La surveillance du canal d’événements Windows Security a identifié des tentatives échouées d’exécution d’une opération privilégiée lors d’une série de modifications et de mises à jour de pilotes.

Les événements concernaient le privilège Windows SeLoadDriverPrivilege et ont été observés sur deux appareils différents.

Emplacement de l'événement

Emplacement : EventChannel

Canal : Security

Les événements détectés provenaient du canal d'événements Windows Security et étaient liés à des opérations privilégiées effectuées sur les appareils concernés.

Cause des événements

Les événements ont été générés par des tentatives échouées d’exécution d’une opération privilégiée à l’aide de SeLoadDriverPrivilege.

Les échecs se sont produits lors de plusieurs modifications et mises à jour de pilotes sur deux appareils distincts.

L'activité de maintenance des pilotes a donc fourni le contexte opérationnel des échecs d'opérations privilégiées observés dans les événements de sécurité.

Pourquoi l'activité a été détectée

Des échecs répétés d'opérations privilégiées peuvent créer un changement notable dans l'activité des événements de sécurité.

Dans ce cas, plusieurs événements liés ont été générés lors des modifications et mises à jour de pilotes, créant le schéma identifié par la surveillance.

Les informations fournies relient les événements à l'activité de maintenance des pilotes plutôt qu'à une opération malveillante confirmée.

Contexte de l'investigation

Le contexte d'investigation pertinent est la relation entre les opérations privilégiées échouées et les modifications de pilotes survenues sur les deux appareils.

L’examen conjoint des événements permet d’identifier que les échecs de SeLoadDriverPrivilege sont survenus lors de multiples modifications et mises à jour de pilotes.

Conclusion

L’anomalie dans le canal d’événements Windows Security a été causée par des tentatives échouées d’exécution d’une opération privilégiée impliquant SeLoadDriverPrivilege.

L'activité s'est produite lors de plusieurs modifications et mises à jour de pilotes sur deux appareils différents, fournissant le contexte nécessaire pour expliquer les événements de sécurité détectés.