Référentiel Event IDs Windows 4826 - Chargement des données de configuration de démarrage (BCD)

Référentiel interactif de 350+ Event IDs Windows : 4624, 4625, 4688, 4698, 7045 et plus pour la forensique.

À propos

Référentiel Event IDs Windows 4826 - Chargement des données de configuration de démarrage (BCD)

Référentiel de 358 Event IDs Windows pour la forensique et le threat hunting : journal Security, Sysmon, PowerShell, Defender, AD DS, AD CS, BitLocker… Chaque fiche explique ce que l'événement révèle en investigation, illustre un scénario d'attaque et indique les techniques MITRE ATT&CK associées.

Ce que fait l’outil

358 Event IDs répartis en 23 catégories, Sysmon inclus
Recherche par ID, titre ou mot-clé
Filtres par catégorie et par tactique MITRE ATT&CK
Fiche par événement : journal source, contexte forensique, exemple d'attaque, mapping MITRE
Onglet dédié aux attributs Active Directory

Questions fréquentes

Que signifie l'Event ID 4826 ?

Chargement des données de configuration de démarrage (BCD). Les paramètres de la Boot Configuration Data ont été chargés au démarrage (débogage, signature des pilotes, contrôles d'intégrité…).

Dans quel journal trouver l'Event ID 4826 ?

Dans le journal « Security », consultable avec l'Observateur d'événements, Get-WinEvent ou votre SIEM.

Pourquoi l'Event ID 4826 compte-t-il en investigation ?

Révèle les réglages de démarrage effectifs. Les bootkits et certains outils d'attaque abaissent les protections (bcdedit /set testsigning on, nointegritychecks) pour charger des pilotes non signés : comparer avec la configuration d'un poste sain.

À quoi ressemble un cas concret pour l'Event ID 4826 ?

Après redémarrage, 4826 indique Kernel Debugging: Yes et Disable Integrity Checks: Yes sur un serveur de production.

À quelles techniques MITRE ATT&CK l'Event ID 4826 est-il lié ?

TA0005, T1553.006.

4826SecurityÉvasion de DéfenseChargement des données de configuration de démarrage (BCD)Les paramètres de la Boot Configuration Data ont été chargés au démarrage (débogage, signature des pilotes, contrôles d'intégrité…).

Chargement des données de configuration de démarrage (BCD)