Question 1

Quels sont les Event IDs les plus importants en forensique ?

Accepted Answer

Les événements critiques incluent : 4624/4625 (connexion réussie/échouée), 4688 (création de processus), 4698/4702 (tâches planifiées), 4720/4732 (gestion des comptes), 7045 (nouveau service), 4776 (authentification NTLM). L'outil les met en avant avec leur niveau de criticité.

Question 2

Les logs Windows sont-ils suffisants pour une investigation ?

Accepted Answer

Les journaux Windows natifs sont un point de départ essentiel, mais une investigation complète nécessite l'activation de l'audit avancé (Advanced Audit Policy). Complétez avec Sysmon, PowerShell logging et les journaux applicatifs pour une visibilité totale sur les activités système.

Question 3

Comment filtrer les Event IDs par type d'incident ?

Accepted Answer

Utilisez les filtres par catégorie (Authentification, Réseau, Processus, GPO…) ou par niveau de criticité (Critique, Élevé, Moyen) pour cibler rapidement les événements pertinents à votre scénario d'investigation ou de threat hunting.

Référentiel Event IDs Windows 1123 - Defender : accès contrôlé aux dossiers bloqué

Defender : accès contrôlé aux dossiers bloqué

1123Microsoft-Windows-Windows Defender/OperationalMicrosoft DefenderDefender : accès contrôlé aux dossiers bloquéL'accès contrôlé aux dossiers a bloqué une modification.

Defender : accès contrôlé aux dossiers bloqué