ID d'événement Windows 4658 – Microsoft-Windows-Security-Auditing : Le descripteur d'un objet a été fermé

Commencez par examiner les détails de l'événement pour comprendre quel objet a été accédé et par quel processus.

1. Ouvrez Observateur d'événements en appuyant sur Win + R, en tapant eventvwr.msc, et en appuyant sur Entrée
2. Accédez à Journaux Windows → Sécurité
3. Filtrez pour l'ID d'événement 4658 en cliquant avec le bouton droit sur le journal Sécurité et en sélectionnant Filtrer le journal actuel
4. Dans la boîte de dialogue de filtrage, entrez 4658 dans le champ ID d'événements et cliquez sur OK
5. Double-cliquez sur un événement 4658 pour voir les détails. Champs clés à examiner :
   • Sujet : Montre le compte utilisateur qui a fermé le handle
   • Objet : Affiche le type et le nom de l'objet
   • Informations sur le processus : Identifie l'exécutable qui a fermé le handle
   • Informations sur le handle : Contient l'ID unique du handle
6. Faites une référence croisée de l'ID du handle avec les événements 4656 correspondants pour voir quand le handle a été initialement ouvert

Utilisez PowerShell pour interroger et analyser efficacement les événements 4658 sur plusieurs systèmes ou périodes.

1. Ouvrez PowerShell en tant qu'administrateur
2. Interrogez les événements récents 4658 :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4658} -MaxEvents 50 | Select-Object TimeCreated, Id, LevelDisplayName, Message

3. Filtrez les événements par types d'objets spécifiques :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4658} | Where-Object {$_.Message -like '*Object Type:*File*'} | Select-Object TimeCreated, Message

4. Analysez les événements d'un processus spécifique :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4658} | Where-Object {$_.Message -like '*Process Name:*notepad.exe*'} | Format-Table TimeCreated, Id -AutoSize

5. Exportez les événements pour une analyse plus approfondie :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4658; StartTime=(Get-Date).AddHours(-24)} | Export-Csv -Path "C:\Temp\4658_Events.csv" -NoTypeInformation

6. Comptez les événements par type d'objet :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4658} -MaxEvents 1000 | ForEach-Object {($_.Message -split '\n' | Where-Object {$_ -like 'Object Type:*'}).Split(':')[1].Trim()} | Group-Object | Sort-Object Count -Descending

Ajustez les politiques d'audit pour contrôler quels types d'objets génèrent des événements 4658 et réduisez le bruit des journaux.

1. Ouvrez Group Policy Management Console ou Local Group Policy Editor (gpedit.msc)
2. Accédez à Configuration de l'ordinateur → Paramètres Windows → Paramètres de sécurité → Configuration avancée de la stratégie d'audit → Accès aux objets
3. Configurez des sous-catégories d'audit spécifiques:
   • Audit du système de fichiers : Contrôle l'audit des poignées de fichiers et de dossiers
   • Audit du registre : Contrôle l'audit des poignées de clés de registre
   • Audit de la manipulation des poignées : Contrôle les opérations générales sur les poignées
4. Définissez chaque politique sur Succès pour auditer les fermetures de poignées réussies, ou Succès et Échec pour un suivi complet
5. Appliquez la politique en utilisant:

   gpupdate /force

6. Vérifiez les paramètres d'audit actuels:

   auditpol /get /category:"Object Access"

7. Pour l'audit spécifique de fichiers/dossiers, configurez les SACL (Listes de contrôle d'accès système) sur les objets cibles via Propriétés → Sécurité → Avancé → Audit

Créez des pistes d'audit complètes en corrélant les événements 4658 avec les opérations de poignée associées.

1. Identifiez l'ID de la poignée à partir d'un événement 4658 que vous souhaitez enquêter
2. Recherchez l'événement 4656 correspondant (poignée ouverte) :

   $HandleId = "0x1a4c"  # Remplacez par l'ID de poignée réel
   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4656} | Where-Object {$_.Message -like "*Handle ID:*$HandleId*"} | Select-Object TimeCreated, Message

3. Cherchez tous les événements 4663 (objet accédé) avec le même ID de poignée :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4663} | Where-Object {$_.Message -like "*Handle ID:*$HandleId*"} | Select-Object TimeCreated, Message

4. Créez une chronologie de tous les événements liés à la poignée :

   $Events = @()
   $Events += Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4656} | Where-Object {$_.Message -like "*Handle ID:*$HandleId*"}
   $Events += Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4663} | Where-Object {$_.Message -like "*Handle ID:*$HandleId*"}
   $Events += Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4658} | Where-Object {$_.Message -like "*Handle ID:*$HandleId*"}
   $Events | Sort-Object TimeCreated | Format-Table TimeCreated, Id, LevelDisplayName -AutoSize

5. Exportez le cycle de vie complet de la poignée pour analyse :

   $Events | Sort-Object TimeCreated | Export-Csv -Path "C:\Temp\Handle_$HandleId_Lifecycle.csv" -NoTypeInformation

Implémentez des solutions de surveillance avancées pour l'analyse proactive des événements 4658 et l'alerte.

1. Configurez Windows Event Forwarding (WEF) pour centraliser les événements 4658 de plusieurs systèmes :

   # Sur le serveur collecteur
   wecutil qc /q
   wecutil cs subscription.xml

2. Créez un fichier XML d'abonnement d'événements personnalisé ciblant les événements 4658 :

   <Subscription xmlns="http://schemas.microsoft.com/2006/03/windows/events/subscription">
     <SubscriptionId>Handle-Closed-Events</SubscriptionId>
     <Query>
       <![CDATA[
         <QueryList>
           <Query Id="0">
             <Select Path="Security">*[System[EventID=4658]]</Select>
           </Query>
         </QueryList>
       ]]>
     </Query>
   </Subscription>

3. Configurez Windows Performance Toolkit (WPT) pour le suivi avancé des handles :

   # Installez WPT à partir du SDK Windows
   wpr -start GeneralProfile -start HandleProfile

4. Configurez une analyse automatisée avec le Planificateur de tâches :

   # Créez une tâche planifiée pour l'analyse quotidienne des 4658
   $Action = New-ScheduledTaskAction -Execute "PowerShell.exe" -Argument "-File C:\Scripts\Analyze4658Events.ps1"
   $Trigger = New-ScheduledTaskTrigger -Daily -At "02:00AM"
   Register-ScheduledTask -TaskName "Daily4658Analysis" -Action $Action -Trigger $Trigger

5. Implémentez la rotation et l'archivage des journaux pour gérer le volume des événements 4658 :

   # Configurez la taille et la rétention du journal de sécurité
   Limit-EventLog -LogName Security -MaximumSize 512MB -OverflowAction OverwriteAsNeeded