Référentiel Event IDs Windows 39 - RDP : session déconnectée par une autre session

Référentiel interactif de 350+ Event IDs Windows : 4624, 4625, 4688, 4698, 7045 et plus pour la forensique.

À propos

Référentiel Event IDs Windows 39 - RDP : session déconnectée par une autre session

Référentiel de 358 Event IDs Windows pour la forensique et le threat hunting : journal Security, Sysmon, PowerShell, Defender, AD DS, AD CS, BitLocker… Chaque fiche explique ce que l'événement révèle en investigation, illustre un scénario d'attaque et indique les techniques MITRE ATT&CK associées.

Ce que fait l’outil

358 Event IDs répartis en 23 catégories, Sysmon inclus
Recherche par ID, titre ou mot-clé
Filtres par catégorie et par tactique MITRE ATT&CK
Fiche par événement : journal source, contexte forensique, exemple d'attaque, mapping MITRE
Onglet dédié aux attributs Active Directory

Questions fréquentes

Que signifie l'Event ID 39 ?

RDP : session déconnectée par une autre session. Une session de Bureau à distance a été déconnectée par une autre session.

Dans quel journal trouver l'Event ID 39 ?

Dans le journal « Microsoft-Windows-TerminalServices-LocalSessionManager/Operational », consultable avec l'Observateur d'événements, Get-WinEvent ou votre SIEM.

Pourquoi l'Event ID 39 compte-t-il en investigation ?

Survient quand un utilisateur reprend sa session depuis un autre poste, mais aussi lors d'un détournement de session RDP (tscon exécuté en SYSTEM pour s'approprier la session d'un autre utilisateur sans son mot de passe). Une déconnexion provoquée par la session d'un autre compte est très suspecte.

À quoi ressemble un cas concret pour l'Event ID 39 ?

Session 3 has been disconnected by session 5, la session 5 appartenant à un compte différent.

À quelles techniques MITRE ATT&CK l'Event ID 39 est-il lié ?

TA0008, T1563.002.

39Microsoft-Windows-TerminalServices-LocalSessionManager/OperationalRéseau & RDPRDP : session déconnectée par une autre sessionUne session de Bureau à distance a été déconnectée par une autre session.

RDP : session déconnectée par une autre session