ID d'événement Windows 4649 – Microsoft-Windows-Security-Auditing : Une attaque par rejeu a été détectée

Commencez par examiner les détails spécifiques de l'occurrence de l'ID d'événement 4649 pour comprendre l'étendue et la nature de l'attaque par rejeu détectée.

1. Ouvrez Observateur d'événements → Journaux Windows → Sécurité
2. Filtrez pour l'ID d'événement 4649 en utilisant l'option de filtre
3. Double-cliquez sur l'événement 4649 le plus récent pour voir les détails
4. Documentez les informations clés suivantes :
   • Adresse IP source de l'attaque suspectée
   • Service ou ressource cible étant accédé
   • Compte utilisateur impliqué dans la tentative de rejeu
   • Horodatage et fréquence des occurrences
5. Utilisez PowerShell pour extraire des informations détaillées sur l'événement :

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4649} -MaxEvents 20 | Select-Object TimeCreated, Id, LevelDisplayName, Message | Format-Table -Wrap

Examinez le message de l'événement pour des détails spécifiques sur le contexte d'authentification et les déclencheurs de détection de rejeu.

Les problèmes de synchronisation temporelle peuvent faire en sorte que des demandes d'authentification légitimes soient signalées comme des attaques par rejeu. Vérifiez la configuration NTP et la précision de l'heure sur votre domaine.

1. Vérifiez l'état de la synchronisation temporelle du contrôleur de domaine :

w32tm /query /status
w32tm /query /peers

2. Vérifiez la synchronisation temporelle sur les systèmes clients affectés :

w32tm /query /computer:CLIENT-NAME /status

3. Vérifiez la dérive temporelle entre les contrôleurs de domaine :

Get-ADDomainController -Filter * | ForEach-Object { Write-Host "$($_.Name): $((Get-Date) - (Get-Date (Invoke-Command -ComputerName $_.Name -ScriptBlock {Get-Date})))" }

4. Si une dérive temporelle est détectée, forcez la synchronisation temporelle :

w32tm /resync /force

Examinez les modèles d'authentification pour distinguer les problèmes d'authentification légitimes des véritables attaques de rejeu en analysant les adresses IP sources et la fréquence d'authentification.

1. Extrait et analyse les adresses IP sources des occurrences de l'ID d'événement 4649 :

$Events = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4649} -MaxEvents 100
$Events | ForEach-Object {
    $XML = [xml]$_.ToXml()
    $SourceIP = $XML.Event.EventData.Data | Where-Object {$_.Name -eq 'IpAddress'} | Select-Object -ExpandProperty '#text'
    [PSCustomObject]@{
        TimeCreated = $_.TimeCreated
        SourceIP = $SourceIP
        Message = $_.Message
    }
} | Group-Object SourceIP | Sort-Object Count -Descending

2. Vérifiez les modèles d'authentification suspects à partir d'adresses IP spécifiques :

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=@(4624,4625,4649)} -MaxEvents 500 | Where-Object {$_.Message -like '*192.168.1.100*'} | Select-Object TimeCreated, Id, Message

3. Enquêtez sur la connectivité réseau et le routage pour identifier les scénarios potentiels d'homme du milieu
4. Recoupez les adresses IP suspectes avec les flux de renseignements sur les menaces et la documentation interne du réseau
5. Examinez les journaux de pare-feu pour des modèles de trafic inhabituels provenant des adresses IP signalées

Déployez des mesures de surveillance et de sécurité avancées pour mieux détecter et prévenir les attaques par rejeu tout en réduisant les faux positifs.

1. Activez des politiques d'audit Kerberos supplémentaires via la stratégie de groupe :
2. Accédez à Configuration de l'ordinateur → Paramètres Windows → Paramètres de sécurité → Configuration avancée de la stratégie d'audit → Ouverture de session de compte
3. Activez Audit du service d'authentification Kerberos et Audit des opérations de ticket de service Kerberos
4. Configurez la surveillance PowerShell pour une analyse complète de l'authentification :

# Créer un script de surveillance pour l'analyse continue de l'ID d'événement 4649
$ScriptBlock = {
    $Events = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4649; StartTime=(Get-Date).AddHours(-1)} -ErrorAction SilentlyContinue
    if ($Events) {
        $Events | ForEach-Object {
            $XML = [xml]$_.ToXml()
            Write-EventLog -LogName Application -Source "Custom Security Monitor" -EventId 9001 -EntryType Warning -Message "Attaque par rejeu potentielle détectée : $($_.Message)"
        }
    }
}
Register-ScheduledTask -TaskName "Monitor-ReplayAttacks" -Trigger (New-ScheduledTaskTrigger -Once -At (Get-Date) -RepetitionInterval (New-TimeSpan -Minutes 15)) -Action (New-ScheduledTaskAction -Execute "PowerShell.exe" -Argument "-WindowStyle Hidden -Command $ScriptBlock")

5. Configurez les paramètres du registre pour une sécurité Kerberos améliorée :

Set-ItemProperty -Path "HKLM\SYSTEM\CurrentControlSet\Control\Lsa\Kerberos\Parameters" -Name "MaxClockSkew" -Value 300 -Type DWord
Set-ItemProperty -Path "HKLM\SYSTEM\CurrentControlSet\Control\Lsa\Kerberos\Parameters" -Name "MaxRenewAge" -Value 604800 -Type DWord

Lorsque l'ID d'événement 4649 indique une véritable attaque par rejeu, mettez en œuvre des procédures de réponse aux incidents complètes pour contenir la menace et recueillir des preuves médico-légales.

1. Isoler immédiatement les systèmes affectés et changer les mots de passe des comptes compromis :

# Réinitialiser le mot de passe pour le compte potentiellement compromis
Set-ADAccountPassword -Identity "username" -Reset -NewPassword (ConvertTo-SecureString -AsPlainText "NewComplexPassword123!" -Force)
# Forcer la déconnexion de toutes les sessions pour le compte compromis
Get-ADUser "username" | Set-ADUser -Replace @{userAccountControl="514"} # Désactiver le compte temporairement

2. Collecter des preuves médico-légales complètes :

# Exporter tous les événements de sécurité liés à l'incident
$StartTime = (Get-Date).AddDays(-7)
$EndTime = Get-Date
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=@(4624,4625,4648,4649,4672); StartTime=$StartTime; EndTime=$EndTime} | Export-Csv -Path "C:\Forensics\SecurityEvents_$(Get-Date -Format 'yyyyMMdd_HHmmss').csv" -NoTypeInformation

3. Analyser les captures de trafic réseau si disponibles en utilisant des outils comme Wireshark ou Network Monitor
4. Examiner les journaux de réplication Active Directory pour détecter des signes de vol de crédentiels :

Get-WinEvent -FilterHashtable @{LogName='Directory Service'; Id=@(1644,1645)} -MaxEvents 100

5. Mettre en œuvre des mesures de confinement immédiates :
6. Bloquer les adresses IP suspectes au niveau du pare-feu
7. Forcer le renouvellement des tickets Kerberos sur tout le domaine
8. Activer une surveillance supplémentaire sur les comptes de service critiques
9. Documenter toutes les constatations et coordonner avec l'équipe de sécurité pour les activités de chasse aux menaces