Windows Event Logs AD

Définition

Les Windows Event Logs constituent le système de journalisation natif de Windows, structuré en plusieurs journaux distincts — Application, System, Security étant le plus pertinent pour la sécurité — dans lesquels sont consignés l'ensemble des événements générés par le système d'exploitation et les applications, incluant en environnement Active Directory les journaux d'authentification, de réplication et de modification d'objets de l'annuaire. Le journal Security d'un contrôleur de domaine constitue une source de détection critique, contenant des événements essentiels pour toute stratégie de supervision : l'Event ID 4624 pour les connexions réussies, 4768 et 4769 pour les demandes de tickets Kerberos, 5136 pour les modifications d'objets d'annuaire sous réserve d'une SACL configurée, ou 4662 pour l'exercice de droits étendus spécifiques comme ceux exploités dans une attaque DCSync. La configuration par défaut de la journalisation Windows reste souvent insuffisante pour une détection avancée, de nombreux événements critiques nécessitant l'activation explicite d'une politique d'audit avancée (Advanced Audit Policy Configuration) ainsi que la configuration de SACL adaptées sur les objets sensibles de l'annuaire. L'intégration de ces journaux dans un SIEM centralisé, avec des règles de corrélation dédiées aux techniques d'attaque Active Directory documentées, constitue une pratique de détection incontournable, la conservation locale seule restant insuffisante face à un attaquant susceptible d'effacer ses traces sur un système compromis.