From e455f35cd2bcf8948616bce1b92d408f6cdddc92 Mon Sep 17 00:00:00 2001
From: Your Name <l.bourdin@ccicm.lan>
Date: Wed, 11 Feb 2026 16:44:25 +0100
Subject: [PATCH] =?UTF-8?q?suppr=20local=5Frules=20&=20cr=C3=A9a=20FIM?=
MIME-Version: 1.0
Content-Type: text/plain; charset=UTF-8
Content-Transfer-Encoding: 8bit

---
 fim-fs17101.xml | 52 +++++++++++++++++++++++++++++++++++++++++++++++++
 local_rules.xml | 38 +-----------------------------------
 2 files changed, 53 insertions(+), 37 deletions(-)
 create mode 100644 fim-fs17101.xml

diff --git a/fim-fs17101.xml b/fim-fs17101.xml
new file mode 100644
index 0000000..7d5c895
--- /dev/null
+++ b/fim-fs17101.xml
@@ -0,0 +1,52 @@
+<!-- FILE INTEGRITY MANAGER -->
+
+
+<!-- Filtre accès objet win - Supression/modif/créa -->
+<group name="windows,windows_security,">
+  <rule id="100100" level="0">
+    <if_sid>60103</if_sid>
+    <field type=pcre2 name="win.system.eventID">(4663|4659)</field>
+    <description>Alerte fichier modifié</description>
+  </rule>
+</group>
+
+<!-- Règle alerte lors de la modification d'un fichier -->
+<group name="windows,windows_security,">
+  <rule id="100101" level="5">
+    <if_sid>100100</if_sid>
+    <field name="win.system.eventID">^4663$</field>
+    <description>Alerte fichier modifié</description>
+  </rule>
+</group>
+
+
+<!-- Règle alerte lors de la suppression d'un fichier -->
+<group name="windows,windows_security,">
+  <rule id="100102" level="5">
+    <if_sid>100100</if_sid>
+    <field name="win.system.eventID">^4659$</field>
+    <description>Alerte fichier supprimé</description>
+  </rule>
+</group>
+
+
+<!-- Règle alerte lors de la création d'un fichier -->
+<group name="windows,windows_security,">
+  <rule id="100103" level="5">
+    <if_sid>100100</if_sid>
+    <field name="win.system.message">Écriture données (ou ajout fichier)</field>
+    <description>Alerte fichier Créé</description>
+  </rule>
+</group>
+
+
+<!-- CHIFFREMENT -->
+
+<!-- Alerte si suppression en masse de fichier par le même utilisateur -->
+<group name="windows,windows_security,">
+  <rule id="100110" level="15" frequency="50" timeframe="60" ignore="300">
+    <if_matched_sid>100102</if_matched_sid>
+    <same_field>win.eventdata.subjectUserName</same_field>
+    <description>Fichier supprimer en masse</description>
+  </rule>
+</group>
diff --git a/local_rules.xml b/local_rules.xml
index f671193..1b2a452 100644
--- a/local_rules.xml
+++ b/local_rules.xml
@@ -18,43 +18,7 @@
 
 </group>
 
-<!-- Règle alerte lors de la modification d'un fichier -->
-<group name="windows,windows_security,">
-  <rule id="100146" level="9">
-    <if_sid>60103</if_sid>
-    <field name="win.system.eventID">^4663$</field>
-    <description>Alerte fichier modifié</description>
-  </rule>
-</group>
-
-
-<!-- Règle alerte lors de la suppression d'un fichier -->
-<group name="windows,windows_security,">
-  <rule id="100147" level="9">
-    <if_sid>60103</if_sid>
-    <field name="win.system.eventID">^4659$</field>
-    <description>Alerte fichier supprimé</description>
-  </rule>
-</group>
-
-
-<!-- Règle alerte lors de la suppression d'un fichier -->
-<group name="windows,windows_security,">
-  <rule id="100148" level="9">
-    <if_sid>100146</if_sid>
-    <field name="win.system.message">Écriture données (ou ajout fichier)</field>
-    <description>Alerte fichier Créé</description>
-  </rule>
-</group>
-
-<!-- Alerte si modif en masse de fichier par le même utilisateur -->
-<group name="windows,windows_security,">
-  <rule id="100149" level="15" frequency="50" timeframe="60" ignore="300">
-    <if_matched_sid>100146</if_matched_sid>
-    <same_field>win.eventdata.subjectUserName</same_field>
-    <description>Fichier modifier en masse</description>
-  </rule>
-</group>
+