Analyse d'Artefact : Journaux d'Événements Windows (.EVTX)

Note

Résumé exécutif : les journaux d’événements Windows, stockés sous forme de fichiers XML binaires (.evtx), sont les véritables “boîtes noires” du système d’exploitation. Contrairement au Registre Windows, qui affiche principalement l’état actuel du système, les fichiers EVTX fournissent un registre séquentiel et chronologique de ce qui s’est passé. Pour les analystes DFIR, le parsing de ces journaux est la base de la reconstruction d’une chronologie (timeline). Cependant, en raison de limites de taille strictes et d’une rotation rapide des journaux, l’acquisition de ces fichiers est une course contre la montre avant que les preuves critiques ne soient écrasées.

1. Aperçu architectural et emplacement

À partir de Windows Vista, Microsoft est passé de l’ancien format .evt au format moderne .evtx (XML). Ces fichiers ne sont pas en texte clair ; ils nécessitent des parseurs spécialisés ou l’Observateur d’événements Windows natif pour être lus.

• Emplacement de l’artefact : C:\Windows\System32\winevt\Logs\
• Le piège de la rotation des logs : chaque canal .evtx a une taille maximale prédéfinie (souvent 20 Mo par défaut pour le journal de Sécurité). Une fois cette limite atteinte, les événements les plus anciens sont immédiatement écrasés. Sur un contrôleur de domaine très sollicité, le journal de Sécurité pourrait ne couvrir qu’une fenêtre de quelques heures.

2. Les canaux critiques pour le DFIR

Windows génère des centaines de canaux de journaux, mais les intervenants sur incident se concentrent principalement sur une poignée de fichiers critiques pour établir l’accès initial, l’exécution et la persistance.

Security.evtx (Le Graal)

Le journal le plus critique pour traquer le comportement des adversaires. Il enregistre l’authentification (connexions/déconnexions), l’élévation de privilèges, la création de processus et l’accès aux objets. Note forensique : de nombreux événements critiques dans ce journal nécessitent que l’audit via les stratégies de groupe (GPO) soit explicitement activé.

System.evtx (Santé et Services)

Surveille le cœur du système d’exploitation. Il enregistre les démarrages/arrêts du système, les chargements de pilotes et, fait crucial, l’installation de nouveaux services Windows (un mécanisme de persistance principal).

Application.evtx (Activité logicielle)

Enregistre les événements générés par les logiciels installés. Très utile pour identifier les plantages d’applications, les alertes d’anciens antivirus ou les erreurs de bases de données.

Journaux opérationnels (Contexte granulaire)

Des sous-systèmes spécifiques possèdent leurs propres journaux très détaillés. Exemples :

• Microsoft-Windows-TerminalServices-*.evtx (Pour le suivi RDP).
• Microsoft-Windows-TaskScheduler%4Operational.evtx (Pour les tâches planifiées).
• Microsoft-Windows-PowerShell%4Operational.evtx (Pour l’audit des blocs de script).

3. L’aide-mémoire DFIR : ID d’Événements Clés

Afin d’accélérer le triage, les analystes doivent maîtriser la corrélation d’ID d’événements spécifiques à travers différents journaux.

A. Authentification et accès (Security.evtx)

• Événements 4624 & 4625 : connexions réussies et échouées. Crucial pour tracer les mouvements latéraux (Type 3) et les accès RDP (Type 10).
• Événements 4663 & 5140 : accès aux objets et aux partages de fichiers. Utilisés pour chasser les modifications de fichiers par des ransomwares ou l’exfiltration de données via SMB.

B. Exécution et processus (Security.evtx)

• Événement 4688 : création de processus. Lorsque l’audit de la ligne de commande est activé, cela révèle exactement quelles commandes l’attaquant a exécutées.

C. Mécanismes de persistance

• Événement 7045 (System.evtx) : installation de service. L’indicateur définitif d’une porte dérobée déployée ou d’une exécution de PsExec.
• Événement 4698 (Security.evtx) : création de tâche planifiée.
• Événement 4720 (Security.evtx) : création de compte utilisateur (Comptes backdoors).

4. Anti-Forensique : détecter l’effacement des journaux

Parce que les fichiers EVTX sont hautement compromettants, les adversaires sophistiqués tenteront de les effacer. Heureusement, l’acte même d’effacer les journaux génère une alerte indélébile.

Danger

Les indicateurs d’effacement (Wiping) :

• Si un attaquant efface le journal Sécurité, cela génère l’Événement 1102 (“Le journal d’audit a été effacé”).
• Si un attaquant efface le journal Système ou Application, cela génère l’Événement 104 dans le journal Système.

Trouver un Événement 1102 est la preuve définitive d’une falsification malveillante et anti-forensique. Les analystes doivent immédiatement pivoter vers la chasse dans le Registre Windows ou l’analyse de la mémoire volatile, les journaux d’exécution sur le disque étant perdus.

5. Outils et analyse automatisée (Parsing)

Lors d’un incident majeur, ouvrir manuellement les fichiers .evtx dans l’Observateur d’événements est inefficace. Les équipes DFIR s’appuient sur des parseurs à haute vitesse pour ingérer le XML binaire vers des formats CSV ou des plateformes SIEM pour la corrélation chronologique.

EvtxECmd (Eric Zimmerman)

parse_evtx_files.cmd

:: EvtxECmd analyse des fichiers individuels ou des répertoires entiers de journaux EVTX.
:: Il utilise des 'Maps' pour enrichir automatiquement la sortie (ex: résoudre le Logon Type 3 en "Network").

EvtxECmd.exe -d "C:\Forensics\Export\winevt\Logs" --csv "C:\Forensics\Results" --csvf timeline_events.csv

PowerShell (Triage en direct)

live_evtx_triage.ps1

# Une commande de triage à chaud (live) rapide pour extraire les 50 derniers échecs de connexion (Chasse aux attaques Force Brute)
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625} -MaxEvents 50 | Select-Object TimeCreated, Id, Message

---

Références et lectures complémentaires

• SANS Institute : Windows Forensic Analysis
• Outils d’Eric Zimmerman : Dépôt GitHub EvtxECmd
• Artefact lié : Forensique du Registre Windows
• Écosystème lié : Télémétrie Sysmon (System Monitor)