La surveillance du canal d’événements Windows System a identifié un ensemble d’erreurs du système d’exploitation générées par plusieurs conditions différentes au niveau système.
Les événements étaient principalement associés à des erreurs de création d'identifiants client TLS, à des erreurs d'E/S matérielles de disque et à des échecs survenant lors de la lecture de périphériques externes.
Emplacement de l'événement
Emplacement : EventChannel
Canal : System
Le canal System a fourni les événements utilisés pour identifier l'activité anormale affectant les systèmes Windows surveillés.
Principales causes identifiées
Les événements observés dans ce cas relevaient principalement de trois catégories.
La première catégorie concernait des erreurs lors de la création d'identifiants client TLS. Ces événements étaient générés lorsque Windows rencontrait des problèmes lors de la création d'identifiants client TLS.
La deuxième catégorie concernait des erreurs d'E/S matérielles de disque. Ces événements indiquaient des problèmes d'entrée et de sortie liés aux opérations du matériel de disque.
La troisième catégorie concernait des erreurs générées lors de la lecture de périphériques externes.
Comprendre l'anomalie
L'anomalie n'était donc pas associée à un unique problème Windows. Plusieurs types d'événements System ont contribué à l'activité détectée.
Les principaux groupes d'événements étaient liés à :
des erreurs de création d'identifiants client TLS ;
des erreurs d'E/S matérielles de disque ;
des erreurs de lecture de périphériques externes.
La séparation de ces catégories d'événements offre une vision plus claire de ce qui a généré le schéma d'événements anormal.
Contexte de l'investigation
Les événements provenant du canal Windows System, l'analyse peut être menée en regroupant les événements selon leur type d'erreur spécifique et le système ou le périphérique concerné.
Cela permet de distinguer les erreurs du système d'exploitation liées à TLS des problèmes d'E/S matérielles et des échecs de lecture de périphériques externes.
Conclusion
L'anomalie dans le canal d'événements Windows System a été générée par plusieurs types d'erreurs du système d'exploitation. La plupart des événements faisaient référence à des problèmes de création d'identifiants client TLS, à des erreurs d'E/S matérielles de disque et à des erreurs survenues lorsque Windows tentait de lire des périphériques externes.
