Référentiel Event IDs Windows 4820 - TGT Kerberos refusé : restrictions de contrôle d'accès

Référentiel interactif de 350+ Event IDs Windows : 4624, 4625, 4688, 4698, 7045 et plus pour la forensique.

À propos

Référentiel Event IDs Windows 4820 - TGT Kerberos refusé : restrictions de contrôle d'accès

Référentiel de 358 Event IDs Windows pour la forensique et le threat hunting : journal Security, Sysmon, PowerShell, Defender, AD DS, AD CS, BitLocker… Chaque fiche explique ce que l'événement révèle en investigation, illustre un scénario d'attaque et indique les techniques MITRE ATT&CK associées.

Ce que fait l’outil

358 Event IDs répartis en 23 catégories, Sysmon inclus
Recherche par ID, titre ou mot-clé
Filtres par catégorie et par tactique MITRE ATT&CK
Fiche par événement : journal source, contexte forensique, exemple d'attaque, mapping MITRE
Onglet dédié aux attributs Active Directory

Questions fréquentes

Que signifie l'Event ID 4820 ?

TGT Kerberos refusé : restrictions de contrôle d'accès. Un ticket TGT a été refusé car l'appareil ne respecte pas les restrictions de contrôle d'accès (stratégies d'authentification, silos).

Dans quel journal trouver l'Event ID 4820 ?

Dans le journal « Security », consultable avec l'Observateur d'événements, Get-WinEvent ou votre SIEM.

Pourquoi l'Event ID 4820 compte-t-il en investigation ?

Un compte protégé par une stratégie d'authentification (silo de comptes à privilèges, modèle en tiers) a tenté de s'authentifier depuis un poste non autorisé. Signal fort d'utilisation d'identifiants d'administration volés en dehors des postes d'administration dédiés.

À quoi ressemble un cas concret pour l'Event ID 4820 ?

adm-tier0 tente d'obtenir un TGT depuis PC-COMPTA-12, hors du silo autorisé.

À quelles techniques MITRE ATT&CK l'Event ID 4820 est-il lié ?

TA0006, T1078.002.

4820SecurityAuthentification & ComptesTGT Kerberos refusé : restrictions de contrôle d'accèsUn ticket TGT a été refusé car l'appareil ne respecte pas les restrictions de contrôle d'accès (stratégies d'authentification, silos).

TGT Kerberos refusé : restrictions de contrôle d'accès