Référentiel Event IDs Windows 4802 - L'économiseur d'écran a été lancé

Référentiel interactif de 350+ Event IDs Windows : 4624, 4625, 4688, 4698, 7045 et plus pour la forensique.

À propos

Référentiel Event IDs Windows 4802 - L'économiseur d'écran a été lancé

Référentiel de 358 Event IDs Windows pour la forensique et le threat hunting : journal Security, Sysmon, PowerShell, Defender, AD DS, AD CS, BitLocker… Chaque fiche explique ce que l'événement révèle en investigation, illustre un scénario d'attaque et indique les techniques MITRE ATT&CK associées.

Ce que fait l’outil

358 Event IDs répartis en 23 catégories, Sysmon inclus
Recherche par ID, titre ou mot-clé
Filtres par catégorie et par tactique MITRE ATT&CK
Fiche par événement : journal source, contexte forensique, exemple d'attaque, mapping MITRE
Onglet dédié aux attributs Active Directory

Questions fréquentes

Que signifie l'Event ID 4802 ?

L'économiseur d'écran a été lancé. L'écran de veille s'est déclenché pour la session de l'utilisateur.

Dans quel journal trouver l'Event ID 4802 ?

Dans le journal « Security », consultable avec l'Observateur d'événements, Get-WinEvent ou votre SIEM.

Pourquoi l'Event ID 4802 compte-t-il en investigation ?

Avec 4803, 4800 et 4801, reconstitue les périodes de présence réelle devant le poste. Une activité pendant l'écran de veille suggère un accès distant ou automatisé plutôt qu'une action de l'utilisateur. Requiert l'audit « Other Logon/Logoff Events ».

À quoi ressemble un cas concret pour l'Event ID 4802 ?

Des commandes PowerShell s'exécutent entre un 4802 à 12:31 et le 4803 de 13:45 : l'utilisateur n'était pas devant son poste.

4802SecurityLogs Complémentaires (Système)L'économiseur d'écran a été lancéL'écran de veille s'est déclenché pour la session de l'utilisateur.

L'économiseur d'écran a été lancé