Windows Event Forwarding Forensics

Définition

Windows Event Forwarding (WEF) est un mécanisme natif Windows permettant de centraliser les journaux d'événements de nombreuses machines vers un serveur collecteur (Windows Event Collector — WEC), sans déployer d'agent tiers. Pour les équipes DFIR, WEF est une infrastructure de collecte de logs légère et centralisée qui facilite les investigations sur des parcs Windows. WEF utilise le protocole WS-Management (WinRM) pour transférer les événements des endpoints vers le serveur collecteur. La configuration est gérée via les Group Policy Objects (GPO) : les endpoints sont configurés comme Sources, le serveur WEC comme Collector. Des Subscriptions définissent quels événements collecter depuis quels endpoints (filtres XPath sur les Event IDs, sources, périodes temporelles). Forensiquement, WEF offre plusieurs avantages. La collecte centralisée permet d'avoir des logs de toutes les machines dans un seul endroit, même si les machines ont été éteintes depuis ou si leurs logs locaux ont été effacés. Les logs collectés via WEF sont conservés sur le serveur WEC et sont plus résistants à la falsification par des attaquants qui auraient compromis les endpoints. La sélection d'abonnements WEF recommandée par le NSA/CISA (Palantir's WEF recommendations) couvre les événements les plus pertinents pour la détection de compromissions. Les sources WEF typiquement collectées pour la sécurité incluent : Windows Security Log (EventIDs 4624/4625/4648/4656/4688/4697/4720), Sysmon (EventIDs 1/3/7/8/10/11/13/22/25), PowerShell (EventIDs 4103/4104), System Log (EventIDs 7045/7040), et Application Log. Ces sources combinées couvrent l'essentiel des TTPs d'attaque documentés dans ATT&CK. Pour l'analyse forensique des logs WEF, les mêmes outils que pour les logs Windows locaux s'appliquent : EvtxECmd, DeepBlueCLI, Get-WinEvent (PowerShell), Chainsaw, et l'ingestion dans un SIEM (Elastic Stack, Splunk).