Surveiller les connexions interactives sous Windows pour détecter les anomalies
Introduction• Ce tutoriel explique comment utiliser les journaux d’événements de Windows pour surveiller les connexions interactives et identifier les activités suspectes. Cette méthode permet de renforcer la sécurité en détectant les accès non autorisés.
Prérequis• Un PC sous Windows 10/11 ou Windows Server
• Accès administrateur pour configurer l’audit des connexions
• Activer l’audit des événements de connexion dans la stratégie de sécurité
Méthodologie• Méthode 1 : Utilisation de l’Observateur d’événements Windows
• Méthode 2 : Surveillance avancée avec PowerShell
Avantages des 2 méthodes• Observateur d’événements : Interface graphique simple à utiliser
• PowerShell : Automatisation et filtrage avancé des journaux
Inconvénients des 2 méthodes• Observateur d’événements : Analyse manuelle nécessaire
• PowerShell : Exige des connaissances en scripting
Étapes pour chaque méthode
Méthode 1 : Suivi des connexions via l’Observateur d’événementsOuvrir l’Observateur d’événements (eventvwr.msc)
Aller dans Journaux Windows > Sécurité
Rechercher les événements liés aux connexions interactives :
• ID 4624 : Connexion réussie
• ID 4625 : Échec de connexion
Analyser les tentatives suspectes en fonction des horaires et adresses IP
Méthode 2 : Analyse avancée avec PowerShellOuvrir PowerShell en tant qu’administrateur
Exécuter la commande pour afficher les connexions réussies :
Code:
Get-WinEvent -LogName Security | Where-Object {$_.Id -eq 4624} | Select-Object TimeCreated, MessageFiltrer les connexions ayant échoué :
Code:
Get-WinEvent -LogName Security | Where-Object {$_.Id -eq 4625} | Select-Object TimeCreated, Message
Astuce• Activez l’authentification à deux facteurs pour renforcer la sécurité des connexions.
Mise en garde• Surveillez les tentatives de connexion répétées, elles peuvent indiquer une attaque par force brute.
Références• Microsoft Learn - Événement 4624
• Support Microsoft
Conclusion• L’audit des connexions sous Windows permet d’identifier rapidement les tentatives d’intrusion et de renforcer la sécurité du système.
