Récupération des event logs effacés

Introduction

Tout le monde connaît les journaux d'évènements (ou event logs) sous Windows. C'est, en quelque sorte, l'équivalent des fichiers de logs sous Linux. Ces journaux sont visualisables via l'outil Event Viewer et sont au nombre de trois : le journal des applications, de sécurité et du système. Les noms sont assez significatifs pour éviter d'expliquer leurs rôles respectifs.

Via l'application Event Viewer, il est possible d'effacer totalement tous les enregistrements de chaque journal d'évènements. La problématique est alors la suivante : comment récupérer ces enregistrements ? Une telle problématique peut se présenter typiquement dans le cadre d'une analyse forensique lorsqu'une personne a volontairement effacé les évènements dans le but de « cacher » son activité sur le serveur en question.

La procédure expliquée ne s'applique pas à Windows Vista, le format des event logs ayant…