The Windows Operating System

🧠 3.1 — Architecture Windows

Windows est le système d'exploitation le plus utilisé dans les entreprises. Comprendre son architecture interne est fondamental pour tout analyste SOC, car la majorité des attaques ciblent des machines Windows.

User mode vs Kernel mode et les Protection Rings

Windows sépare strictement deux niveaux d'exécution pour protéger le système. L'architecture x86 d'Intel definit 4 niveaux de privilege (Rings), mais Windows n'en utilise que deux :

Composants cles du Kernel

Windows Executive Services (detail)

L'Executive est la partie superieure du kernel (dans ntoskrnl.exe). Il contient les gestionnaires principaux que NetAcad teste frequemment :

📁 3.2 — Système de fichiers

Le système de fichiers (file system) est la manière dont Windows organise et stocke les données sur le disque. Comprendre les systèmes de fichiers est crucial pour l'analyse forensique et la gestion des permissions.

Permissions NTFS

NTFS permet de definir des permissions granulaires via les ACL (Access Control Lists). Chaque fichier et dossier possede une DACL (Discretionary Access Control List) qui liste les ACE (Access Control Entries) definissant les utilisateurs/groupes et leurs droits.

Les 6 permissions NTFS standard

Heritage des permissions (Inheritance)

Par defaut, les fichiers et sous-dossiers heritent des permissions de leur dossier parent. Comprendre l'heritage est essentiel :

• Permissions heritees : proviennent du dossier parent, affichees en grise dans l'onglet Security
• Permissions explicites : definies directement sur le fichier/dossier, prioritaires sur les permissions heritees
• Casser l'heritage : on peut bloquer l'heritage pour un dossier specifique (clic droit > Properties > Security > Advanced > Disable inheritance). On peut alors copier les permissions existantes ou repartir de zero
• Deny vs Allow : une permission Deny (refus explicite) est toujours prioritaire sur Allow, sauf si la permission Allow est explicite et le Deny est herite

Effective Permissions (Permissions effectives)

Les permissions effectives sont les permissions reellement appliquees a un utilisateur, calculees en combinant :

1. Les permissions de l'utilisateur directement
2. Les permissions de tous les groupes dont il est membre (les permissions Allow se cumulent)
3. Les permissions Deny (qui annulent les Allow)
4. L'heritage du dossier parent

NTFS vs Share Permissions

Quand un dossier est partage en reseau, deux niveaux de permissions s'appliquent :

Alternate Data Streams (ADS)

Les ADS sont une fonctionnalité NTFS qui permet d'attacher des flux de données cachés à un fichier. Le contenu d'un ADS n'est pas visible dans l'Explorateur de fichiers ni avec la commande dir classique.

🗄️ 3.3 — Le Registre Windows (Windows Registry)

Le Registre Windows est une base de données hiérarchique qui stocke les paramètres de configuration du système, des applications et des utilisateurs. C'est un élément central pour la sécurité car de nombreux malwares l'utilisent pour persister sur le système.

Les Hives (ruches) principales

Resume des 5 Hives (tableau de reference)

Cles de Registre critiques pour la securite

Voici les emplacements du Registre les plus surveilles par les analystes, car les malwares les utilisent pour la persistence (survivre aux redemarrages) :

Autostart Locations (Run / RunOnce)

Autres cles critiques

⚙️ 3.4 — Processus et services Windows

Un processus (process) est un programme en cours d'exécution. Chaque application ouverte, chaque service système crée un ou plusieurs processus. Savoir identifier les processus normaux est essentiel pour repérer les anomalies.

Comprendre les sessions Windows

Avant d'etudier les processus, il faut comprendre le concept de sessions :

• Session 0 : reservee aux services et processus systeme. Isolee de l'interface utilisateur (Session 0 Isolation depuis Vista)
• Session 1+ : sessions des utilisateurs connectes (Session 1 = premier utilisateur, Session 2 = deuxieme, etc.)

Processus critiques de Windows

Ces processus sont toujours presents sur un systeme Windows sain. Les connaitre permet de reperer les imposteurs. Voici l'arbre de demarrage normal :

System (PID 4)
  smss.exe (Session Manager)
    csrss.exe (Session 0)
    wininit.exe (Session 0)
      services.exe
        svchost.exe (multiples)
        spoolsv.exe
        MsMpEng.exe
      lsass.exe
    csrss.exe (Session 1)
    winlogon.exe (Session 1)
      userinit.exe
        explorer.exe

Tableau recapitulatif des processus critiques

* Le parent s'est termine, donc le parent apparait comme vide ou non-existent dans les outils.

Windows Services

Un service Windows est un programme qui s'execute en arriere-plan, generalement sans interface graphique, et qui demarre automatiquement avec le systeme.

Types de demarrage des services

Commandes de gestion des services

Comment identifier un processus suspect

🛠️ 3.5 — Outils d'administration Windows

Un analyste SOC doit maitriser les outils d'administration Windows pour investiguer rapidement un systeme suspect. Voici les outils essentiels :

🔒 3.5b — Mecanismes de securite Windows

Windows integre plusieurs mecanismes de securite que tout analyste SOC doit connaitre :

📋 3.6 — Windows Event Logs

Les Event Logs (journaux d'événements) sont des enregistrements de tout ce qui se passe sur un système Windows. C'est la source de données principale pour un analyste SOC lors d'une investigation.

Types de journaux principaux

Event IDs critiques pour la sécurité

Voici les Event IDs que tout analyste SOC doit connaître par coeur :

Logon Types

L'Event ID 4624 contient un champ Logon Type qui indique comment l'utilisateur s'est connecté :

Champs importants des Event Logs

Chaque evenement Security contient des champs (fields) critiques pour l'investigation :

🔍 3.8 — Artefacts forensiques Windows

Au-delà des Event Logs, Windows génère de nombreux artefacts forensiques que les analystes SOC utilisent pour reconstituer l'activité d'un attaquant sur un système compromis.