Aller au contenuAller à l'arborescence
Arborescence Windows
  1. C:
  2. Windows
  3. System32
  4. winevt
  5. Logs
  6. Security.evtx
JournalRisque : Prudence

Security.evtx C:\Windows\System32\winevt\Logs\Security.evtx

Journal de sécurité : événements d'audit (ouvertures de session, accès aux objets) définis par la stratégie d'audit.

Mis à jour le Par AltF4 Formation

À quoi ça sert

Security.evtx est le journal d’audit de Windows : il ne contient que ce que la stratégie d’audit demande de tracer. C’est la source pour savoir qui s’est connecté, qui a changé quoi sur un compte ou un groupe, et si quelqu’un a effacé ses traces. Ses règles communes avec les autres .evtx sont sur la fiche du dossier winevt\Logs.

Ce qu’il contient

  • Les ouvertures de session réussies et échouées (par exemple 4624 et 4625).
  • Les attributions de privilèges spéciaux (4672).
  • Les créations de processus, si l’audit correspondant est activé (4688).
  • Les changements de comptes et de groupes, comme 4720 (compte créé), 4740 (compte verrouillé) ou 4732 (ajout à un groupe local), et les accès aux fichiers et aux clés de Registre, selon la stratégie.
  • L’effacement du journal lui-même (événement 1102).

Risques et bonnes pratiques

  • Effacer ce journal laisse une trace : l’événement 1102, que tout auditeur cherche en premier. En environnement réglementé, la conservation est souvent obligatoire. Exportez ou centralisez les événements (collecte d’événements, SIEM) avant toute purge.
  • Dimensionnez la taille maximale selon le volume d’audit : un journal plein qui écrase ses événements fait perdre des preuves.
  • La lecture demande des droits élevés (administrateur ou groupe Lecteurs des journaux d’événements). Les copies contiennent des noms de comptes, de machines et des adresses : protégez-les.

Commandes utiles

Fenêtre de terminal
# Derniers échecs d'ouverture de session (en administrateur)
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625} -MaxEvents 20


# Sauvegarder une copie du journal (en administrateur)
wevtutil epl Security "$env:USERPROFILE\Desktop\Security-sauvegarde.evtx"

Format

Fichier binaire XML (.evtx). Chaque événement indique son identifiant, le compte concerné, la machine source et le résultat, succès ou échec d’audit.

Rotation et archivage

Taille maximale et rétention se règlent dans les propriétés du journal ou par stratégie de groupe. Quand la rétention est configurée sur « Archiver le journal lorsqu’il est plein », les fichiers archivés sont créés dans le dossier Logs. wevtutil gl Security affiche la configuration.

Comment le lire

Observateur d’événements, « Journaux Windows », « Sécurité » (droits administrateur requis). Filtrez par identifiant d’événement. Les événements dépendent de la stratégie d’audit : si un événement attendu est absent, vérifiez d’abord la stratégie d’audit avancée.

Signaler une erreur