Windows Event Logs Forensics

Définition

L'analyse forensique des journaux d'événements Windows (Windows Event Logs Forensics) consiste à exploiter les fichiers de log natifs du système d'exploitation Windows, stockés au format binaire EVTX, pour reconstituer chronologiquement les actions réalisées sur un système compromis lors d'une investigation post-incident. Le journal Security enregistre les événements liés à l'authentification et au contrôle d'accès selon la politique d'audit configurée, incluant les connexions réussies ou échouées (Event ID 4624/4625), les créations de comptes utilisateurs, les modifications de groupes de sécurité privilégiés et les élévations de privilèges, informations critiques pour identifier un mouvement latéral ou une escalade. Le journal System capture les événements liés aux services et pilotes système, permettant de détecter l'installation de services malveillants souvent utilisés pour la persistance. Le journal Application enregistre les événements générés par les logiciels installés, pouvant révéler des plantages ou comportements anormaux d'applications compromises. L'Event ID 4688, lorsque l'audit détaillé des processus est activé, documente chaque création de processus avec sa ligne de commande complète, information précieuse pour identifier l'exécution de malwares ou de commandes d'attaque via PowerShell. Ces journaux, corrélés avec les données Sysmon offrant une granularité supérieure, constituent la source primaire d'investigation dans la majorité des incidents affectant des environnements Windows et Active Directory, malgré une rétention parfois limitée nécessitant une centralisation SIEM préalable.