4624