Référentiel des Event ID Windows 4663 - Accès à un objet (fichier/dossier) - détection ransomware

Référentiel interactif de 358 Event ID Windows : 4624, 4625, 4688, 4698, 7045 et plus pour l'analyse forensique.

Analyse forensique
Références et portails
Gratuit

À propos

Référentiel des Event ID Windows 4663 - Accès à un objet (fichier/dossier) - détection ransomware

Référentiel de 358 Event ID Windows pour l'analyse forensique et la chasse aux menaces (threat hunting) : journal Security, Sysmon, PowerShell, Defender, AD DS, AD CS, BitLocker… Chaque fiche explique ce que l'événement révèle en investigation, illustre un scénario d'attaque et indique les techniques MITRE ATT&CK associées.

Ce que fait l’outil

358 Event ID répartis en 23 catégories, Sysmon inclus
Recherche par ID, titre ou mot-clé
Filtres par catégorie et par tactique MITRE ATT&CK
Fiche par événement : journal source, contexte forensique, exemple d'attaque, mapping MITRE
Onglet dédié aux attributs Active Directory

Questions fréquentes

Que signifie l'Event ID 4663 ?

Accès à un objet (fichier/dossier) - détection ransomware. Une tentative d'accès à un objet (fichier, dossier) a été effectuée.

Dans quel journal trouver l'Event ID 4663 ?

Dans le journal « Security », consultable avec l'Observateur d'événements, Get-WinEvent ou votre SIEM.

Pourquoi l'Event ID 4663 compte-t-il en investigation ?

Très verbeux, mais puissant si activé sur des fichiers/dossiers sensibles (SACL). Une tempête d'événements 4663 avec "WriteData" sur de nombreux fichiers en peu de temps est un signe quasi certain de chiffrement par ransomware. Un accès en lecture (ReadData) à des fichiers sensibles peut indiquer une exfiltration.

À quoi ressemble un cas concret pour l'Event ID 4663 ?

Le processus encrypt.exe génère des milliers d'événements 4663 (WriteData) sur des partages de fichiers en quelques minutes.

À quelles techniques MITRE ATT&CK l'Event ID 4663 est-il lié ?

TA0009, T1005, TA0040, T1486.

4663SecurityObjets, Fichiers & RegistreAccès à un objet (fichier/dossier) - détection ransomwareUne tentative d'accès à un objet (fichier, dossier) a été effectuée.

Accès à un objet (fichier/dossier) - détection ransomware