ID d'événement Windows 1102 – Microsoft-Windows-Eventlog : Journal de sécurité effacé

Ouvrez Observateur d'événements et naviguez pour examiner les détails de l'ID d'événement 1102 :

1. Appuyez sur Windows + R, tapez eventvwr.msc, et appuyez sur Entrée
2. Naviguez vers Journaux Windows → Sécurité
3. Filtrez le journal pour l'ID d'événement 1102 : Clic droit sur Sécurité → Filtrer le journal actuel
4. Entrez 1102 dans le champ ID d'événements et cliquez sur OK
5. Double-cliquez sur l'entrée de l'ID d'événement 1102 pour voir les informations détaillées
6. Examinez l'onglet Général pour le compte utilisateur, l'horodatage et les détails de la session
7. Vérifiez l'onglet Détails pour les données XML brutes incluant SID et informations de connexion

Utilisez PowerShell pour récupérer et analyser les occurrences de l'ID d'événement 1102 :

# Obtenez toutes les entrées de l'ID d'événement 1102 à partir du journal de sécurité
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=1102} -MaxEvents 50

# Obtenez des informations détaillées avec une sortie formatée
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=1102} | 
    Select-Object TimeCreated, Id, LevelDisplayName, Message | 
    Format-Table -AutoSize

# Extraire les informations utilisateur de l'ID d'événement 1102
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=1102} | 
    ForEach-Object {
        $xml = [xml]$_.ToXml()
        [PSCustomObject]@{
            TimeCreated = $_.TimeCreated
            UserSID = $xml.Event.EventData.Data[0].'#text'
            AccountName = $xml.Event.EventData.Data[1].'#text'
            AccountDomain = $xml.Event.EventData.Data[2].'#text'
            LogonID = $xml.Event.EventData.Data[3].'#text'
        }
    }

Cette approche PowerShell offre un accès programmatique aux données de l'ID d'événement 1102 pour une surveillance et un reporting automatisés.

Enquêtez sur le contexte complet de la session en corrélant l'ID d'événement 1102 avec les événements de connexion associés :

# Tout d'abord, obtenez l'ID de connexion à partir de l'ID d'événement 1102
$logClearEvent = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=1102} -MaxEvents 1
$xml = [xml]$logClearEvent.ToXml()
$logonID = $xml.Event.EventData.Data[3].'#text'

# Trouvez les événements de connexion correspondants (4624) avec le même ID de connexion
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4624} | 
    Where-Object {
        $eventXml = [xml]$_.ToXml()
        $eventXml.Event.EventData.Data | 
            Where-Object {$_.Name -eq 'TargetLogonId' -and $_.'#text' -eq $logonID}
    } | Select-Object TimeCreated, Message

# Vérifiez toute activité suspecte dans la même période
$timeRange = $logClearEvent.TimeCreated.AddHours(-2)
Get-WinEvent -FilterHashtable @{
    LogName='Security'
    StartTime=$timeRange
    EndTime=$logClearEvent.TimeCreated
    Id=4625,4648,4672
} | Format-Table TimeCreated, Id, Message -AutoSize

Configurez une surveillance complète pour l'ID d'événement 1102 afin de détecter les occurrences futures :

1. Activez l'audit de sécurité avancé via la stratégie de groupe :
   • Ouvrez gpedit.msc (Éditeur de stratégie de groupe locale)
   • Accédez à Configuration de l'ordinateur → Paramètres Windows → Paramètres de sécurité → Configuration de la stratégie d'audit avancée
   • Développez Stratégies d'audit système → Changement de stratégie
   • Double-cliquez sur Changement de stratégie d'audit et activez Succès et Échec
2. Créez une tâche planifiée pour surveiller l'ID d'événement 1102 :

   # Créer un XML pour le déclencheur de tâche planifiée
   $taskXML = @'
   
   
     
       
         <QueryList><Query Id="0" Path="Security"><Select Path="Security">*[System[EventID=1102]]</Select></Query></QueryList>
       
     
     
       
         powershell.exe
         -Command "Send-MailMessage -To 'admin@company.com' -From 'security@company.com' -Subject 'ALERT: Security Log Cleared' -Body 'Event ID 1102 detected on $(hostname)' -SmtpServer 'mail.company.com'"
       
     
   
   '@
   
   # Enregistrer la tâche planifiée
   Register-ScheduledTask -TaskName "SecurityLogClearAlert" -Xml $taskXML

Effectuez une analyse médico-légale avancée lorsque l'ID d'événement 1102 indique des incidents de sécurité potentiels :

1. Vérifiez les journaux d'événements sauvegardés avant que l'effacement ne se produise :

   # Recherchez les fichiers de journaux d'événements archivés
   Get-ChildItem -Path "C:\Windows\System32\winevt\Logs\" -Filter "Archive-Security-*.evtx" | 
       Sort-Object LastWriteTime -Descending
   
   # Si des journaux de sauvegarde existent, analysez-les
   $backupLog = "C:\Windows\System32\winevt\Logs\Archive-Security-2026-03-17-12-00-00-000.evtx"
   if (Test-Path $backupLog) {
       Get-WinEvent -Path $backupLog -FilterHashtable @{Id=4624,4625,4648,4672} | 
           Where-Object {$_.TimeCreated -gt (Get-Date).AddDays(-1)} | 
           Format-Table TimeCreated, Id, Message -AutoSize
   }

2. Examinez les paramètres du registre du journal de sécurité Windows :

   # Vérifiez la configuration du journal de sécurité
   Get-ItemProperty -Path "HKLM\SYSTEM\CurrentControlSet\Services\EventLog\Security" | 
       Select-Object MaxSize, Retention, AutoBackupLogFiles
   
   # Vérifiez les autorisations du fichier journal
   Get-Acl "C:\Windows\System32\winevt\Logs\Security.evtx" | Format-List

3. Examinez l'intégrité des fichiers système et les modifications récentes :

   # Vérifiez les modifications récentes du système
   Get-WinEvent -FilterHashtable @{LogName='System'; Id=7034,7035,7036} | 
       Where-Object {$_.TimeCreated -gt (Get-Date).AddHours(-4)} | 
       Format-Table TimeCreated, Id, Message -AutoSize
   
   # Vérifiez les fichiers système critiques
   sfc /verifyonly