Question 1

Quels sont les Event IDs les plus importants en forensique ?

Accepted Answer

Les événements critiques incluent : 4624/4625 (connexion réussie/échouée), 4688 (création de processus), 4698/4702 (tâches planifiées), 4720/4732 (gestion des comptes), 7045 (nouveau service), 4776 (authentification NTLM). L'outil les met en avant avec leur niveau de criticité.

Question 2

Les logs Windows sont-ils suffisants pour une investigation ?

Accepted Answer

Les journaux Windows natifs sont un point de départ essentiel, mais une investigation complète nécessite l'activation de l'audit avancé (Advanced Audit Policy). Complétez avec Sysmon, PowerShell logging et les journaux applicatifs pour une visibilité totale sur les activités système.

Question 3

Comment filtrer les Event IDs par type d'incident ?

Accepted Answer

Utilisez les filtres par catégorie (Authentification, Réseau, Processus, GPO…) ou par niveau de criticité (Critique, Élevé, Moyen) pour cibler rapidement les événements pertinents à votre scénario d'investigation ou de threat hunting.

Référentiel Event IDs Windows 5157 - WFP a bloqué une connexion

WFP a bloqué une connexion

5157SecurityRéseau & RDPWFP a bloqué une connexionLa WFP a bloqué une connexion.

WFP a bloqué une connexion