Référentiel des Event ID Windows 29 - Sysmon: Fichier exécutable bloqué par le module noyau

Référentiel interactif de 358 Event ID Windows : 4624, 4625, 4688, 4698, 7045 et plus pour l'analyse forensique.

Analyse forensique
Références et portails
Gratuit

À propos

Référentiel des Event ID Windows 29 - Sysmon: Fichier exécutable bloqué par le module noyau

Référentiel de 358 Event ID Windows pour l'analyse forensique et la chasse aux menaces (threat hunting) : journal Security, Sysmon, PowerShell, Defender, AD DS, AD CS, BitLocker… Chaque fiche explique ce que l'événement révèle en investigation, illustre un scénario d'attaque et indique les techniques MITRE ATT&CK associées.

Ce que fait l’outil

358 Event ID répartis en 23 catégories, Sysmon inclus
Recherche par ID, titre ou mot-clé
Filtres par catégorie et par tactique MITRE ATT&CK
Fiche par événement : journal source, contexte forensique, exemple d'attaque, mapping MITRE
Onglet dédié aux attributs Active Directory

Questions fréquentes

Que signifie l'Event ID 29 ?

Sysmon: Fichier exécutable bloqué par le module noyau. Un fichier exécutable a été bloqué par Sysmon au moment de sa création.

Dans quel journal trouver l'Event ID 29 ?

Dans le journal « Microsoft-Windows-Sysmon/Operational », consultable avec l'Observateur d'événements, Get-WinEvent ou votre SIEM.

Pourquoi l'Event ID 29 compte-t-il en investigation ?

Cet événement indique qu'une règle de blocage de Sysmon, basée sur le contenu ou les métadonnées, a empêché la création d'un fichier malveillant, offrant une couche de protection proactive.

À quoi ressemble un cas concret pour l'Event ID 29 ?

Un dropper tente de créer un fichier payload.exe, mais Sysmon le bloque car son contenu correspond à une signature de menace connue.

À quelles techniques MITRE ATT&CK l'Event ID 29 est-il lié ?

TA0005.

29Microsoft-Windows-Sysmon/OperationalSysmon - Threat IntelSysmon: Fichier exécutable bloqué par le module noyauUn fichier exécutable a été bloqué par Sysmon au moment de sa création.

Sysmon: Fichier exécutable bloqué par le module noyau