ID d'événement Windows 4616 – Sécurité : Heure du système modifiée

Commencez par examiner les détails spécifiques de l'entrée de l'ID d'événement 4616 pour comprendre ce qui a déclenché le changement d'heure.

1. Ouvrez Observateur d'événements en appuyant sur Win + R, en tapant eventvwr.msc, et en appuyant sur Entrée
2. Accédez à Journaux Windows → Sécurité
3. Filtrez pour l'ID d'événement 4616 en cliquant avec le bouton droit sur le journal Sécurité et en sélectionnant Filtrer le journal actuel
4. Entrez 4616 dans le champ ID d'événements et cliquez sur OK
5. Double-cliquez sur un événement 4616 pour voir les informations détaillées
6. Examinez l'onglet Général pour l'horodatage et les détails de base
7. Vérifiez l'onglet Détails pour les données structurées incluant :
   • SubjectUserSid : Identifiant de sécurité de l'utilisateur qui a changé l'heure
   • SubjectUserName : Nom d'utilisateur du compte
   • ProcessName : Application qui a effectué le changement
   • PreviousTime : Heure système avant le changement
   • NewTime : Heure système après le changement

Utilisez PowerShell pour interroger et analyser efficacement les entrées d'ID d'événement 4616 sur plusieurs systèmes ou plages de temps.

1. Ouvrez PowerShell en tant qu'administrateur
2. Interrogez les événements récents de changement d'heure :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4616} -MaxEvents 50 | Format-Table TimeCreated, Id, LevelDisplayName, Message -Wrap

3. Extrayez des informations détaillées à partir d'événements spécifiques :

   $Events = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4616} -MaxEvents 10
   foreach ($Event in $Events) {
       $XML = [xml]$Event.ToXml()
       $EventData = $XML.Event.EventData.Data
       Write-Host "Time: $($Event.TimeCreated)"
       Write-Host "User: $($EventData | Where-Object {$_.Name -eq 'SubjectUserName'} | Select-Object -ExpandProperty '#text')"
       Write-Host "Process: $($EventData | Where-Object {$_.Name -eq 'ProcessName'} | Select-Object -ExpandProperty '#text')"
       Write-Host "Previous Time: $($EventData | Where-Object {$_.Name -eq 'PreviousTime'} | Select-Object -ExpandProperty '#text')"
       Write-Host "New Time: $($EventData | Where-Object {$_.Name -eq 'NewTime'} | Select-Object -ExpandProperty '#text')"
       Write-Host "---"
   }

4. Recherchez des changements d'heure suspects (grands sauts) :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4616; StartTime=(Get-Date).AddDays(-7)} | Where-Object {$_.Message -notmatch 'w32time'}

Enquêter sur la configuration du service de temps Windows pour déterminer si les changements de temps sont des événements de synchronisation légitimes.

1. Vérifier l'état actuel du service de temps :

   w32tm /query /status

2. Examiner la configuration du service de temps :

   w32tm /query /configuration

3. Examiner les sources de synchronisation du temps :

   w32tm /query /peers

4. Vérifier les paramètres du registre pour le service de temps :

   Get-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\W32Time\Parameters"

5. Examiner les paramètres de stratégie de groupe affectant la synchronisation du temps :
   • Accéder à HKLM\SOFTWARE\Policies\Microsoft\W32Time
   • Vérifier les serveurs NTP configurés et les intervalles de synchronisation
6. Vérifier la synchronisation du temps de domaine (pour les machines jointes au domaine) :

   w32tm /monitor /domain

7. Tester la synchronisation manuelle du temps :

   w32tm /resync /force

Configurez une surveillance complète pour détecter les changements de temps non autorisés et établir des modèles de comportement de base.

1. Créez une vue personnalisée dans le Visualiseur d'événements pour la surveillance des changements de temps:
   • Dans le Visualiseur d'événements, cliquez avec le bouton droit sur Vues personnalisées et sélectionnez Créer une vue personnalisée
   • Définissez le niveau d'événement sur Information
   • Entrez l'ID d'événement 4616
   • Nommer la vue "Changements de l'heure système"
2. Configurez le transfert d'événements Windows pour la journalisation centralisée:

   # Sur le serveur collecteur
   wecutil qc
   wecutil cs subscription.xml

3. Créez un script de surveillance PowerShell:

   # TimeChangeMonitor.ps1
   $LastCheck = (Get-Date).AddHours(-1)
   $Events = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4616; StartTime=$LastCheck}
   
   foreach ($Event in $Events) {
       $XML = [xml]$Event.ToXml()
       $EventData = $XML.Event.EventData.Data
       $User = $EventData | Where-Object {$_.Name -eq 'SubjectUserName'} | Select-Object -ExpandProperty '#text'
       $Process = $EventData | Where-Object {$_.Name -eq 'ProcessName'} | Select-Object -ExpandProperty '#text'
       
       # Alerte sur les changements de temps non-système
       if ($User -ne "SYSTEM" -and $Process -notmatch "w32time") {
           Write-Warning "Changement de temps suspect détecté par l'utilisateur: $User via le processus: $Process"
           # Ajoutez ici la logique d'alerte (email, SIEM, etc.)
       }
   }

4. Planifiez le script de surveillance:

   $Action = New-ScheduledTaskAction -Execute "PowerShell.exe" -Argument "-File C:\Scripts\TimeChangeMonitor.ps1"
   $Trigger = New-ScheduledTaskTrigger -Once -At (Get-Date) -RepetitionInterval (New-TimeSpan -Hours 1)
   Register-ScheduledTask -TaskName "TimeChangeMonitor" -Action $Action -Trigger $Trigger

Effectuer une analyse médico-légale détaillée pour corréler les changements de temps avec d'autres événements système et identifier les incidents de sécurité potentiels.

1. Exporter les journaux d'événements ID 4616 pour analyse :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4616; StartTime=(Get-Date).AddDays(-30)} | Export-Csv -Path "C:\Temp\TimeChanges.csv" -NoTypeInformation

2. Corréler avec d'autres événements de sécurité autour de la même période :

   # Rechercher des événements de connexion près des changements de temps
   $TimeChanges = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4616} -MaxEvents 10
   foreach ($Change in $TimeChanges) {
       $TimeWindow = $Change.TimeCreated
       $StartTime = $TimeWindow.AddMinutes(-5)
       $EndTime = $TimeWindow.AddMinutes(5)
       
       Write-Host "Analyzing events around: $TimeWindow"
       Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4624,4625; StartTime=$StartTime; EndTime=$EndTime} | Format-Table TimeCreated, Id, Message
   }

3. Vérifier les événements de création de processus :

   # Corréler avec la création de processus (ID d'événement 4688)
   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4688; StartTime=(Get-Date).AddHours(-2)} | Where-Object {$_.Message -match "timedate.cpl|w32tm.exe|powershell"}

4. Analyser les modifications du registre liées aux paramètres de temps :

   # Vérifier les changements de registre sur les clés liées au temps
   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4657} | Where-Object {$_.Message -match "W32Time|TimeZone"}

5. Générer un rapport de chronologie complet :

   # Créer une chronologie de tous les événements pertinents
   $AllEvents = @()
   $AllEvents += Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4616; StartTime=(Get-Date).AddDays(-1)}
   $AllEvents += Get-WinEvent -FilterHashtable @{LogName='System'; Id=1,12,13; StartTime=(Get-Date).AddDays(-1)}
   $AllEvents | Sort-Object TimeCreated | Export-Csv -Path "C:\Temp\TimelineAnalysis.csv"