Interactive reference of 400+ Windows Event IDs: 4624, 4625, 4688, 4698, 7045 and more for forensics.
Un nouveau processus a été créé sur le système.
La date de création d'un fichier a été modifiée.
Un processus sur la machine a initié une connexion réseau.
Le service Sysmon a été démarré ou arrêté.
Un processus s'est terminé.
Un driver a été chargé dans le noyau.
Un processus a chargé une DLL en mémoire.
Un processus a créé un thread dans un autre processus.
Un processus a lu directement depuis un disque en contournant le système de fichiers.
Un processus a tenté d'accéder à la mémoire d'un autre processus.
Un fichier a été créé sur le système.
Une clé ou une valeur de registre a été créée ou supprimée.
La valeur d'une clé de registre a été modifiée.
Une clé de registre a été renommée.
Un flux de données alternatif (Alternate Data Stream) a été créé.
La configuration de Sysmon a été modifiée.
Un pipe nommé a été créé.
Un client s'est connecté à un pipe nommé.
Un filtre d'événement WMI a été créé.
Un consommateur d'événement WMI a été créé.
Un filtre d'événement WMI a été lié à un consommateur.
Un processus a effectué une requête DNS.
Un fichier a été supprimé. Sysmon l'archive dans un dossier configurable.
Le contenu du presse-papiers a été modifié et stocké pour inspection.
Détecte les attaques de type "Process Herpaderping", où un malware est lancé sur le disque mais apparaît comme un autre processus en mémoire.
Un fichier a été supprimé du système.
Un fichier exécutable a été bloqué au moment de sa création, en fonction des règles de configuration.
Un fichier a été bloqué au moment de son écriture sur le disque car son hash correspondait à une règle.
Un fichier exécutable a été bloqué par Sysmon au moment de sa création.
La clé de récupération BitLocker a été sauvegardée sur Active Directory.
Une erreur s'est produite dans Sysmon.
Similaire à 4103, mais pour PowerShell Core (v6+). Journalise le démarrage de l'exécution d'un pipeline.
La clé de récupération BitLocker a été consultée.
Une application a crashé (Application Error).
Informations sur un crash d'application (Windows Error Reporting).
Le journal d'audit de sécurité a été effacé.
Un utilisateur s'est authentifié avec succès sur une session des services Bureau à distance.
Une recherche LDAP a été effectuée.
Windows a détecté une consommation excessive de ressources (CPU/mémoire).
Journalisation des modules PowerShell et de leurs scripts.
Journalise le contenu complet des blocs de scripts PowerShell exécutés.
Un compte s'est connecté avec succès à un ordinateur.
Une tentative de connexion a échoué.
Un compte s'est déconnecté.
Un utilisateur a initié une déconnexion.
Un processus a tenté de se connecter en utilisant des identifiants spécifiques (ex: "runas").
Un ticket Kerberos rejoué a été détecté.
Un handle vers un objet (fichier, registre) a été demandé.
Une clé de registre a été modifiée.
Le handle vers un objet a été fermé.
Un objet (fichier, etc.) a été supprimé.
Un handle a été demandé pour un objet (fichier, clé de registre).
Une opération a été effectuée sur un objet (ex: modification des permissions).
Une tentative d'accès à un objet (fichier, dossier) a été effectuée.
Accès en écriture à un grand nombre de fichiers en peu de temps.
Les permissions pour un objet (fichier, clé de registre) ont été modifiées.
Des privilèges spéciaux ont été assignés à une nouvelle session de connexion.
Un service a fait appel à des privilèges sensibles.
Un nouveau processus a été créé.
Une tentative a été faite pour dupliquer un handle vers un objet.
Un service a été installé sur le système.
Une tâche planifiée a été créée.
Une tâche planifiée a été supprimée.
Une tâche planifiée a été modifiée.
Un droit utilisateur a été assigné à un compte ou un groupe.
Un droit utilisateur a été supprimé d'un compte ou d'un groupe.
La stratégie d'audit du système a été modifiée.
Un compte utilisateur a été créé.
Un compte utilisateur a été activé.
Un utilisateur a tenté de changer son propre mot de passe.
Une tentative de réinitialisation du mot de passe d'un compte a été effectuée par un administrateur.
Un membre a été ajouté à un groupe de sécurité (Active Directory).
Un membre a été ajouté à un groupe de sécurité local à la machine.
Une modification a été apportée à un compte utilisateur.
La politique de droits utilisateur a été modifiée.
Un compte utilisateur a été verrouillé.
Un membre a été ajouté à un groupe de sécurité universel (Active Directory).
Un ticket d'authentification Kerberos (AS-REQ) a été demandé.
Un ticket de service Kerberos (TGS-REQ) a été demandé.
La pré-authentification Kerberos a échoué.
Le contrôleur de domaine a tenté de valider les informations d'identification pour un compte.
Une session a été reconnectée à une station Windows.
Une session a été déconnectée d'une station Windows.
Un utilisateur a tenté d'énumérer les membres d'un groupe local.
Un utilisateur a tenté d'énumérer les membres d'un groupe de sécurité Active Directory.
La station de travail a été verrouillée par un utilisateur.
La station de travail a été déverrouillée par un utilisateur.
Le paramètre d'audit "Audit: Force audit policy subcategory settings" a été modifié, impactant l'héritage des GPO d'audit.
Les paramètres d'audit (SACL) d'un objet ont été modifiés.
Le pare-feu Windows a empêché une application d'accepter des connexions entrantes.
Un paquet réseau a été bloqué par le pare-feu.
Un objet dans Active Directory a été modifié.
Un objet a été créé dans Active Directory.
Un objet sur un partage réseau a été accédé.
Un objet a été supprimé d'Active Directory.
Un objet sur un partage réseau a été vérifié pour l'accès, avec le résultat de la vérification.
La plateforme de filtrage Windows a autorisé une connexion réseau.
Un processus a été autorisé à écouter sur un port spécifique.
Le service de journalisation des événements a démarré.
Le service de journalisation des événements s'est arrêté.
Un service est entré dans l'état Démarré ou Arrêté.
Le type de démarrage d'un service a été changé (ex: de Manuel à Automatique).
Un nouveau service a été installé sur le système.
ForenShield - plateforme cybersécurité et OSINT
ForenShield propose des outils OSINT gratuits, un logiciel d'investigation Windows, des formations cybersécurité certifiantes et une plateforme de recrutement cyber.
Notre écosystème s'adresse aux analystes, SOC, CERT et experts forensic en fournissant des ressources pour l'investigation numérique, la sécurité opérationnelle et l'analyse forensique.
