Journaux Windows : les événements à surveiller en priorité pour détecter une intrusion

Presque chaque intrusion laisse des traces dans les journaux Windows : une connexion inhabituelle, un compte ajouté au groupe des administrateurs, un service installé à 2 heures du matin, un journal effacé. Le problème n’est pas l’absence de traces, mais leur volume : un seul contrôleur de domaine produit des millions d’événements par jour. Voici les événements à surveiller en priorité, la configuration indispensable pour qu’ils existent, et des commandes prêtes à l’emploi pour les interroger.

L’essentiel en 30 secondes

• Par défaut, Windows ne journalise pas assez : il faut activer la stratégie d’audit avancée, la ligne de commande des processus et la journalisation PowerShell.
• Les journaux sont trop petits par défaut : ils s’écrasent en quelques heures. Agrandissez-les et centralisez-les.
• Une vingtaine d’identifiants d’événements couvrent l’essentiel : connexions, comptes et groupes, services et tâches planifiées, Kerberos, effacement des journaux.
• Selon Sophos, les cas où des journaux manquaient faute de conservation suffisante ont doublé en un an.

Étape 1 : faire en sorte que les événements existent

Par stratégie de groupe (GPO), sous Configuration ordinateur > Stratégies > Paramètres Windows > Paramètres de sécurité > Configuration avancée de la stratégie d’audit, activez au minimum :

• Ouverture de session (succès et échec), Verrouillage de compte, Ouverture de session spéciale ;
• Gestion des comptes d’utilisateur et des groupes de sécurité (succès) ;
• Service d’authentification Kerberos et opérations de ticket de service (succès et échec) ;
• Création de processus (succès), avec l’option « Inclure la ligne de commande dans les événements de création de processus » ;
• Modification de la stratégie d’audit, Extension système de sécurité, Autres événements système.

Activez aussi la journalisation des blocs de script PowerShell (événement 4104) dans Modèles d’administration > Composants Windows > Windows PowerShell. Vérifiez et agrandissez :

# Contrôler la stratégie d'audit effective
auditpol /get /category:*

# Porter le journal Sécurité à 1 Go (à adapter selon l'espace disque)
wevtutil sl Security /ms:1073741824

Étape 2 : les événements à surveiller en priorité

Étape 3 : interroger les journaux avec PowerShell

# Échecs de connexion des dernières 24 heures, regroupés par compte visé
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625; StartTime=(Get-Date).AddHours(-24)} |
  ForEach-Object { ([xml]$_.ToXml()).Event.EventData.Data | Where-Object Name -eq 'TargetUserName' } |
  Group-Object '#text' | Sort-Object Count -Descending | Select-Object -First 10 Count, Name

# Ajouts à des groupes de sécurité sur 7 jours
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4728,4732,4756; StartTime=(Get-Date).AddDays(-7)} |
  Select-Object TimeCreated, Id, Message

# Services installés récemment
Get-WinEvent -FilterHashtable @{LogName='System'; Id=7045; StartTime=(Get-Date).AddDays(-7)} |
  Select-Object TimeCreated, Message

# Journal effacé ?
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=1102} -ErrorAction SilentlyContinue

Ces commandes dépannent, mais ne remplacent pas une surveillance continue. Pour aller plus loin, automatisez ces vérifications avec des scripts PowerShell planifiés.

Étape 4 : centraliser et conserver

Un attaquant qui obtient les droits d’administration efface les journaux locaux. Il faut donc les copier en temps réel ailleurs :

• Windows Event Forwarding (WEF), intégré à Windows, pour rassembler les événements sur un serveur collecteur ;
• ou un agent qui envoie vers un SIEM : Wazuh est une option open source adaptée aux PME.

Conservez au moins 6 mois de journaux de sécurité, et davantage pour les contrôleurs de domaine : en cas d’incident, il faut souvent remonter plusieurs semaines en arrière. Pour enrichir la visibilité (connexions réseau par processus, chargement de pilotes, empreintes des exécutables), ajoutez Sysmon.

Questions fréquentes

Quels serveurs surveiller en premier ?

Les contrôleurs de domaine, puis les serveurs exposés (accès distant, messagerie, web), puis les serveurs de fichiers et de sauvegarde. Les postes de travail viennent ensuite.

Combien de place faut-il prévoir ?

Cela dépend fortement du nombre de machines et des catégories activées. Commencez par les contrôleurs de domaine, mesurez le volume réel sur deux semaines, puis extrapolez.

L’événement 4625 suffit-il à repérer une attaque par mot de passe ?

Non : la pulvérisation de mots de passe teste un mot de passe sur beaucoup de comptes, ce qui reste sous les seuils par compte. Regardez aussi le nombre de comptes distincts en échec depuis une même source, et les événements 4771 et 4776 côté contrôleur de domaine.

Que faire si je trouve un 1102 ?

Le traiter comme un incident potentiel : identifier le compte à l’origine, isoler la machine si l’effacement n’était pas planifié, et suivre le playbook de réponse à incident.

Sources

• Microsoft Learn, « Events to Monitor » (Active Directory).
• Sophos, Active Adversary Report 2026, février 2026.
• ANSSI, recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory.

Besoin d’un accompagnement ?

MPCÂBLE Solutions Informatiques (MPCSI) accompagne particuliers, entreprises, associations et collectivités depuis Gaudiès, en Ariège : sur site en Occitanie, principalement dans un rayon de 40 km (Pamiers, Foix, Mirepoix, Saverdun, Castelnaudary), et à distance partout en France. Nous configurons la journalisation et la surveillance de vos serveurs dans le cadre de notre infogérance. Demandez un devis gratuit ou appelez le 05 32 42 99 98.