ID d'événement Windows 4609 – Sécurité : Windows démarre

Ouvrez le Visualiseur d'événements pour examiner les détails de l'ID d'événement 4609 et vérifier les modèles de démarrage normal du système.

1. Appuyez sur Windows + R, tapez eventvwr.msc, et appuyez sur Entrée
2. Accédez à Journaux Windows → Sécurité
3. Dans le volet Actions, cliquez sur Filtrer le journal actuel
4. Entrez 4609 dans le champ ID d'événements et cliquez sur OK
5. Double-cliquez sur n'importe quelle entrée d'ID d'événement 4609 pour voir les détails
6. Vérifiez l'onglet Général pour l'horodatage et les informations de base
7. Examinez l'onglet Détails pour la structure de données XML

Utilisez PowerShell pour récupérer et analyser les entrées d'ID d'événement 4609 pour l'analyse des motifs et le reporting.

1. Ouvrez PowerShell en tant qu'administrateur
2. Interrogez les événements de démarrage récents :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4609} -MaxEvents 20 | Format-Table TimeCreated, Id, LevelDisplayName

3. Obtenez les événements de démarrage des 30 derniers jours :

   $StartDate = (Get-Date).AddDays(-30)
   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4609; StartTime=$StartDate} | Select-Object TimeCreated, @{Name='BootTime';Expression={$_.TimeCreated}}

4. Exportez l'historique de démarrage vers un fichier CSV :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4609} -MaxEvents 100 | Select-Object TimeCreated, MachineName | Export-Csv -Path "C:\Temp\StartupHistory.csv" -NoTypeInformation

5. Calculez le temps moyen entre les redémarrages :

   $Events = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4609} -MaxEvents 10
   $Intervals = for($i=0; $i -lt ($Events.Count-1); $i++) {
       ($Events[$i].TimeCreated - $Events[$i+1].TimeCreated).TotalHours
   }
   $AverageUptime = ($Intervals | Measure-Object -Average).Average
   Write-Host "Average uptime: $([math]::Round($AverageUptime, 2)) hours"

Assurez-vous de configurer correctement la politique d'audit pour garantir la génération de l'ID d'événement 4609 et optimiser la journalisation de la sécurité.

1. Ouvrez l'Éditeur de stratégie de groupe en appuyant sur Windows + R, en tapant gpedit.msc
2. Accédez à Configuration de l'ordinateur → Paramètres Windows → Paramètres de sécurité → Configuration avancée de la politique d'audit
3. Développez Politiques d'audit système → Système
4. Double-cliquez sur Audit de l'extension du système de sécurité
5. Cochez Configurer les événements d'audit suivants et sélectionnez Succès
6. Appliquez la politique et exécutez gpupdate /force
7. Vérifiez les paramètres d'audit avec PowerShell :

   auditpol /get /category:"System" /r | findstr "Security System Extension"

8. Testez en redémarrant le système et en confirmant que l'ID d'événement 4609 apparaît dans le journal de sécurité

Implémentez la surveillance PowerShell pour suivre les modèles de démarrage du système et détecter automatiquement les anomalies.

1. Créez un répertoire de script de surveillance :

   New-Item -Path "C:\Scripts\StartupMonitor" -ItemType Directory -Force

2. Créez le script de surveillance C:\Scripts\StartupMonitor\Monitor-Startup.ps1 :

   # Script de surveillance de démarrage
   $LogPath = "C:\Scripts\StartupMonitor\startup-log.txt"
   $LastBoot = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4609} -MaxEvents 1
   $BootTime = $LastBoot.TimeCreated
   $Uptime = (Get-Date) - $BootTime
   
   $LogEntry = "$(Get-Date -Format 'yyyy-MM-dd HH:mm:ss'): Démarrage à $BootTime, Temps de fonctionnement : $($Uptime.Days)j $($Uptime.Hours)h $($Uptime.Minutes)m"
   Add-Content -Path $LogPath -Value $LogEntry
   
   # Vérifiez les redémarrages inattendus (moins d'une heure de fonctionnement)
   if ($Uptime.TotalHours -lt 1) {
       Write-EventLog -LogName Application -Source "StartupMonitor" -EventId 1001 -EntryType Warning -Message "Redémarrage inattendu détecté. Heure de démarrage : $BootTime"
   }

3. Enregistrez le script en tant que tâche planifiée :

   $Action = New-ScheduledTaskAction -Execute "PowerShell.exe" -Argument "-ExecutionPolicy Bypass -File C:\Scripts\StartupMonitor\Monitor-Startup.ps1"
   $Trigger = New-ScheduledTaskTrigger -AtStartup
   $Principal = New-ScheduledTaskPrincipal -UserId "SYSTEM" -LogonType ServiceAccount
   Register-ScheduledTask -TaskName "StartupMonitor" -Action $Action -Trigger $Trigger -Principal $Principal

4. Créez une source d'événements personnalisée pour la journalisation :

   New-EventLog -LogName Application -Source "StartupMonitor"

Configurez la journalisation avancée et l'intégration SIEM pour la surveillance des démarrages au niveau de l'entreprise et l'analyse de sécurité.

1. Activez le transfert d'événements Windows pour une collecte centralisée :

   wecutil qc /q
   winrm quickconfig -q

2. Créez une requête XML personnalisée pour le transfert de l'ID d'événement 4609 :

   <QueryList>
     <Query Id="0" Path="Security">
       <Select Path="Security">*[System[EventID=4609]]</Select>
     </Query>
   </QueryList>

3. Configurez WinLogBeat pour l'intégration Elastic Stack en modifiant winlogbeat.yml :

   winlogbeat.event_logs:
     - name: Security
       event_id: 4609
       processors:
         - add_host_metadata:
             when.not.contains.tags: forwarded

4. Configurez le script d'analyse forensique PowerShell :

   # Analyse Forensique de Démarrage
   $StartupEvents = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4609} -MaxEvents 50
   $ShutdownEvents = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4608} -MaxEvents 50
   
   # Corréler les paires de démarrage/arrêt
   $BootCycles = @()
   foreach ($Startup in $StartupEvents) {
       $PriorShutdown = $ShutdownEvents | Where-Object {$_.TimeCreated -lt $Startup.TimeCreated} | Select-Object -First 1
       if ($PriorShutdown) {
           $DownTime = ($Startup.TimeCreated - $PriorShutdown.TimeCreated).TotalMinutes
           $BootCycles += [PSCustomObject]@{
               ShutdownTime = $PriorShutdown.TimeCreated
               StartupTime = $Startup.TimeCreated
               DowntimeMinutes = [math]::Round($DownTime, 2)
           }
       }
   }
   $BootCycles | Export-Csv -Path "C:\Temp\BootCycleAnalysis.csv" -NoTypeInformation

5. Créez des règles d'alerte pour les motifs anormaux :

   # Alerte sur les redémarrages fréquents (plus de 3 en 24 heures)
   $RecentStarts = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4609; StartTime=(Get-Date).AddHours(-24)}
   if ($RecentStarts.Count -gt 3) {
       Send-MailMessage -To "admin@company.com" -Subject "Alerte de Redémarrage Fréquent" -Body "Le système a redémarré $($RecentStarts.Count) fois en 24 heures" -SmtpServer "smtp.company.com"
   }