Event ID 4769
adDéfinition
L'Event ID 4769, intitulé A Kerberos service ticket was requested, est un événement de sécurité Windows généré sur un contrôleur de domaine à chaque demande de ticket de service (TGS) effectuée auprès du KDC, constituant l'événement de détection central pour repérer une attaque de type Kerberoasting en environnement Active Directory. Cet événement capture notamment le nom du compte de service ciblé, le nom du compte demandeur, et le type de chiffrement utilisé pour le ticket émis, une information particulièrement précieuse en détection : une prépondérance anormale de demandes utilisant RC4 plutôt qu'AES pour des comptes de service configurés pour supporter les deux algorithmes constitue un indicateur fort d'une tentative de Kerberoasting, l'attaquant privilégiant généralement RC4 en raison de sa vitesse de cassage hors ligne nettement supérieure à AES. Un volume anormalement élevé de demandes 4769 provenant d'un même compte en un court intervalle de temps, ciblant un grand nombre de SPN distincts, constitue également un signal caractéristique d'une énumération massive de comptes de service typique de cette attaque. La corrélation de cet événement avec l'Event ID 4768 associé à l'obtention initiale du TGT permet de reconstituer une chronologie complète de l'activité Kerberos d'un compte suspect, une pratique de détection recommandée dans toute stratégie SIEM appliquée à la surveillance d'un environnement Active Directory.
Champs clés de l'Event 4769
- Service Name : Nom du service (SPN) demandé
- Client Address : IP source
- Ticket Encryption Type : 0x17=RC4, 0x12=AES256
- Result Code : 0x0=succès, autres=échec
- Transited Services : Non vide si délégation S4U
Détection d'attaques
- Kerberoasting : Volume 4769 avec EncType 0x17 depuis compte non-service
- S4U2Proxy : Transited Services non vide
- Silver Ticket : 4769 absent (Silver Ticket bypass le DC pour TGS)
Articles liés
Expert en cybersécurité offensive et intelligence artificielle. Pentest, audit et développement IA sur-mesure.
Services
- Audit Infrastructure
- Audit Kubernetes
- Audit Microsoft 365
- Audit Sécurité Réseau
- Analyse de Risques
- Audit Active Directory
- Audit Application Web
- Audit Cloud (AWS/Azure/GCP)
- Audit Messagerie
- Audit API (OWASP Top 10)
- Audit DevSecOps & CI/CD
- Audit Code Source (SAST)
- Audit Postes de Travail
- Audit Sauvegarde & Résilience
- Audit OT/SCADA (IEC 62443)
- Développement IA
- Formations
Ressources
Projets & Outils
© 2026 Ayi NEDJIMI Consultants. Tous droits réservés. 2.1.7
Un projet cybersécurité ?
Expert dispo · Réponse 24h