Référentiel Event IDs Windows 2005 - Pare-feu Windows : règle modifiée

Référentiel interactif de 350+ Event IDs Windows : 4624, 4625, 4688, 4698, 7045 et plus pour la forensique.

À propos

Référentiel Event IDs Windows 2005 - Pare-feu Windows : règle modifiée

Référentiel de 358 Event IDs Windows pour la forensique et le threat hunting : journal Security, Sysmon, PowerShell, Defender, AD DS, AD CS, BitLocker… Chaque fiche explique ce que l'événement révèle en investigation, illustre un scénario d'attaque et indique les techniques MITRE ATT&CK associées.

Ce que fait l’outil

358 Event IDs répartis en 23 catégories, Sysmon inclus
Recherche par ID, titre ou mot-clé
Filtres par catégorie et par tactique MITRE ATT&CK
Fiche par événement : journal source, contexte forensique, exemple d'attaque, mapping MITRE
Onglet dédié aux attributs Active Directory

Questions fréquentes

Que signifie l'Event ID 2005 ?

Pare-feu Windows : règle modifiée. Une règle de la liste d'exceptions du Pare-feu Windows a été modifiée.

Dans quel journal trouver l'Event ID 2005 ?

Dans le journal « Microsoft-Windows-Windows Firewall With Advanced Security/Firewall », consultable avec l'Observateur d'événements, Get-WinEvent ou votre SIEM.

Pourquoi l'Event ID 2005 compte-t-il en investigation ?

Un attaquant peut élargir une règle existante (port, programme, étendue, profil) plutôt que d'en créer une nouvelle, ce qui passe plus facilement inaperçu. Sur les versions récentes de Windows 11, des identifiants plus récents peuvent remplacer cet événement : vérifier ceux présents dans le journal.

À quoi ressemble un cas concret pour l'Event ID 2005 ?

La règle Remote Desktop (TCP-In) passe de l'étendue LocalSubnet à Any.

À quelles techniques MITRE ATT&CK l'Event ID 2005 est-il lié ?

TA0005, T1562.004.

2005Microsoft-Windows-Windows Firewall With Advanced Security/FirewallÉvasion de DéfensePare-feu Windows : règle modifiéeUne règle de la liste d'exceptions du Pare-feu Windows a été modifiée.

Pare-feu Windows : règle modifiée