Nom du journal :Security
Source :       Microsoft-Windows-Security-Auditing
Date :         06/05/2023 16:43:17
ID de l’événement :4799
Catégorie de la tâche :Security Group Management
Niveau :       Information
Mots clés :    Succès de l’audit
Utilisateur :  N/A
Ordinateur :   DESKTOP-82U6TB0
Description :
Une adhésion au groupe local à sécurité activée a été énumérée.

Objet :
    ID de sécurité :        S-1-5-18
    Nom du compte :        DESKTOP-82U6TB0$
    Domaine du compte :        WORKGROUP
    ID d'ouverture de session :        0x3E7

Groupe :
    ID de sécurité :        S-1-5-32-544
    Nom du compte :        Administrateurs
    Domaine du compte :        Builtin

Informations sur le processus :
    ID du processus :        0x5730
    Nom du processus :        C:\Windows\System32\svchost.exe
XML de l’événement :
<Event xmlns="http://schemas.microsoft.com/win/2004/08/events/event">
  <System>
    <Provider Name="Microsoft-Windows-Security-Auditing" Guid="{54849625-5478-4994-a5ba-3e3b0328c30d}" />
    <EventID>4799</EventID>
    <Version>0</Version>
    <Level>0</Level>
    <Task>13826</Task>
    <Opcode>0</Opcode>
    <Keywords>0x8020000000000000</Keywords>
    <TimeCreated SystemTime="2023-05-06T14:43:17.0364197Z" />
    <EventRecordID>339258</EventRecordID>
    <Correlation ActivityID="{e904a628-7cde-0002-e0a6-04e9de7cd901}" />
    <Execution ProcessID="988" ThreadID="7420" />
    <Channel>Security</Channel>
    <Computer>DESKTOP-82U6TB0</Computer>
    <Security />
  </System>
  <EventData>
    <Data Name="TargetUserName">Administrateurs</Data>
    <Data Name="TargetDomainName">Builtin</Data>
    <Data Name="TargetSid">S-1-5-32-544</Data>
    <Data Name="SubjectUserSid">S-1-5-18</Data>
    <Data Name="SubjectUserName">DESKTOP-82U6TB0$</Data>
    <Data Name="SubjectDomainName">WORKGROUP</Data>
    <Data Name="SubjectLogonId">0x3e7</Data>
    <Data Name="CallerProcessId">0x5730</Data>
    <Data Name="CallerProcessName">C:\Windows\System32\svchost.exe</Data>
  </EventData>
</Event>

Nom du journal :Security
Source :       Microsoft-Windows-Security-Auditing
Date :         06/05/2023 16:43:12
ID de l’événement :4624
Catégorie de la tâche :Logon
Niveau :       Information
Mots clés :    Succès de l’audit
Utilisateur :  N/A
Ordinateur :   DESKTOP-82U6TB0
Description :
L'ouverture de session d'un compte s'est correctement déroulée.

Objet :
    ID de sécurité :        Système
    Nom du compte :        DESKTOP-82U6TB0$
    Domaine du compte :        WORKGROUP
    ID d'ouverture de session :        0x3E7

Informations d'ouverture de session :
    Type d'ouverture de session :        5
    Mode administrateur restreint :    -
    Compte virtuel :        Non
    Jeton élevé :        Oui

Niveau d'emprunt d'identité :        Emprunt d’identité

Nouvelle ouverture de session :
    ID de sécurité :        Système
    Nom du compte :        Système
    Domaine du compte :        AUTORITE NT
    ID d'ouverture de session :        0x3E7
    ID d'ouverture de session liée :        0x0
    Nom du compte réseau :    -
    Domaine du compte réseau :    -
    GUID d'ouverture de session :        {00000000-0000-0000-0000-000000000000}

Informations sur le processus :
    ID du processus :        0x36c
    Nom du processus :        C:\Windows\System32\services.exe

Informations sur le réseau :
    Nom de la station de travail :    -
    Adresse du réseau source :    -
    Port source :        -

Informations détaillées sur l'authentification :
    Processus d'ouverture de session :        Advapi
    Package d'authentification :    Negotiate
    Services en transit :    -
    Nom du package (NTLM uniquement) :    -
    Longueur de la clé :        0

Cet événement est généré lors de la création d'une ouverture de session. Il est généré sur l'ordinateur sur lequel l'ouverture de session a été effectuée.

Le champ Objet indique le compte sur le système local qui a demandé l'ouverture de session. Il s'agit le plus souvent d'un service, comme le service Serveur, ou un processus local tel que Winlogon.exe ou Services.exe.

Le champ Type d'ouverture de session indique le type d'ouverture de session qui s'est produit. Les types les plus courants sont 2 (interactif) et 3 (réseau).

Le champ Nouvelle ouverture de session indique le compte pour lequel la nouvelle ouverture de session a été créée, par exemple, le compte qui s'est connecté.

Les champs relatifs au réseau indiquent la provenance d'une demande d'ouverture de session à distance. Le nom de la station de travail n'étant pas toujours disponible, peut être laissé vide dans certains cas.

Le champ du niveau d'emprunt d'identité indique la portée de l'emprunt d'identité que peut prendre un processus dans la session d'ouverture de session.

Les champs relatifs aux informations d'authentification fournissent des détails sur cette demande d'ouverture de session spécifique.
    - Le GUID d'ouverture de session est un identificateur unique pouvant servir à associer cet événement à un événement KDC .
    - Les services en transit indiquent les services intermédiaires qui ont participé à cette demande d'ouverture de session.
    - Nom du package indique quel est le sous-protocole qui a été utilisé parmi les protocoles NTLM.
    - La longueur de la clé indique la longueur de la clé de session générée. Elle a la valeur 0 si aucune clé de session n'a été demandée.
XML de l’événement :
<Event xmlns="http://schemas.microsoft.com/win/2004/08/events/event">
  <System>
    <Provider Name="Microsoft-Windows-Security-Auditing" Guid="{54849625-5478-4994-a5ba-3e3b0328c30d}" />
    <EventID>4624</EventID>
    <Version>2</Version>
    <Level>0</Level>
    <Task>12544</Task>
    <Opcode>0</Opcode>
    <Keywords>0x8020000000000000</Keywords>
    <TimeCreated SystemTime="2023-05-06T14:43:12.6037071Z" />
    <EventRecordID>339256</EventRecordID>
    <Correlation ActivityID="{e904a628-7cde-0002-e0a6-04e9de7cd901}" />
    <Execution ProcessID="988" ThreadID="7420" />
    <Channel>Security</Channel>
    <Computer>DESKTOP-82U6TB0</Computer>
    <Security />
  </System>
  <EventData>
    <Data Name="SubjectUserSid">S-1-5-18</Data>
    <Data Name="SubjectUserName">DESKTOP-82U6TB0$</Data>
    <Data Name="SubjectDomainName">WORKGROUP</Data>
    <Data Name="SubjectLogonId">0x3e7</Data>
    <Data Name="TargetUserSid">S-1-5-18</Data>
    <Data Name="TargetUserName">Système</Data>
    <Data Name="TargetDomainName">AUTORITE NT</Data>
    <Data Name="TargetLogonId">0x3e7</Data>
    <Data Name="LogonType">5</Data>
    <Data Name="LogonProcessName">Advapi  </Data>
    <Data Name="AuthenticationPackageName">Negotiate</Data>
    <Data Name="WorkstationName">-</Data>
    <Data Name="LogonGuid">{00000000-0000-0000-0000-000000000000}</Data>
    <Data Name="TransmittedServices">-</Data>
    <Data Name="LmPackageName">-</Data>
    <Data Name="KeyLength">0</Data>
    <Data Name="ProcessId">0x36c</Data>
    <Data Name="ProcessName">C:\Windows\System32\services.exe</Data>
    <Data Name="IpAddress">-</Data>
    <Data Name="IpPort">-</Data>
    <Data Name="ImpersonationLevel">%%1833</Data>
    <Data Name="RestrictedAdminMode">-</Data>
    <Data Name="TargetOutboundUserName">-</Data>
    <Data Name="TargetOutboundDomainName">-</Data>
    <Data Name="VirtualAccount">%%1843</Data>
    <Data Name="TargetLinkedLogonId">0x0</Data>
    <Data Name="ElevatedToken">%%1842</Data>
  </EventData>
</Event>
[/Spoiler]