Event ID 4648

Définition

L'Event ID 4648, intitulé A logon was attempted using explicit credentials, est un événement de sécurité Windows généré lorsqu'un processus tente de s'authentifier en fournissant explicitement des identifiants différents de ceux du compte actuellement connecté à la session, une situation caractéristique de l'utilisation de la fonctionnalité RunAs, de l'exécution de tâches planifiées configurées avec un compte spécifique, ou de connexions à des ressources distantes effectuées avec des identifiants alternatifs saisis manuellement. Cet événement revêt un intérêt particulier en détection d'attaques de mouvement latéral, car il capture précisément le compte source ayant initié la demande ainsi que le compte cible utilisé pour l'authentification explicite, permettant d'identifier des schémas anormaux comme un compte de service utilisé de façon inhabituelle depuis une machine où il n'intervient jamais en fonctionnement normal, ou l'usage répété d'identifiants explicites depuis un poste de travail standard vers plusieurs serveurs distincts en peu de temps, un comportement typique d'un attaquant testant des identifiants volés via Pass-the-Hash sur l'ensemble d'un parc informatique. L'Event ID 4648 complète utilement les événements de connexion classiques comme le 4624, en offrant une visibilité sur l'origine réelle d'une authentification qui pourrait autrement sembler provenir directement du compte de session courant, une distinction essentielle pour reconstituer précisément une chaîne d'attaque en investigation forensique.