ID d'événement Windows 4662 – Sécurité : Audit d'accès aux objets

Commencez par examiner les détails spécifiques de l'événement 4662 pour comprendre quel objet a été accédé et par qui.

1. Ouvrez Observateur d'événements en appuyant sur Win + R, en tapant eventvwr.msc, et en appuyant sur Entrée
2. Accédez à Journaux Windows → Sécurité
3. Filtrez pour l'ID d'événement 4662 en cliquant avec le bouton droit sur le journal Sécurité et en sélectionnant Filtrer le journal actuel
4. Dans la boîte de dialogue de filtrage, entrez 4662 dans le champ ID d'événements et cliquez sur OK
5. Double-cliquez sur un événement 4662 pour voir ses propriétés
6. Examinez l'onglet Général pour obtenir des informations clés:
   • Sujet: Montre le compte utilisateur qui a effectué l'opération
   • Objet: Affiche le nom et le type de l'objet qui a été accédé
   • Informations sur le processus: Révèle quel processus a initié l'accès
   • Informations sur la demande d'accès: Détaille les autorisations spécifiques demandées

Utilisez PowerShell pour interroger et analyser efficacement les occurrences de l'événement 4662 sur votre système.

1. Ouvrez PowerShell en tant qu'administrateur
2. Interrogez les entrées récentes de l'événement 4662 :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4662} -MaxEvents 50 | Format-Table TimeCreated, Id, LevelDisplayName, Message -Wrap

3. Filtrez les événements par compte utilisateur spécifique :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4662} | Where-Object {$_.Message -like "*username*"} | Select-Object TimeCreated, Message

4. Recherchez des événements liés à des objets spécifiques :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4662} | Where-Object {$_.Message -like "*C:\Sensitive\*"} | Format-List

5. Exportez les résultats filtrés pour analyse :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4662; StartTime=(Get-Date).AddDays(-7)} | Export-Csv -Path "C:\Temp\Event4662_Analysis.csv" -NoTypeInformation

Configurez correctement l'audit d'accès aux objets pour contrôler quand l'événement 4662 est généré et réduire le bruit.

1. Ouvrez Éditeur de stratégie de groupe locale en exécutant gpedit.msc
2. Accédez à Configuration de l'ordinateur → Paramètres Windows → Paramètres de sécurité → Configuration avancée de la stratégie d'audit → Stratégies d'audit → Accès aux objets
3. Configurez les politiques suivantes selon vos besoins:
   • Audit du système de fichiers: Activer pour l'audit d'accès aux fichiers et dossiers
   • Audit du registre: Activer pour l'audit d'accès aux clés de registre
   • Audit de la manipulation des poignées: Activer pour le suivi détaillé des poignées d'objets
4. Pour l'audit spécifique de fichiers ou dossiers, cliquez avec le bouton droit sur l'objet cible dans l'Explorateur
5. Sélectionnez Propriétés → Sécurité → Avancé → onglet Audit
6. Cliquez sur Ajouter pour configurer une nouvelle entrée d'audit
7. Sélectionnez l'utilisateur ou le groupe à auditer et spécifiez les opérations à surveiller
8. Appliquez la politique en utilisant:

   gpupdate /force

Analyser les modèles de l'événement 4662 pour identifier les incidents de sécurité potentiels ou les tentatives d'accès non autorisées.

1. Créer un script PowerShell pour analyser les modèles d'accès :

   # Obtenir les événements des dernières 24 heures
   $Events = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4662; StartTime=(Get-Date).AddDays(-1)}
   
   # Regrouper par compte utilisateur
   $UserAccess = $Events | ForEach-Object {
       $xml = [xml]$_.ToXml()
       [PSCustomObject]@{
           Time = $_.TimeCreated
           User = $xml.Event.EventData.Data | Where-Object {$_.Name -eq 'SubjectUserName'} | Select-Object -ExpandProperty '#text'
           ObjectName = $xml.Event.EventData.Data | Where-Object {$_.Name -eq 'ObjectName'} | Select-Object -ExpandProperty '#text'
       }
   } | Group-Object User
   
   $UserAccess | Sort-Object Count -Descending

2. Rechercher des modèles anormaux :
   • Heures d'accès inhabituelles (en dehors des heures de bureau)
   • Accès fréquent à des fichiers sensibles
   • Accès à partir de comptes utilisateurs inattendus
   • Tentatives d'accès échouées suivies de réussites
3. Faire une référence croisée avec l'événement 4656 (poignée demandée) et 4658 (poignée fermée) pour des chaînes d'accès complètes
4. Vérifier l'escalade de privilèges en examinant les masques d'accès utilisés
5. Corréler avec les événements de connexion réseau (4624/4625) pour identifier l'accès à distance

Effectuer une analyse médico-légale approfondie de l'événement 4662 pour les enquêtes de sécurité et les rapports de conformité.

1. Extraire des données d'événements détaillées pour l'analyse médico-légale:

   # Script avancé d'analyse d'événements
   $ForensicData = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4662; StartTime=(Get-Date).AddDays(-30)} | ForEach-Object {
       $xml = [xml]$_.ToXml()
       $eventData = @{}
       $xml.Event.EventData.Data | ForEach-Object { $eventData[$_.Name] = $_.'#text' }
       
       [PSCustomObject]@{
           TimeCreated = $_.TimeCreated
           SubjectUserSid = $eventData.SubjectUserSid
           SubjectUserName = $eventData.SubjectUserName
           SubjectDomainName = $eventData.SubjectDomainName
           ObjectServer = $eventData.ObjectServer
           ObjectType = $eventData.ObjectType
           ObjectName = $eventData.ObjectName
           ProcessName = $eventData.ProcessName
           AccessMask = $eventData.AccessMask
           Properties = $eventData.Properties
       }
   }
   
   # Exporter pour les outils d'analyse externes
   $ForensicData | Export-Csv -Path "C:\Forensics\Event4662_Detailed.csv" -NoTypeInformation

2. Analyser les valeurs de masque d'accès pour comprendre les autorisations spécifiques:

   # Décoder les valeurs de masque d'accès courantes
   function Decode-AccessMask {
       param([string]$AccessMask)
       
       $mask = [Convert]::ToInt32($AccessMask, 16)
       $permissions = @()
       
       if ($mask -band 0x1) { $permissions += "READ_DATA" }
       if ($mask -band 0x2) { $permissions += "WRITE_DATA" }
       if ($mask -band 0x4) { $permissions += "APPEND_DATA" }
       if ($mask -band 0x20) { $permissions += "EXECUTE" }
       if ($mask -band 0x40) { $permissions += "READ_ATTRIBUTES" }
       if ($mask -band 0x80) { $permissions += "WRITE_ATTRIBUTES" }
       if ($mask -band 0x10000) { $permissions += "DELETE" }
       
       return $permissions -join ", "
   }

3. Créer une analyse chronologique pour la reconstitution des incidents
4. Corréler avec les événements de création de processus (4688) pour comprendre les chaînes d'attaque
5. Générer des rapports de conformité montrant les modèles d'accès aux données
6. Configurer des alertes automatisées pour les modèles d'accès à haut risque en utilisant le transfert d'événements Windows ou l'intégration SIEM