Référentiel Event IDs Windows 3066 - LSASS : module non signé chargé en mode audit (niveau de signature)

Référentiel interactif de 350+ Event IDs Windows : 4624, 4625, 4688, 4698, 7045 et plus pour la forensique.

À propos

Référentiel Event IDs Windows 3066 - LSASS : module non signé chargé en mode audit (niveau de signature)

Référentiel de 358 Event IDs Windows pour la forensique et le threat hunting : journal Security, Sysmon, PowerShell, Defender, AD DS, AD CS, BitLocker… Chaque fiche explique ce que l'événement révèle en investigation, illustre un scénario d'attaque et indique les techniques MITRE ATT&CK associées.

Ce que fait l’outil

358 Event IDs répartis en 23 catégories, Sysmon inclus
Recherche par ID, titre ou mot-clé
Filtres par catégorie et par tactique MITRE ATT&CK
Fiche par événement : journal source, contexte forensique, exemple d'attaque, mapping MITRE
Onglet dédié aux attributs Active Directory

Questions fréquentes

Que signifie l'Event ID 3066 ?

LSASS : module non signé chargé en mode audit (niveau de signature). Un processus, généralement LSASS, a chargé un module qui ne respecte pas le niveau de signature Microsoft requis ; la stratégie en mode audit l'a autorisé.

Dans quel journal trouver l'Event ID 3066 ?

Dans le journal « Microsoft-Windows-CodeIntegrity/Operational », consultable avec l'Observateur d'événements, Get-WinEvent ou votre SIEM.

Pourquoi l'Event ID 3066 compte-t-il en investigation ?

Avant d'activer la protection LSA, chaque 3066 désigne un module qui serait refusé. Un module non signé, situé hors de System32 ou apparu récemment est un candidat sérieux d'injection dans LSASS. En mode appliqué, l'équivalent bloquant est 3033.

À quoi ressemble un cas concret pour l'Event ID 3066 ?

Mode audit : lsass.exe charge C:\ProgramData\ssp.dll, non signé par Microsoft.

À quelles techniques MITRE ATT&CK l'Event ID 3066 est-il lié ?

TA0006, T1003.001, T1547.005.

3066Microsoft-Windows-CodeIntegrity/OperationalAccès aux IdentifiantsLSASS : module non signé chargé en mode audit (niveau de signature)Un processus, généralement LSASS, a chargé un module qui ne respecte pas le niveau de signature Microsoft requis ; la stratégie en mode audit l'a autorisé.

LSASS : module non signé chargé en mode audit (niveau de signature)