Référentiel Event IDs Windows 261 - RDP : connexion reçue par l'écouteur

Référentiel interactif de 350+ Event IDs Windows : 4624, 4625, 4688, 4698, 7045 et plus pour la forensique.

À propos

Référentiel Event IDs Windows 261 - RDP : connexion reçue par l'écouteur

Référentiel de 358 Event IDs Windows pour la forensique et le threat hunting : journal Security, Sysmon, PowerShell, Defender, AD DS, AD CS, BitLocker… Chaque fiche explique ce que l'événement révèle en investigation, illustre un scénario d'attaque et indique les techniques MITRE ATT&CK associées.

Ce que fait l’outil

358 Event IDs répartis en 23 catégories, Sysmon inclus
Recherche par ID, titre ou mot-clé
Filtres par catégorie et par tactique MITRE ATT&CK
Fiche par événement : journal source, contexte forensique, exemple d'attaque, mapping MITRE
Onglet dédié aux attributs Active Directory

Questions fréquentes

Que signifie l'Event ID 261 ?

RDP : connexion reçue par l'écouteur. L'écouteur RDP-Tcp a reçu une connexion entrante.

Dans quel journal trouver l'Event ID 261 ?

Dans le journal « Microsoft-Windows-TerminalServices-RemoteConnectionManager/Operational », consultable avec l'Observateur d'événements, Get-WinEvent ou votre SIEM.

Pourquoi l'Event ID 261 compte-t-il en investigation ?

Apparaît dès l'arrivée d'une connexion sur le service Bureau à distance, avant toute authentification. Utile pour dater des tentatives RDP, y compris échouées, quand 1149 et 4624 sont absents. L'événement ne contient pas l'adresse source : la corréler avec 4625 et les journaux du pare-feu.

À quoi ressemble un cas concret pour l'Event ID 261 ?

Des centaines de 261 par heure sur un serveur exposé à Internet : balayage ou force brute RDP.

À quelles techniques MITRE ATT&CK l'Event ID 261 est-il lié ?

TA0008, T1021.001.

261Microsoft-Windows-TerminalServices-RemoteConnectionManager/OperationalRéseau & RDPRDP : connexion reçue par l'écouteurL'écouteur RDP-Tcp a reçu une connexion entrante.

RDP : connexion reçue par l'écouteur