Avant d'éteindre le système et d'effacer ou remplacer le fichier de journalisation, un hacker doté de privilèges d'administrateur peut désactiver l'audit pour éviter que Windows NT ne journalise l'événement ID 512. Mais l'audit restera désactivé lorsque le système redémarrera et l'absence de journaux d'événements vous alertera rapidement que l'audit est
Désactivation de la politique d’audit
désactivé – et donc que vous devez mener votre enquête. L’intrus peut donc être tenté de réactiver la politique officielle d’audit après avoir bidouillé le journal. Si vous
avez activé la catégorie des changements de politique dans votre politique officielle d’audit, l’action du hacker va générer un événement ID 612. Cet événement spécifie les
catégories que le hacker a activées ou désactivées, aussi bien en cas de succès que d’échec. Dans la description de l’événement ed la Figure 1, les signes moins (-)
montrent que quelqu’un a désactivé la catégorie et les signes plus (+) montrent qu’elle a été activée.
Téléchargez cette ressource
Etude « RSE 2023 » avec Atos et EcoAct
La réglementation qui oblige désormais les entreprises à agir vertueusement envers le climat, va se renforcer pour évaluer les efforts et la communication de leurs actions et leur suivi. L’enquête d’Atos vise à déterminer la connaissance des entreprises sur les réglementations et les obligations qui leur incombent. Voici 10 questions qui vous permettront de faire un état des lieux.
Les articles les plus consultés
A travers cette chaîne
A travers ITPro
Les plus consultés sur iTPro.fr
- EGERIE analyse les risques financiers liés aux risques cyber
- Vidéo « Accessibilité numérique » chez Microsoft
- Asklépian : des tests d’intrusion à 360° grâce à l’IA pour lutter contre les failles de sécurité
- Padok « faire du Cloud et de l’infrastructure, un véritable accélérateur business »
- Le numérique responsable
