Référentiel Event IDs Windows

Référentiel interactif de 400+ Event IDs Windows : 4624, 4625, 4688, 4698, 7045 et plus pour la forensique.

104 résultats

À propos de cet outil

Référentiel interactif et filtrable de plus de 400 Event IDs Windows essentiels pour la forensique numérique et la chasse aux menaces. Identifiez rapidement les événements de sécurité critiques (connexions, élévations de privilèges, modifications GPO) avec les canaux de journaux et les niveaux de criticité associés.

Outils complémentaires

Mémos de Clôture d'Alerte Schéma de Compromission Analyse d'Impact DIC(T)Portails Microsoft Cyber Mind Map

Questions fréquentes

Quels sont les Event IDs les plus importants en forensique ?

Les événements critiques incluent : 4624/4625 (connexion réussie/échouée), 4688 (création de processus), 4698/4702 (tâches planifiées), 4720/4732 (gestion des comptes), 7045 (nouveau service), 4776 (authentification NTLM). L'outil les met en avant avec leur niveau de criticité.

Les logs Windows sont-ils suffisants pour une investigation ?

Les journaux Windows natifs sont un point de départ essentiel, mais une investigation complète nécessite l'activation de l'audit avancé (Advanced Audit Policy). Complétez avec Sysmon, PowerShell logging et les journaux applicatifs pour une visibilité totale sur les activités système.

Comment filtrer les Event IDs par type d'incident ?

Utilisez les filtres par catégorie (Authentification, Réseau, Processus, GPO…) ou par niveau de criticité (Critique, Élevé, Moyen) pour cibler rapidement les événements pertinents à votre scénario d'investigation ou de threat hunting.

Mots-clés

event id windowsevent id 4624event id 4625event id 4688event id 7045windows event logforensique windowssiemthreat huntingjournal d'événements windowsaudit windows

1Microsoft-Windows-Sysmon/OperationalSysmon - Processus & ThreadsSysmon: Création de processusUn nouveau processus a été créé sur le système.

Sysmon: Création de processus

2Microsoft-Windows-Sysmon/OperationalSysmon - Fichier & RegistreSysmon: Modification de la date de création d'un fichierLa date de création d'un fichier a été modifiée.

Sysmon: Modification de la date de création d'un fichier

3Microsoft-Windows-Sysmon/OperationalSysmon - RéseauSysmon: Connexion réseau détectéeUn processus sur la machine a initié une connexion réseau.

Sysmon: Connexion réseau détectée

4Microsoft-Windows-Sysmon/OperationalSysmon - AutreSysmon: État du service Sysmon modifiéLe service Sysmon a été démarré ou arrêté.

Sysmon: État du service Sysmon modifié

5Microsoft-Windows-Sysmon/OperationalSysmon - Processus & ThreadsSysmon: Processus terminéUn processus s'est terminé.

Sysmon: Processus terminé

6Microsoft-Windows-Sysmon/OperationalSysmon - Objets & AccèsSysmon: Driver chargéUn driver a été chargé dans le noyau.

Sysmon: Driver chargé

7Microsoft-Windows-Sysmon/OperationalSysmon - Objets & AccèsSysmon: Image chargée (DLL)Un processus a chargé une DLL en mémoire.

Sysmon: Image chargée (DLL)

8Microsoft-Windows-Sysmon/OperationalSysmon - Processus & ThreadsSysmon: CreateRemoteThread détectéUn processus a créé un thread dans un autre processus.

Sysmon: CreateRemoteThread détecté

9Microsoft-Windows-Sysmon/OperationalSysmon - Objets & AccèsSysmon: Accès brut au disque (RawAccessRead)Un processus a lu directement depuis un disque en contournant le système de fichiers.

Sysmon: Accès brut au disque (RawAccessRead)

10Microsoft-Windows-Sysmon/OperationalSysmon - Objets & AccèsSysmon: Accès à un processus (ProcessAccess)Un processus a tenté d'accéder à la mémoire d'un autre processus.

Sysmon: Accès à un processus (ProcessAccess)

11Microsoft-Windows-Sysmon/OperationalSysmon - Fichier & RegistreSysmon: Fichier crééUn fichier a été créé sur le système.

Sysmon: Fichier créé

12Microsoft-Windows-Sysmon/OperationalSysmon - Fichier & RegistreSysmon: Clé ou valeur de Registre créée/suppriméeUne clé ou une valeur de registre a été créée ou supprimée.

Sysmon: Clé ou valeur de Registre créée/supprimée

13Microsoft-Windows-Sysmon/OperationalSysmon - Fichier & RegistreSysmon: Valeur de Registre modifiéeLa valeur d'une clé de registre a été modifiée.

Sysmon: Valeur de Registre modifiée

14Microsoft-Windows-Sysmon/OperationalSysmon - Fichier & RegistreSysmon: Clé de Registre renomméeUne clé de registre a été renommée.

Sysmon: Clé de Registre renommée

15Microsoft-Windows-Sysmon/OperationalSysmon - Fichier & RegistreSysmon: Flux de données alternatif (ADS) crééUn flux de données alternatif (Alternate Data Stream) a été créé.

Sysmon: Flux de données alternatif (ADS) créé

16Microsoft-Windows-Sysmon/OperationalSysmon - AutreSysmon: Changement de configuration SysmonLa configuration de Sysmon a été modifiée.

Sysmon: Changement de configuration Sysmon

17Microsoft-Windows-Sysmon/OperationalSysmon - Processus & ThreadsSysmon: Pipe crééUn pipe nommé a été créé.

Sysmon: Pipe créé

18Microsoft-Windows-Sysmon/OperationalSysmon - Processus & ThreadsSysmon: Pipe connectéUn client s'est connecté à un pipe nommé.

Sysmon: Pipe connecté

19Microsoft-Windows-Sysmon/OperationalSysmon - AutreSysmon: Filtre WMI Event-Consumer crééUn filtre d'événement WMI a été créé.

Sysmon: Filtre WMI Event-Consumer créé

20Microsoft-Windows-Sysmon/OperationalSysmon - AutreSysmon: WMI Event-Consumer crééUn consommateur d'événement WMI a été créé.

Sysmon: WMI Event-Consumer créé

21Microsoft-Windows-Sysmon/OperationalSysmon - AutreSysmon: Filtre WMI lié à un ConsumerUn filtre d'événement WMI a été lié à un consommateur.

Sysmon: Filtre WMI lié à un Consumer

22Microsoft-Windows-Sysmon/OperationalSysmon - RéseauSysmon: Requête DNSUn processus a effectué une requête DNS.

Sysmon: Requête DNS

23Microsoft-Windows-Sysmon/OperationalSysmon - Fichier & RegistreSysmon: Fichier supprimé (archivé)Un fichier a été supprimé. Sysmon l'archive dans un dossier configurable.

Sysmon: Fichier supprimé (archivé)

24Microsoft-Windows-Sysmon/OperationalSysmon - AutreSysmon: Changements dans le Presse-papiersLe contenu du presse-papiers a été modifié et stocké pour inspection.

Sysmon: Changements dans le Presse-papiers

25Microsoft-Windows-Sysmon/OperationalSysmon - Fichier & RegistreSysmon: Processus qui falsifie sa créationDétecte les attaques de type "Process Herpaderping", où un malware est lancé sur le disque mais apparaît comme un autre processus en mémoire.

Sysmon: Processus qui falsifie sa création

26Microsoft-Windows-Sysmon/OperationalSysmon - Fichier & RegistreSysmon: Fichier suppriméUn fichier a été supprimé du système.

Sysmon: Fichier supprimé

27Microsoft-Windows-Sysmon/OperationalSysmon - Objets & AccèsSysmon: Fichier bloqué par l'exécutableUn fichier exécutable a été bloqué au moment de sa création, en fonction des règles de configuration.

Sysmon: Fichier bloqué par l'exécutable

28Microsoft-Windows-Sysmon/OperationalSysmon - Objets & AccèsSysmon: Fichier bloqué par le hachageUn fichier a été bloqué au moment de son écriture sur le disque car son hash correspondait à une règle.

Sysmon: Fichier bloqué par le hachage

29Microsoft-Windows-Sysmon/OperationalSysmon - Threat IntelSysmon: Fichier exécutable bloqué par le module noyauUn fichier exécutable a été bloqué par Sysmon au moment de sa création.

Sysmon: Fichier exécutable bloqué par le module noyau

200Microsoft-Windows-BitLocker-DrivePreparationTool/OperationalBitLockerClé de récupération BitLocker sauvegardéeLa clé de récupération BitLocker a été sauvegardée sur Active Directory.

Clé de récupération BitLocker sauvegardée

255Microsoft-Windows-Sysmon/OperationalSysmon - AutreSysmon: ErreurUne erreur s'est produite dans Sysmon.

Sysmon: Erreur

800PowerShellCore/OperationalPowerShellÉvénement de pipeline PowerShellSimilaire à 4103, mais pour PowerShell Core (v6+). Journalise le démarrage de l'exécution d'un pipeline.

Événement de pipeline PowerShell

803Microsoft-Windows-BitLocker-API/ManagementBitLockerRécupération de la clé BitLockerLa clé de récupération BitLocker a été consultée.

Récupération de la clé BitLocker

1000ApplicationApplicationErreur d'applicationUne application a crashé (Application Error).

Erreur d'application

1001ApplicationApplicationRapport d'erreurs WindowsInformations sur un crash d'application (Windows Error Reporting).

Rapport d'erreurs Windows

1102SecurityÉvasion de DéfenseEffacement des logs de sécuritéLe journal d'audit de sécurité a été effacé.

Effacement des logs de sécurité

1149Microsoft-Windows-TerminalServices-RemoteConnectionManager/OperationalRéseau & RDPAuthentification RDP réussieUn utilisateur s'est authentifié avec succès sur une session des services Bureau à distance.

Authentification RDP réussie

1644Directory ServiceServices d'Annuaire (AD DS)Recherche LDAPUne recherche LDAP a été effectuée.

Recherche LDAP

2004Microsoft-Windows-Resource-Exhaustion-Detector/OperationalLogs Complémentaires (Système)Épuisement des ressourcesWindows a détecté une consommation excessive de ressources (CPU/mémoire).

Épuisement des ressources

4103Microsoft-Windows-PowerShell/OperationalPowerShellExécution de pipeline de module PowerShellJournalisation des modules PowerShell et de leurs scripts.

Exécution de pipeline de module PowerShell