ID d'événement Windows 6280 – Microsoft-Windows-Kernel-Process : Notification de création de processus

Tout d'abord, activez le journal Microsoft-Windows-Kernel-Process/Analytic pour commencer à collecter l'ID d'événement 6280 :

# Activer le journal Analytic du processus Kernel
wevtutil sl Microsoft-Windows-Kernel-Process/Analytic /e:true

# Vérifier que le journal est activé
wevtutil gl Microsoft-Windows-Kernel-Process/Analytic

Naviguez vers le Visualisateur d'événements pour voir les événements :

Visualisateur d'événements → Journaux des applications et services → Microsoft → Windows → Kernel-Process → Analytic

Interrogez les entrées récentes de l'ID d'événement 6280 en utilisant PowerShell :

# Obtenir les 50 derniers événements de création de processus
Get-WinEvent -FilterHashtable @{LogName='Microsoft-Windows-Kernel-Process/Analytic'; Id=6280} -MaxEvents 50 | Format-Table TimeCreated, Id, LevelDisplayName, Message -Wrap

Créez des requêtes ciblées pour surveiller des exécutables spécifiques ou des modèles de processus suspects :

# Surveiller les lancements d'exécutables spécifiques
$FilterXML = @"

  
    
      *[System[EventID=6280]] and 
      *[EventData[Data[@Name='ImageName'] and (contains(., 'powershell.exe') or contains(., 'cmd.exe'))]]
    
  

"@

Get-WinEvent -FilterXml $FilterXML -MaxEvents 25

Surveiller les processus lancés depuis des répertoires suspects :

# Vérifier les processus provenant des répertoires temporaires
$Events = Get-WinEvent -FilterHashtable @{LogName='Microsoft-Windows-Kernel-Process/Analytic'; Id=6280} -MaxEvents 100
$Events | Where-Object {$_.Message -match "\\temp\\|\\appdata\\local\\temp\\"} | Select-Object TimeCreated, Message

Exporter les résultats filtrés pour analyse :

# Exporter les événements de processus suspects vers un fichier CSV
$SuspiciousEvents = Get-WinEvent -FilterHashtable @{LogName='Microsoft-Windows-Kernel-Process/Analytic'; Id=6280} -MaxEvents 1000 |
  Where-Object {$_.Message -match "powershell|cmd|wscript|cscript"}
$SuspiciousEvents | Export-Csv -Path "C:\temp\process_events.csv" -NoTypeInformation

Extraire et analyser les informations de hiérarchie des processus à partir de l'ID d'événement 6280 pour identifier les modèles de génération de processus :

# Analyser les événements de création de processus pour les relations parent-enfant
$ProcessEvents = Get-WinEvent -FilterHashtable @{LogName='Microsoft-Windows-Kernel-Process/Analytic'; Id=6280} -MaxEvents 500

$ProcessData = foreach ($Event in $ProcessEvents) {
    $XML = [xml]$Event.ToXml()
    $EventData = $XML.Event.EventData.Data
    
    [PSCustomObject]@{
        TimeCreated = $Event.TimeCreated
        ProcessId = ($EventData | Where-Object {$_.Name -eq 'ProcessId'}).InnerText
        ParentProcessId = ($EventData | Where-Object {$_.Name -eq 'ParentProcessId'}).InnerText
        ImageName = ($EventData | Where-Object {$_.Name -eq 'ImageName'}).InnerText
        CommandLine = ($EventData | Where-Object {$_.Name -eq 'CommandLine'}).InnerText
    }
}

# Afficher l'arborescence des processus
$ProcessData | Sort-Object TimeCreated | Format-Table -AutoSize

Identifier les processus avec des relations parentales inhabituelles :

# Trouver les processus générés par des parents inattendus
$UnusualParents = $ProcessData | Where-Object {
    ($_.ImageName -match "powershell.exe" -and $_.ParentProcessId -notmatch "explorer.exe|cmd.exe") -or
    ($_.ImageName -match "cmd.exe" -and $_.ParentProcessId -match "winword.exe|excel.exe|outlook.exe")
}

$UnusualParents | Format-Table TimeCreated, ImageName, ParentProcessId -AutoSize

Configurez la journalisation ETW complète avec une taille de journal et des politiques de rétention personnalisées :

# Configurer la taille du journal et la rétention
wevtutil sl Microsoft-Windows-Kernel-Process/Analytic /ms:104857600  # 100MB
wevtutil sl Microsoft-Windows-Kernel-Process/Analytic /rt:false      # Désactiver en temps réel

# Créer une tâche planifiée pour la rotation des journaux
$Action = New-ScheduledTaskAction -Execute "wevtutil" -Argument "cl Microsoft-Windows-Kernel-Process/Analytic"
$Trigger = New-ScheduledTaskTrigger -Daily -At "02:00AM"
$Settings = New-ScheduledTaskSettingsSet -RunOnlyIfNetworkAvailable:$false
Register-ScheduledTask -TaskName "RotateKernelProcessLog" -Action $Action -Trigger $Trigger -Settings $Settings -User "SYSTEM"

Créez un transfert d'événements personnalisé pour une surveillance centralisée :

# Enregistrez sous ProcessCreation.xml pour le transfert d'événements
<Subscription xmlns="http://schemas.microsoft.com/2006/03/windows/events/subscription">
    <SubscriptionId>ProcessCreationEvents</SubscriptionId>
    <SubscriptionType>SourceInitiated</SubscriptionType>
    <Description>Transférer les événements de création de processus</Description>
    <Enabled>true</Enabled>
    <Uri>http://schemas.microsoft.com/wbem/wsman/1/windows/EventLog</Uri>
    <Query>
        <![CDATA[
        <QueryList>
            <Query Id="0">
                <Select Path="Microsoft-Windows-Kernel-Process/Analytic">*[System[EventID=6280]]</Select>
            </Query>
        </QueryList>
        ]]>
    </Query>
</Subscription>

Déployez l'abonnement :

# Créer un abonnement d'événements
wecutil cs ProcessCreation.xml

Créer un script de surveillance basé sur PowerShell pour la détection de menaces en temps réel :

# Script de détection de menaces avancées
$LogName = 'Microsoft-Windows-Kernel-Process/Analytic'
$EventId = 6280

# Définir des modèles suspects
$SuspiciousPatterns = @(
    '.*\\temp\\.*\.exe',
    '.*powershell.*-enc.*',
    '.*cmd.*\/c.*echo.*',
    '.*wscript.*\.vbs',
    '.*regsvr32.*scrobj.dll'
)

# Surveiller les nouveaux événements
Register-WmiEvent -Query "SELECT * FROM Win32_NTLogEvent WHERE LogFile='$LogName' AND EventCode=$EventId" -Action {
    $Event = $Event.SourceEventArgs.NewEvent
    $Message = $Event.Message
    
    foreach ($Pattern in $SuspiciousPatterns) {
        if ($Message -match $Pattern) {
            Write-Host "[ALERT] Processus suspect détecté : $Message" -ForegroundColor Red
            # Ajouter la logique d'alerte ici (email, SIEM, etc.)
            break
        }
    }
}

Write-Host "Surveillance des processus active. Appuyez sur Ctrl+C pour arrêter."
try { while ($true) { Start-Sleep 1 } }
finally { Get-EventSubscriber | Unregister-Event }

Configurer Windows Performance Toolkit (WPT) pour une analyse avancée :

# Créer une session ETW personnalisée pour un suivi détaillé des processus
$SessionName = "ProcessMonitoring"
$ETLFile = "C:\temp\process_trace.etl"

# Démarrer la session ETW
logman create trace $SessionName -p Microsoft-Windows-Kernel-Process -o $ETLFile -ets

# Arrêter la session après la période de collecte
# logman stop $SessionName -ets