ID d'événement Windows 4656 – Microsoft-Windows-Security-Auditing : Une poignée vers un objet a été demandée

Ouvrez le Visualisateur d'événements et accédez à l'événement spécifique pour comprendre les détails de la demande d'accès.

1. Appuyez sur Windows + R, tapez eventvwr.msc, et appuyez sur Entrée
2. Accédez à Journaux Windows → Sécurité
3. Utilisez Filtrer le journal actuel et entrez l'ID d'événement 4656
4. Double-cliquez sur une entrée d'ID d'événement 4656 pour voir les détails
5. Examinez l'onglet Général pour des informations de base
6. Cliquez sur l'onglet Détails et sélectionnez Vue conviviale
7. Examinez les champs clés :
   • Sujet : Compte utilisateur faisant la demande
   • Objet : Fichier cible, clé de registre ou objet système
   • Informations sur le processus : Détails de l'application demandante
   • Informations sur la demande d'accès : Permissions spécifiques demandées

Utilisez PowerShell pour interroger et analyser les entrées d'ID d'événement 4656 avec des critères spécifiques.

1. Ouvrez PowerShell en tant qu'administrateur
2. Interrogez les entrées récentes d'ID d'événement 4656 :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4656} -MaxEvents 50 | Select-Object TimeCreated, Id, LevelDisplayName, Message

3. Filtrez par types d'objets spécifiques (fichiers) :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4656} | Where-Object {$_.Message -like "*Object Type:*File*"} | Select-Object TimeCreated, Message

4. Recherchez des noms de processus spécifiques :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4656} | Where-Object {$_.Message -like "*Process Name:*notepad.exe*"}

5. Exportez les résultats pour analyse :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4656} -MaxEvents 1000 | Export-Csv -Path "C:\Temp\Event4656_Analysis.csv" -NoTypeInformation

Activez ou modifiez l'audit d'accès aux objets pour contrôler quand l'ID d'événement 4656 est généré.

1. Ouvrez l'Éditeur de stratégie de groupe :

   gpedit.msc

2. Accédez à Configuration de l'ordinateur → Paramètres Windows → Paramètres de sécurité → Configuration avancée de la stratégie d'audit → Accès aux objets
3. Configurez Audit du système de fichiers :
   • Double-cliquez sur la stratégie
   • Cochez Configurer les événements d'audit suivants
   • Sélectionnez Succès et/ou Échec
   • Cliquez sur OK
4. Pour l'audit du registre, configurez Audit du registre de la même manière
5. Appliquez l'audit à des objets spécifiques en utilisant l'Explorateur de fichiers :
   • Cliquez avec le bouton droit sur le dossier cible → Propriétés → Sécurité → Avancé
   • Cliquez sur l'onglet Audit → Ajouter
   • Sélectionnez les utilisateurs/groupes et les types d'accès à auditer
6. Mettez à jour la stratégie de groupe :

   gpupdate /force

Enquêter sur les modèles d'ID d'événement 4656 pour identifier les problèmes de sécurité ou les comportements d'accès inhabituels.

1. Créer un script PowerShell pour analyser les modèles d'accès :

   # Obtenir les événements des dernières 24 heures
   $Events = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4656; StartTime=(Get-Date).AddDays(-1)}
   
   # Regrouper par nom de processus
   $ProcessStats = $Events | ForEach-Object {
       if ($_.Message -match "Process Name:\s*(.+?)\r?\n") {
           $Matches[1]
       }
   } | Group-Object | Sort-Object Count -Descending
   
   $ProcessStats | Select-Object Name, Count

2. Identifier les tentatives d'accès à haute fréquence :

   # Trouver les processus avec des demandes d'accès excessives
   $ProcessStats | Where-Object {$_.Count -gt 100} | Format-Table -AutoSize

3. Vérifier les accès en dehors des heures de bureau :

   # Événements en dehors des heures de bureau (18h à 6h)
   $AfterHours = $Events | Where-Object {
       $Hour = $_.TimeCreated.Hour
       $Hour -lt 6 -or $Hour -gt 18
   }
   
   Write-Host "Tentatives d'accès en dehors des heures : $($AfterHours.Count)"

4. Corréler avec les événements de connexion échouée :

   # Vérifier l'événement 4625 (connexions échouées) autour de la même période
   $FailedLogons = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625; StartTime=(Get-Date).AddDays(-1)}
   Write-Host "Connexions échouées dans la même période : $($FailedLogons.Count)"

Effectuer une analyse médico-légale détaillée de l'ID d'événement 4656 pour l'enquête sur l'incident de sécurité.

1. Extraire des informations détaillées sur l'événement en utilisant l'analyse XML:

   # Analyser les données XML pour une analyse détaillée
   $Events = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4656} -MaxEvents 100
   
   foreach ($Event in $Events) {
       $XML = [xml]$Event.ToXml()
       $EventData = $XML.Event.EventData.Data
       
       $Details = @{}
       foreach ($Data in $EventData) {
           $Details[$Data.Name] = $Data.'#text'
       }
       
       [PSCustomObject]@{
           TimeCreated = $Event.TimeCreated
           SubjectUserName = $Details['SubjectUserName']
           ProcessName = $Details['ProcessName']
           ObjectName = $Details['ObjectName']
           ObjectType = $Details['ObjectType']
           AccessMask = $Details['AccessMask']
           HandleId = $Details['HandleId']
       }
   }

2. Créer une analyse chronologique:

   # Chronologie des tentatives d'accès pour un objet spécifique
   $TargetObject = "C:\Sensitive\Database.mdb"
   $Timeline = $Events | Where-Object {$_.Message -like "*$TargetObject*"} | 
       Sort-Object TimeCreated | 
       Select-Object TimeCreated, @{Name='User';Expression={($_.Message -split '\n' | Where-Object {$_ -like '*Subject:*'} | Select-Object -First 1) -replace '.*Account Name:\s*',''}}

3. Vérifier les emplacements du registre pour les mécanismes de persistance:

   # Rechercher l'accès au registre aux emplacements de persistance courants
   $PersistenceKeys = @(
       "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run",
       "HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run",
       "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce"
   )
   
   foreach ($Key in $PersistenceKeys) {
       $RegEvents = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4656} | 
           Where-Object {$_.Message -like "*$Key*"}
       if ($RegEvents) {
           Write-Host "Accès à la clé de persistance $Key : $($RegEvents.Count) événements"
       }
   }

4. Générer un rapport de sécurité:

   # Créer un rapport de sécurité complet
   $Report = @{
       TotalEvents = $Events.Count
       UniqueProcesses = ($Events | ForEach-Object {($_.Message -split '\n' | Where-Object {$_ -like '*Process Name:*'}) -replace '.*Process Name:\s*',''} | Sort-Object -Unique).Count
       UniqueUsers = ($Events | ForEach-Object {($_.Message -split '\n' | Where-Object {$_ -like '*Account Name:*'}) -replace '.*Account Name:\s*',''} | Sort-Object -Unique).Count
       TimeRange = "$($Events[-1].TimeCreated) to $($Events[0].TimeCreated)"
   }
   
   $Report | ConvertTo-Json | Out-File "C:\Temp\Event4656_SecurityReport.json"