Question 1

Quels sont les Event IDs les plus importants en forensique ?

Accepted Answer

Les événements critiques incluent : 4624/4625 (connexion réussie/échouée), 4688 (création de processus), 4698/4702 (tâches planifiées), 4720/4732 (gestion des comptes), 7045 (nouveau service), 4776 (authentification NTLM). L'outil les met en avant avec leur niveau de criticité.

Question 2

Les logs Windows sont-ils suffisants pour une investigation ?

Accepted Answer

Les journaux Windows natifs sont un point de départ essentiel, mais une investigation complète nécessite l'activation de l'audit avancé (Advanced Audit Policy). Complétez avec Sysmon, PowerShell logging et les journaux applicatifs pour une visibilité totale sur les activités système.

Question 3

Comment filtrer les Event IDs par type d'incident ?

Accepted Answer

Utilisez les filtres par catégorie (Authentification, Réseau, Processus, GPO…) ou par niveau de criticité (Critique, Élevé, Moyen) pour cibler rapidement les événements pertinents à votre scénario d'investigation ou de threat hunting.

Référentiel Event IDs Windows 4777 - Le contrôleur de domaine n'a pas pu valider les identifiants

Le contrôleur de domaine n'a pas pu valider les identifiants

4777SecurityAuthentification & ComptesLe contrôleur de domaine n'a pas pu valider les identifiantsLe DC n'a pas pu valider les identifiants d'un compte.

Le contrôleur de domaine n'a pas pu valider les identifiants