ID d'événement Windows 4611 – LSA : Un processus de connexion de confiance a été attribué à un package d'authentification

Commencez par examiner les détails spécifiques de l'ID d'événement 4611 pour comprendre quel package d'authentification et quel processus de connexion sont impliqués.

1. Ouvrez Observateur d'événements en appuyant sur Win + R, en tapant eventvwr.msc, et en appuyant sur Entrée
2. Accédez à Journaux Windows → Sécurité
3. Filtrez pour l'ID d'événement 4611 en cliquant avec le bouton droit sur le journal Sécurité et en sélectionnant Filtrer le journal actuel
4. Entrez 4611 dans le champ ID d'événements et cliquez sur OK
5. Double-cliquez sur une entrée récente de l'ID d'événement 4611 pour voir les détails
6. Examinez l'onglet Général pour le nom du package d'authentification et les informations sur le processus de connexion
7. Vérifiez l'onglet Détails pour des informations techniques supplémentaires, y compris les ID de processus et les identifiants de package

Les détails de l'événement montreront quel package d'authentification a été assigné à un processus de connexion de confiance, vous aidant à faire le lien avec les changements ou installations récents du système.

Utilisez PowerShell pour analyser de manière programmatique les occurrences de l'ID d'événement 4611 et identifier des motifs ou des anomalies.

1. Ouvrez PowerShell en tant qu'administrateur
2. Interrogez les entrées récentes de l'ID d'événement 4611 :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4611} -MaxEvents 20 | Format-Table TimeCreated, Id, LevelDisplayName, Message -Wrap

3. Pour une analyse détaillée des packages d'authentification :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4611} | ForEach-Object { [xml]$xml = $_.ToXml(); $xml.Event.EventData.Data | Where-Object {$_.Name -eq 'AuthenticationPackageName'} | Select-Object '#text' }

4. Vérifiez les événements des dernières 24 heures :

   $StartTime = (Get-Date).AddDays(-1)
   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4611; StartTime=$StartTime} | Group-Object {$_.TimeCreated.Date} | Select-Object Name, Count

5. Exportez les résultats pour une analyse plus approfondie :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4611} -MaxEvents 100 | Export-Csv -Path "C:\Temp\Event4611_Analysis.csv" -NoTypeInformation

Cette approche PowerShell vous permet d'identifier des tendances, des attributions inhabituelles de packages d'authentification ou de corréler des événements avec des changements système.

Examinez le registre pour comprendre quels paquets d'authentification sont configurés et validez leur légitimité.

1. Ouvrez l'Éditeur du Registre en appuyant sur Win + R, en tapant regedit, et en appuyant sur Entrée
2. Accédez à la clé des paquets d'authentification LSA :
   HKLM\SYSTEM\CurrentControlSet\Control\Lsa
3. Examinez la valeur Authentication Packages pour voir les DLL d'authentification configurées
4. Vérifiez la valeur Security Packages pour des fournisseurs de sécurité supplémentaires
5. Vérifiez que chaque paquet listé existe dans le répertoire système :

   $AuthPackages = (Get-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\Lsa" -Name "Authentication Packages")."Authentication Packages"
   foreach ($package in $AuthPackages) {
       $path = "$env:SystemRoot\System32\$package.dll"
       if (Test-Path $path) {
           Get-ItemProperty $path | Select-Object Name, VersionInfo
       } else {
           Write-Warning "Package $package.dll not found"
       }
   }

6. Pour les paquets de notification, vérifiez :
   HKLM\SYSTEM\CurrentControlSet\Control\Lsa\Notification Packages

Enquêter sur la santé et la configuration des services Windows liés à l'authentification qui déclenchent l'ID d'événement 4611.

1. Vérifier l'état des services d'authentification critiques :

   $AuthServices = @('LanmanServer', 'LanmanWorkstation', 'Netlogon', 'NTDS', 'KDC')
   foreach ($service in $AuthServices) {
       try {
           Get-Service -Name $service -ErrorAction Stop | Select-Object Name, Status, StartType
       } catch {
           Write-Host "Service $service not found (normal on workstations)" -ForegroundColor Yellow
       }
   }

2. Examiner les dépendances de service qui pourraient affecter l'authentification :

   Get-Service -Name 'LanmanServer' | Select-Object -ExpandProperty ServicesDependedOn

3. Vérifier les redémarrages récents de services dans le journal Système :

   Get-WinEvent -FilterHashtable @{LogName='System'; Id=7036; StartTime=(Get-Date).AddHours(-24)} | Where-Object {$_.Message -match 'authentication|logon|security'} | Format-Table TimeCreated, Message -Wrap

4. Vérifier la connectivité du contrôleur de domaine (systèmes joints au domaine) :

   nltest /dsgetdc:$env:USERDNSDOMAIN

5. Tester la fonctionnalité du package d'authentification :

   klist tickets

Cette méthode aide à identifier les problèmes liés aux services qui pourraient causer des attributions ou des échecs anormaux de packages d'authentification.

Configurez l'audit avancé pour obtenir des informations plus approfondies sur le comportement des packages d'authentification et les préoccupations potentielles en matière de sécurité.

1. Activez l'audit détaillé de LSA en utilisant la stratégie de groupe ou auditpol :

   auditpol /set /subcategory:"Other Logon/Logoff Events" /success:enable /failure:enable

2. Activez l'audit des modifications de la politique d'authentification :

   auditpol /set /subcategory:"Authentication Policy Change" /success:enable /failure:enable

3. Vérifiez les paramètres actuels de la politique d'audit :

   auditpol /get /category:"Logon/Logoff"

4. Surveillez les installations suspectes de packages d'authentification en créant un filtre de journal d'événements personnalisé :

   $Query = @"
   
     
       *[System[EventID=4611] and EventData[Data[@Name='AuthenticationPackageName'] and (contains(., 'unknown') or contains(., 'custom'))]]
     
   
   "@
   Get-WinEvent -FilterXml $Query

5. Créez une tâche planifiée pour surveiller les affectations inhabituelles de packages d'authentification :

   $Action = New-ScheduledTaskAction -Execute "PowerShell.exe" -Argument "-Command Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4611; StartTime=(Get-Date).AddMinutes(-5)} | Out-File C:\Logs\Auth_Monitor.log -Append"
   $Trigger = New-ScheduledTaskTrigger -Once -At (Get-Date) -RepetitionInterval (New-TimeSpan -Minutes 5)
   Register-ScheduledTask -TaskName "AuthPackageMonitor" -Action $Action -Trigger $Trigger -Description "Monitor Event ID 4611 for security analysis"