Event ID 4625 (échec) en grande quantité
+ même compte cible
+ IPs sources multiples ou unique
= Probable attaque brute force

Event ID 4720 (création compte)
+ Event ID 4732 (ajout au groupe Administrators)
= Possible création de backdoor

- NewProcessName : Chemin du processus
- CommandLine : Arguments (si activé)
- ParentProcessName : Processus parent
- SubjectUserName : Utilisateur qui lance
- TokenElevationType : Niveau de privilège

Processus suspects :
- cmd.exe lancé par excel.exe ou word.exe
- powershell.exe avec -enc ou -encodedcommand
- certutil.exe avec -urlcache
- mshta.exe, wscript.exe, cscript.exe
- processus depuis C:\Users\*\AppData\

Champs à analyser :
- ServiceName : Nom du service
- ImagePath : Chemin de l'exécutable
- ServiceType : Type de service
- StartType : Mode de démarrage

Event ID 7045 avec :
- ImagePath vers C:\Users\ ou C:\Temp\
- ServiceName aléatoire ou suspect
- StartType = Auto
= Possible malware installé comme service

Event ID 4698 avec :
- Action pointant vers script suspect
- Trigger au démarrage ou connexion
- Créé par un utilisateur non-admin
= Possible persistence malware

Rechercher :
- Invoke-Expression, IEX
- Invoke-WebRequest, wget, curl
- -EncodedCommand, -enc
- DownloadString, DownloadFile
- New-Object Net.WebClient
- [Convert]::FromBase64String
- Invoke-Mimikatz, Invoke-Kerberoast

Event ID 4769 avec :
- ServiceName ne terminant pas par $
- TicketEncryptionType = 0x17 (RC4)
- Volume élevé pour un même utilisateur
= Possible Kerberoasting

Event ID 4769 avec :
- ServiceName = krbtgt
- Anomalies dans le TGT
= Possible Golden Ticket

%SystemRoot%\System32\winevt\Logs\

Logs principaux :
- Security.evtx
- System.evtx
- Application.evtx
- Microsoft-Windows-PowerShell%4Operational.evtx
- Microsoft-Windows-Sysmon%4Operational.evtx

# Lister les événements récents
Get-WinEvent -LogName Security -MaxEvents 100

# Filtrer par Event ID
Get-WinEvent -FilterHashtable @{LogName='Security'; ID=4625}

# Connexions échouées des dernières 24h
Get-WinEvent -FilterHashtable @{
    LogName='Security'
    ID=4625
    StartTime=(Get-Date).AddDays(-1)
}

# Exporter en CSV
Get-WinEvent -FilterHashtable @{LogName='Security'; ID=4624} |
    Select-Object TimeCreated, Message |
    Export-Csv -Path "logons.csv"

Event ID : 4625
Logon Type : 10 (RemoteInteractive)
Status : 0xC000006D (mauvais username) ou 0xC000006A (mauvais password)
Fréquence : > 10 en 5 minutes

Event ID : 4624
Logon Type : 3 (Network)
Authentication Package : NTLM
Source IP : interne
Compte : administrateur

Event ID : 4672 (privilèges spéciaux)
+ Event ID 4688 (nouveau processus)
Processus : cmd.exe ou powershell.exe
Utilisateur : non-admin qui devient admin

Event ID : 7045 (nouveau service)
OU Event ID : 4698 (nouvelle tâche planifiée)
ImagePath/Action : chemin suspect

Event ID : 5145 (accès fichier partagé)
Volume : élevé en peu de temps
Source : même utilisateur
Destination : externe ou cloud