ID d'événement Windows 4621 – LSA : Politique de l'agent de récupération de l'administrateur modifiée

Commencez par examiner les détails complets de l'événement pour comprendre quels changements d'agent de récupération ont eu lieu.

1. Ouvrez Observateur d'événements → Journaux Windows → Sécurité
2. Filtrez pour l'ID d'événement 4621 en utilisant l'option de filtre
3. Double-cliquez sur l'événement 4621 le plus récent pour voir les détails
4. Examinez l'onglet Général pour des informations de base
5. Cliquez sur l'onglet Détails et sélectionnez Vue XML pour des données complètes
6. Notez le champ SubjectUserName indiquant qui a effectué le changement
7. Vérifiez les champs RecoveryAgentName et RecoveryAgentThumbprint

Utilisez PowerShell pour interroger plusieurs événements efficacement :

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4621} -MaxEvents 20 | Select-Object TimeCreated, Id, LevelDisplayName, Message

Vérifiez la politique actuelle de l'agent de récupération EFS pour comprendre la configuration active.

1. Appuyez sur Win + R, tapez secpol.msc, et appuyez sur Entrée
2. Accédez à Stratégies de clés publiques → Système de fichiers de chiffrement
3. Cliquez avec le bouton droit sur Système de fichiers de chiffrement et sélectionnez Propriétés
4. Examinez l'onglet Général pour les certificats d'agent de récupération actuels
5. Vérifiez les détails des certificats en sélectionnant chaque certificat et en cliquant sur Afficher le certificat

Utilisez PowerShell pour énumérer les agents de récupération de manière programmatique :

# Vérifiez la politique de récupération EFS
Get-ChildItem -Path "HKLM:\SOFTWARE\Policies\Microsoft\SystemCertificates\EFS\Certificates" -ErrorAction SilentlyContinue

# Interrogez les certificats d'agent de récupération depuis le magasin de certificats
Get-ChildItem -Path "Cert:\LocalMachine\My" | Where-Object {$_.EnhancedKeyUsageList -match "File Recovery"}

Enquêter pour savoir si des modifications de la stratégie de groupe ont déclenché la modification de l'agent de récupération.

1. Ouvrir Group Policy Management Console (gpmc.msc) sur un contrôleur de domaine
2. Accéder au GPO pertinent affectant l'ordinateur cible
3. Modifier le GPO et aller à Configuration de l'ordinateur → Stratégies → Paramètres Windows → Paramètres de sécurité → Stratégies de clé publique
4. Vérifier les paramètres du Système de fichiers de chiffrement pour les modifications récentes
5. Examiner l'historique des versions du GPO et les dates de modification

Utiliser PowerShell pour vérifier le traitement de la stratégie de groupe :

# Vérifier le dernier rafraîchissement de la stratégie de groupe
Get-WinEvent -FilterHashtable @{LogName='System'; Id=1502} -MaxEvents 5

# Examiner les événements de la stratégie de groupe liés à EFS
Get-WinEvent -FilterHashtable @{LogName='Application'; ProviderName='Group Policy EFS'} -MaxEvents 10 -ErrorAction SilentlyContinue

# Forcer le rafraîchissement de la stratégie de groupe pour tester
gpupdate /force

Vérifier le journal de traitement de la stratégie de groupe :

Get-WinEvent -FilterHashtable @{LogName='Microsoft-Windows-GroupPolicy/Operational'; Id=4016,4017} -MaxEvents 10

Examinez les modifications du magasin de certificats qui pourraient avoir déclenché la mise à jour de la stratégie de l'agent de récupération.

1. Ouvrez Microsoft Management Console (mmc.exe)
2. Ajoutez le composant logiciel enfichable Certificats pour le compte d'ordinateur
3. Accédez à Personnel → Certificats
4. Cherchez les certificats avec Récupération de fichiers dans les objectifs prévus
5. Vérifiez les dates de validité des certificats et les informations sur l'émetteur
6. Examinez le magasin des Autorités de certification racines de confiance pour les changements

Utilisez PowerShell pour auditer les changements de certificats :

# Lister tous les certificats avec la capacité de récupération de fichiers
Get-ChildItem -Path "Cert:\LocalMachine\My" | Where-Object {
    $_.EnhancedKeyUsageList.FriendlyName -contains "File Recovery"
} | Select-Object Subject, Issuer, NotAfter, Thumbprint

# Vérifier les événements d'audit du magasin de certificats
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4876,4877,4878} -MaxEvents 20 -ErrorAction SilentlyContinue

Surveillez les événements d'installation de certificats :

# Événements des services de certificats
Get-WinEvent -FilterHashtable @{LogName='Application'; ProviderName='Microsoft-Windows-CertificateServices-Deployment'} -MaxEvents 10 -ErrorAction SilentlyContinue

Effectuer une analyse approfondie des modifications de la politique de l'agent de récupération en utilisant l'inspection du registre et des techniques PowerShell avancées.

1. Ouvrir Éditeur du Registre (regedit.exe) en tant qu'administrateur
2. Accéder à HKLM\SOFTWARE\Policies\Microsoft\SystemCertificates\EFS
3. Examiner la sous-clé Certificates pour les données de certificat de l'agent de récupération
4. Vérifier HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\EFS pour la configuration EFS
5. Examiner HKLM\SYSTEM\CurrentControlSet\Control\Lsa pour les paramètres d'audit LSA

Utiliser une analyse PowerShell avancée :

# Exporter la politique EFS actuelle pour analyse
$efsPolicy = Get-ItemProperty -Path "HKLM:\SOFTWARE\Policies\Microsoft\SystemCertificates\EFS\*" -ErrorAction SilentlyContinue
$efsPolicy | Format-List

# Décoder les certificats de l'agent de récupération depuis le registre
$certPath = "HKLM:\SOFTWARE\Policies\Microsoft\SystemCertificates\EFS\Certificates"
Get-ChildItem -Path $certPath -ErrorAction SilentlyContinue | ForEach-Object {
    $certData = Get-ItemProperty -Path $_.PSPath -Name "Blob" -ErrorAction SilentlyContinue
    if ($certData) {
        $cert = New-Object System.Security.Cryptography.X509Certificates.X509Certificate2
        $cert.Import($certData.Blob)
        [PSCustomObject]@{
            Subject = $cert.Subject
            Issuer = $cert.Issuer
            Thumbprint = $cert.Thumbprint
            ValidFrom = $cert.NotBefore
            ValidTo = $cert.NotAfter
        }
    }
}

Créer un rapport d'audit complet :

# Générer un rapport d'audit de l'agent de récupération EFS
$report = @()
$events = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4621} -MaxEvents 50 -ErrorAction SilentlyContinue
foreach ($event in $events) {
    $xml = [xml]$event.ToXml()
    $report += [PSCustomObject]@{
        TimeCreated = $event.TimeCreated
        User = $xml.Event.EventData.Data | Where-Object {$_.Name -eq 'SubjectUserName'} | Select-Object -ExpandProperty '#text'
        Domain = $xml.Event.EventData.Data | Where-Object {$_.Name -eq 'SubjectDomainName'} | Select-Object -ExpandProperty '#text'
        RecoveryAgent = $xml.Event.EventData.Data | Where-Object {$_.Name -eq 'RecoveryAgentName'} | Select-Object -ExpandProperty '#text'
    }
}
$report | Export-Csv -Path "C:\temp\EFS_Recovery_Agent_Changes.csv" -NoTypeInformation