Référentiel Event IDs Windows 3065 - LSASS : module non conforme chargé en mode audit (sections partagées)

Référentiel interactif de 350+ Event IDs Windows : 4624, 4625, 4688, 4698, 7045 et plus pour la forensique.

À propos

Référentiel Event IDs Windows 3065 - LSASS : module non conforme chargé en mode audit (sections partagées)

Référentiel de 358 Event IDs Windows pour la forensique et le threat hunting : journal Security, Sysmon, PowerShell, Defender, AD DS, AD CS, BitLocker… Chaque fiche explique ce que l'événement révèle en investigation, illustre un scénario d'attaque et indique les techniques MITRE ATT&CK associées.

Ce que fait l’outil

358 Event IDs répartis en 23 catégories, Sysmon inclus
Recherche par ID, titre ou mot-clé
Filtres par catégorie et par tactique MITRE ATT&CK
Fiche par événement : journal source, contexte forensique, exemple d'attaque, mapping MITRE
Onglet dédié aux attributs Active Directory

Questions fréquentes

Que signifie l'Event ID 3065 ?

LSASS : module non conforme chargé en mode audit (sections partagées). Un processus, généralement LSASS, a chargé un module qui ne respecte pas les exigences de sécurité des sections partagées ; la stratégie en mode audit l'a autorisé.

Dans quel journal trouver l'Event ID 3065 ?

Dans le journal « Microsoft-Windows-CodeIntegrity/Operational », consultable avec l'Observateur d'événements, Get-WinEvent ou votre SIEM.

Pourquoi l'Event ID 3065 compte-t-il en investigation ?

Événement du mode audit de la protection LSA (RunAsPPL). Signale un plug-in, un fournisseur de sécurité (SSP) ou un pilote qui serait bloqué une fois la protection appliquée : logiciel légitime à mettre à jour, ou DLL injectée dans LSASS pour voler des identifiants. En mode appliqué, l'équivalent bloquant est 3063.

À quoi ressemble un cas concret pour l'Event ID 3065 ?

Mode audit : lsass.exe a chargé C:\Windows\System32\mimilib.dll (SSP malveillant).

À quelles techniques MITRE ATT&CK l'Event ID 3065 est-il lié ?

TA0006, T1003.001, T1547.005.