---
# System prepended metadata

title: TP Détection d’intrusion en environnement Windows et Active Directory

---

# TP Détection d’intrusion en environnement Windows et Active Directory

## Création du lab pour les besoins du TP

### Création du domaine Active Directory
### Ajout de la machine cliente
### Configuration GPO et journalisation
### Installation et configuration de Sysmon

## Installation d’un serveur Splunk (SIEM) et des agents

### Installation et démarrage de Splunk
### Configurer le serveur pour la réception de données
### Création d’une application pour déployer la configuration
### Création d’une Server Class pour déployer l’application sur les forwarders
### Déploiement du MSI Splunk Universal Forwarder sur le domaine AD
### Configuration et vérification de la présence des journaux


## Présentation du format de signature SIGMA
### Rédaction d’une première règle simple
### Conversion en SPL et mise en production de la règle
### Analyse d’une première alerte (basé sur la règle)

## Cas d’usage basé sur l’exécution d’un exécutable conçu pour le TP

## Journaux Active Directory et détection



## Exo 1
### Explorer les journaux systemes
index="labensibs" host="CLIENT" ParentCommandLine="\"C:\\Users\\Administrator\\Downloads\\ensibs2023.exe\" --Exercice1"

### Regle 
index="labensibs" process_exec="nltest.exe" OR process_exec="net.exe" OR process_exec="whoami.exe"

## Exo 2
index="labensibs" Exercice2

Capture 3
On prend le GUID qu'on met dans la recherche
Tous les logs seront donc lié au GUID correspondant à l'executable Ex2

index="labensibs" ProcessGuid="{8e50dd02-9799-63d2-460e-000000001700}"

Capture 4

On trouve les Event ID 1/12/13

Capture 5
EventID 13 créé 

Capture 6
EventID 12

Capture7
EventID 1

## Exo 3
index="labensibs" Exercice3

index="labensibs" ProcessGuid="{8e50dd02-a217-63d2-b90f-000000001700}"
Capture 1
On trouve dans targetfilename l'exo potator

On peut chercher : index="labensibs" Potator.exe

on voit un drtbivr Malicious

## Exo4
On peut voir avec le processguid de Exo4 que u, Filename a été créé

On go sur lsass.dmp
Dire ce que c'est, recupère memoire processus lsass, dedans ya identifiant et mdp

On affiche à plus ou moins 5sec

Dans TargetImahe on voit lsass.exe

Dns CallTrace on voit dbgcore.dll

ensibs.exe appelle la DLL dbgcore.dll

## Exo6
