ID d'événement Windows 4657 – Microsoft-Windows-Security-Auditing : Valeur du registre modifiée

Commencez par examiner l'entrée spécifique de l'ID d'événement 4657 pour comprendre quelle modification du registre a eu lieu.

1. Ouvrez Observateur d'événements en appuyant sur Win + R, en tapant eventvwr.msc, et en appuyant sur Entrée
2. Accédez à Journaux Windows → Sécurité
3. Filtrez pour l'ID d'événement 4657 en cliquant avec le bouton droit sur le journal Sécurité et en sélectionnant Filtrer le journal actuel
4. Entrez 4657 dans le champ ID d'événements et cliquez sur OK
5. Double-cliquez sur un événement 4657 pour voir des informations détaillées, y compris :
   • Sujet : Compte utilisateur qui a effectué le changement
   • Objet : Clé de registre et nom de la valeur
   • Informations sur le processus : Exécutable qui a effectué la modification
   • Informations sur le changement : Anciennes et nouvelles valeurs
6. Notez le Nom du processus et l'ID du processus pour faire le lien avec d'autres événements de sécurité
7. Vérifiez l'horodatage pour établir une chronologie des modifications du registre

Utilisez PowerShell pour interroger et analyser efficacement les événements de modification du registre sur plusieurs systèmes.

1. Ouvrez PowerShell en tant qu'administrateur
2. Interrogez les événements récents de modification du registre :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4657} -MaxEvents 50 | Select-Object TimeCreated, Id, @{Name='User';Expression={$_.Properties[1].Value}}, @{Name='ProcessName';Expression={$_.Properties[11].Value}}, @{Name='ObjectName';Expression={$_.Properties[6].Value}}

3. Filtrez pour des clés de registre spécifiques d'intérêt :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4657} | Where-Object {$_.Message -like '*CurrentVersion\Run*'} | Format-Table TimeCreated, @{Name='User';Expression={$_.Properties[1].Value}}, @{Name='KeyPath';Expression={$_.Properties[6].Value}} -AutoSize

4. Exportez les résultats pour analyse :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4657} -MaxEvents 1000 | Export-Csv -Path "C:\Temp\RegistryAudit.csv" -NoTypeInformation

5. Interrogez des plages horaires spécifiques :

   $StartTime = (Get-Date).AddDays(-7)
   $EndTime = Get-Date
   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4657; StartTime=$StartTime; EndTime=$EndTime}

Assurez-vous de configurer correctement la politique d'audit pour capturer les modifications du registre pour la surveillance de la sécurité.

1. Ouvrez Stratégie de sécurité locale en exécutant secpol.msc
2. Accédez à Stratégies locales → Stratégie d'audit
3. Double-cliquez sur Audit de l'accès aux objets et activez à la fois Succès et Échec
4. Configurez la stratégie d'audit avancée via la ligne de commande :

   auditpol /set /subcategory:"Registry" /success:enable /failure:enable

5. Configurez l'audit sur des clés de registre spécifiques en utilisant PowerShell :

   $RegPath = "HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Run"
   $Acl = Get-Acl $RegPath
   $AccessRule = New-Object System.Security.AccessControl.RegistryAuditRule("Everyone", "SetValue,CreateSubKey,Delete", "None", "None", "Success,Failure")
   $Acl.SetAuditRule($AccessRule)
   Set-Acl -Path $RegPath -AclObject $Acl

6. Vérifiez que l'audit est configuré :

   Get-Acl "HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" | Select-Object -ExpandProperty Audit

7. Testez la configuration en effectuant une modification du registre et en vérifiant l'ID d'événement 4657

Analysez les entrées de l'ID d'événement 4657 pour identifier les modifications de registre potentiellement malveillantes et les incidents de sécurité.

1. Identifiez les modifications de registre à haut risque en interrogeant les emplacements de persistance :

   $SuspiciousKeys = @(
       '*\Run*',
       '*\RunOnce*',
       '*\Winlogon*',
       '*\Services*',
       '*\AppInit_DLLs*'
   )
   
   foreach ($Key in $SuspiciousKeys) {
       Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4657} | Where-Object {$_.Message -like $Key} | Select-Object TimeCreated, @{Name='User';Expression={$_.Properties[1].Value}}, @{Name='Process';Expression={$_.Properties[11].Value}}
   }

2. Recoupez avec les événements de création de processus (ID d'événement 4688) :

   $ProcessId = "1234"  # From Event 4657
   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4688} | Where-Object {$_.Properties[4].Value -eq $ProcessId}

3. Vérifiez les exécutables non signés ou suspects effectuant des modifications de registre :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4657} | ForEach-Object {
       $ProcessPath = $_.Properties[11].Value
       if (Test-Path $ProcessPath) {
           $Signature = Get-AuthenticodeSignature $ProcessPath
           if ($Signature.Status -ne "Valid") {
               Write-Output "Unsigned process: $ProcessPath modified registry at $($_.TimeCreated)"
           }
       }
   }

4. Générez une analyse chronologique :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4657} -MaxEvents 500 | Group-Object @{Expression={$_.Properties[11].Value}} | Sort-Object Count -Descending | Select-Object Name, Count

5. Exportez un rapport d'analyse détaillé :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4657} | Select-Object TimeCreated, @{Name='User';Expression={$_.Properties[1].Value}}, @{Name='ProcessName';Expression={$_.Properties[11].Value}}, @{Name='RegistryKey';Expression={$_.Properties[6].Value}}, @{Name='ValueName';Expression={$_.Properties[7].Value}} | Export-Csv "C:\Forensics\RegistryChanges.csv" -NoTypeInformation

Implémentez la surveillance d'audit du registre centralisé sur plusieurs systèmes en utilisant Windows Event Forwarding (WEF).

1. Configurez le serveur collecteur en activant WinRM :

   winrm quickconfig
   wecutil qc

2. Créez un abonnement personnalisé pour l'ID d'événement 4657 :

   <?xml version="1.0" encoding="UTF-8"?>
   <Subscription xmlns="http://schemas.microsoft.com/2006/03/windows/events/subscription">
       <SubscriptionId>RegistryAudit</SubscriptionId>
       <SubscriptionType>SourceInitiated</SubscriptionType>
       <Description>Surveillance des modifications du registre</Description>
       <Enabled>true</Enabled>
       <Uri>http://schemas.microsoft.com/wbem/wsman/1/windows/EventLog</Uri>
       <ConfigurationMode>Normal</ConfigurationMode>
       <Query>
           <![CDATA[
           <QueryList>
               <Query Id="0">
                   <Select Path="Security">*[System[EventID=4657]]</Select>
               </Query>
           </QueryList>
           ]]>
       </Query>
   </Subscription>

3. Déployez l'abonnement :

   wecutil cs C:\Subscriptions\RegistryAudit.xml

4. Configurez les ordinateurs sources via Group Policy ou PowerShell :

   winrm set winrm/config/client @{TrustedHosts="CollectorServer"}
   wecutil ss RegistryAudit /cm:Normal

5. Surveillez les événements transférés sur le collecteur :

   Get-WinEvent -LogName "ForwardedEvents" | Where-Object {$_.Id -eq 4657} | Select-Object TimeCreated, MachineName, @{Name='RegistryPath';Expression={$_.Properties[6].Value}}

6. Configurez des alertes automatisées pour les modifications critiques du registre :

   Register-WmiEvent -Query "SELECT * FROM __InstanceCreationEvent WITHIN 10 WHERE TargetInstance ISA 'Win32_NTLogEvent' AND TargetInstance.EventCode = 4657" -Action {
       $Event = $Event.SourceEventArgs.NewEvent.TargetInstance
       if ($Event.Message -like '*\Run*') {
           Send-MailMessage -To "admin@company.com" -Subject "Critical Registry Change" -Body $Event.Message -SmtpServer "mail.company.com"
       }
   }