Question 1

Quels sont les Event IDs les plus importants en forensique ?

Accepted Answer

Les événements critiques incluent : 4624/4625 (connexion réussie/échouée), 4688 (création de processus), 4698/4702 (tâches planifiées), 4720/4732 (gestion des comptes), 7045 (nouveau service), 4776 (authentification NTLM). L'outil les met en avant avec leur niveau de criticité.

Question 2

Les logs Windows sont-ils suffisants pour une investigation ?

Accepted Answer

Les journaux Windows natifs sont un point de départ essentiel, mais une investigation complète nécessite l'activation de l'audit avancé (Advanced Audit Policy). Complétez avec Sysmon, PowerShell logging et les journaux applicatifs pour une visibilité totale sur les activités système.

Question 3

Comment filtrer les Event IDs par type d'incident ?

Accepted Answer

Utilisez les filtres par catégorie (Authentification, Réseau, Processus, GPO…) ou par niveau de criticité (Critique, Élevé, Moyen) pour cibler rapidement les événements pertinents à votre scénario d'investigation ou de threat hunting.

Référentiel Event IDs Windows 1122 - Defender ASR : règle ASR en mode audit

Defender ASR : règle ASR en mode audit

1122Microsoft-Windows-Windows Defender/OperationalMicrosoft DefenderDefender ASR : règle ASR en mode auditUne règle ASR en mode audit aurait bloqué une action.

Defender ASR : règle ASR en mode audit