Dans l’article « Tirer sur le déclencheur d’événements », mars 2005, je présentais les déclencheurs d’événements une fonction de Windows Server 2003, Windows XP et Windows 2000, qui permet de configurer l’OS afin qu’il exécute certains programmes quand certains ID d’événements se produisent. Ce mois-ci, bouclons notre discussion sur eventtriggers.exe en nous intéressant à d’autres options.
Encore d’autres déclencheurs d’événements
Tout d’abord, soyons précis quant à la syntaxe /create. Vous trouverez ci-après la syntaxe Eventtriggers appropriée pour ordonner à l’OS de surveiller d’éventuelles tentatives de suppression des fichiers système protégés (qui produisent l’event ID 64002) et, si une telle tentative a lieu, d’envoyer un message à un utilisateur nommé Jack dont le mot de passe est swordfish :
eventtriggers
/create /tr sysattack /eid 64002
/ru jack /rp swordfish
/tk "net send jack the system is under attack!"
Mais comment peut-on spécifier le nom de compte de Jack ? Contrairement à beaucoup trop d’utilitaires Windows, Eventtriggers reconnaît les syntaxes de domainname\username et username@domainname. Les formats bigfirm\jack et jack@bigfirm.biz donnent tous deux satisfaction.
Comment savoir quels déclencheurs d’événements sont en place dans votre système ?
Le fait de taper
eventtriggers /query
produit une liste simple d’ID de déclencheurs – des nombres qui identifient le nom et la commande de chaque déclencheur à exécuter si le déclencheur est activé. Vous pouvez ajouter les options /s systemname, /u username et /p password pour accéder à la liste des déclencheurs d’événements d’un système distant. L’ajout du commutateur /v (verbose) donne d’autres détails sur les déclencheurs. Vous pouvez aussi utiliser l’option /fo si vous voulez formater la sortie comme une table simple (le format de sortie par défaut), une liste ou un fichier CSV (comma-separated value) (en utilisant les options table, list et csv, respectivement). Par exemple, pour obtenir une liste détaillée (verbose) des déclencheurs comme un fichier CSV, tapez
eventtriggers /query /fo csv /v
Vous aurez besoin de la valeur ID du déclencheur pour supprimer celui-ci, si vous ne le voulez plus dans le système. Pour supprimer un déclencheur, utilisez la commande
eventtriggers /delete /tid <triggerID>
Pour supprimer tous les déclencheurs, utilisez un astérisque (*). Ou bien, empilez plusieurs déclencheurs que vous souhaitez éliminer, de la manière suivante :
eventtriggers /delete /tid 1 /tid 5
Téléchargez cette ressource
État des lieux de la réponse à incident de cybersécurité
Les experts de Palo Alto Networks, Unit 42 et Forrester Research livrent dans ce webinaire exclusif leurs éclairages et stratégies en matière de réponses aux incidents. Bénéficiez d'un panorama complet du paysage actuel de la réponse aux incidents et de sa relation avec la continuité de l'activité, des défis auxquels font face les entreprises et des tendances majeures qui modèlent ce domaine. Un état des lieux précieux pour les décideurs et professionnels IT.
Les articles les plus consultés
A travers cette chaîne
A travers ITPro
