Question 1

Quels sont les Event IDs les plus importants en forensique ?

Accepted Answer

Les événements critiques incluent : 4624/4625 (connexion réussie/échouée), 4688 (création de processus), 4698/4702 (tâches planifiées), 4720/4732 (gestion des comptes), 7045 (nouveau service), 4776 (authentification NTLM). L'outil les met en avant avec leur niveau de criticité.

Question 2

Les logs Windows sont-ils suffisants pour une investigation ?

Accepted Answer

Les journaux Windows natifs sont un point de départ essentiel, mais une investigation complète nécessite l'activation de l'audit avancé (Advanced Audit Policy). Complétez avec Sysmon, PowerShell logging et les journaux applicatifs pour une visibilité totale sur les activités système.

Question 3

Comment filtrer les Event IDs par type d'incident ?

Accepted Answer

Utilisez les filtres par catégorie (Authentification, Réseau, Processus, GPO…) ou par niveau de criticité (Critique, Élevé, Moyen) pour cibler rapidement les événements pertinents à votre scénario d'investigation ou de threat hunting.

Référentiel Event IDs Windows 6281 - Code Integrity : hash de page invalide

Code Integrity : hash de page invalide

6281SecurityÉvasion de DéfenseCode Integrity : hash de page invalideCode Integrity a détecté un hash de page invalide dans un fichier image.

Code Integrity : hash de page invalide