Référentiel Event IDs Windows 4880 - Services de certificats : démarrage

Référentiel interactif de 350+ Event IDs Windows : 4624, 4625, 4688, 4698, 7045 et plus pour la forensique.

À propos

Référentiel Event IDs Windows 4880 - Services de certificats : démarrage

Référentiel de 358 Event IDs Windows pour la forensique et le threat hunting : journal Security, Sysmon, PowerShell, Defender, AD DS, AD CS, BitLocker… Chaque fiche explique ce que l'événement révèle en investigation, illustre un scénario d'attaque et indique les techniques MITRE ATT&CK associées.

Ce que fait l’outil

358 Event IDs répartis en 23 catégories, Sysmon inclus
Recherche par ID, titre ou mot-clé
Filtres par catégorie et par tactique MITRE ATT&CK
Fiche par événement : journal source, contexte forensique, exemple d'attaque, mapping MITRE
Onglet dédié aux attributs Active Directory

Questions fréquentes

Que signifie l'Event ID 4880 ?

Services de certificats : démarrage. Le service AD CS (CertSvc) a démarré.

Dans quel journal trouver l'Event ID 4880 ?

Dans le journal « Security », consultable avec l'Observateur d'événements, Get-WinEvent ou votre SIEM.

Pourquoi l'Event ID 4880 compte-t-il en investigation ?

Avec 4881, encadre les périodes d'activité de l'autorité de certification. Un redémarrage hors maintenance suit souvent une modification de configuration (4891) qui ne prend effet qu'au redémarrage du service, comme l'activation d'EDITF_ATTRIBUTESUBJECTALTNAME2 (ESC6).

À quoi ressemble un cas concret pour l'Event ID 4880 ?

4891 (modification de EditFlags), puis 4881 et 4880 à 23:10.

À quelles techniques MITRE ATT&CK l'Event ID 4880 est-il lié ?

TA0004, T1649.

4880SecurityCertificats (AD CS)Services de certificats : démarrageLe service AD CS (CertSvc) a démarré.

Services de certificats : démarrage