ID d'événement Windows 4672 – Sécurité : Privilèges spéciaux attribués à une nouvelle connexion

Commencez par examiner les privilèges spécifiques attribués et en corrélation avec la session de connexion :

1. Ouvrez Observateur d'événements → Journaux Windows → Sécurité
2. Filtrez pour l'ID d'événement 4672 en utilisant l'option de filtre
3. Double-cliquez sur l'événement pour voir les informations détaillées
4. Notez le champ ID de connexion - cela correspond à l'ID d'événement 4624
5. Examinez la section Privilèges pour voir quels droits spéciaux ont été attribués
6. Vérifiez les champs Nom du compte et Domaine du compte
7. Recoupez l'horodatage avec d'autres événements de sécurité

Recherchez des attributions de privilèges inhabituelles ou des comptes qui ne devraient pas avoir de droits élevés. L'ID de connexion vous permet de retracer la session complète depuis l'authentification jusqu'à l'utilisation des privilèges.

Utilisez PowerShell pour analyser les événements 4672 et les corréler avec les événements de connexion :

# Obtenez les événements récents 4672 avec détails
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4672} -MaxEvents 50 | 
  Select-Object TimeCreated, @{Name='Account';Expression={$_.Properties[1].Value}}, 
  @{Name='LogonID';Expression={$_.Properties[3].Value}}, 
  @{Name='Privileges';Expression={$_.Properties[4].Value}}

# Corréler avec les événements de connexion (4624)
$LogonEvents = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4624} -MaxEvents 100
$PrivEvents = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4672} -MaxEvents 100

# Correspondance par ID de connexion
$LogonEvents | ForEach-Object {
  $LogonID = $_.Properties[7].Value
  $MatchingPriv = $PrivEvents | Where-Object {$_.Properties[3].Value -eq $LogonID}
  if ($MatchingPriv) {
    [PSCustomObject]@{
      Time = $_.TimeCreated
      Account = $_.Properties[5].Value
      LogonType = $_.Properties[8].Value
      Privileges = $MatchingPriv.Properties[4].Value
    }
  }
}

Cette corrélation révèle quels comptes reçoivent des privilèges élevés et par quels moyens de connexion.

Créer une surveillance ciblée pour les attributions de privilèges sensibles :

# Surveiller les privilèges dangereux
$DangerousPrivs = @('SeDebugPrivilege', 'SeBackupPrivilege', 'SeRestorePrivilege', 
                    'SeTakeOwnershipPrivilege', 'SeLoadDriverPrivilege')

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4672} -MaxEvents 200 | 
  Where-Object {
    $PrivilegeText = $_.Properties[4].Value
    $DangerousPrivs | Where-Object {$PrivilegeText -like "*$_*"}
  } | Select-Object TimeCreated, 
    @{Name='Account';Expression={$_.Properties[1].Value}}, 
    @{Name='Domain';Expression={$_.Properties[2].Value}}, 
    @{Name='Privileges';Expression={$_.Properties[4].Value}}

# Configurer une surveillance continue
Register-WinEvent -Query "*[System[EventID=4672]]" -Action {
  $Event = $Event.SourceEventArgs.NewEvent
  $Account = $Event.Properties[1].Value
  $Privileges = $Event.Properties[4].Value
  
  if ($Privileges -match 'SeDebugPrivilege|SeBackupPrivilege') {
    Write-Host "ALERTE : Privilège sensible attribué à $Account à $(Get-Date)" -ForegroundColor Red
  }
}

Cette approche se concentre sur les privilèges les plus sensibles en matière de sécurité qui pourraient indiquer une compromission ou des violations de politique.

Vérifiez la stratégie de groupe et les politiques de sécurité locales qui accordent des privilèges spéciaux :

1. Ouvrez Stratégie de sécurité locale (secpol.msc) ou Gestion des stratégies de groupe
2. Accédez à Configuration de l'ordinateur → Paramètres Windows → Paramètres de sécurité → Politiques locales → Attribution des droits utilisateur
3. Examinez les politiques telles que :
• Se connecter en tant que service (SeServiceLogonRight)
• Sauvegarder les fichiers et répertoires (SeBackupPrivilege)
• Déboguer les programmes (SeDebugPrivilege)
• Charger et décharger les pilotes de périphériques (SeLoadDriverPrivilege)
4. Vérifiez quels comptes ou groupes se voient attribuer ces droits
5. Utilisez PowerShell pour auditer les attributions actuelles :

# Exporter les attributions actuelles des droits utilisateur
secedit /export /cfg C:\temp\current_rights.inf
Get-Content C:\temp\current_rights.inf | Select-String "Se.*Privilege"

# Vérifier les attributions de privilèges spécifiques
whoami /priv

# Pour les systèmes distants
Invoke-Command -ComputerName SERVER01 -ScriptBlock {
  secedit /export /cfg C:\temp\rights.inf
  Get-Content C:\temp\rights.inf | Select-String "SeBackupPrivilege|SeDebugPrivilege"
}

Comparez les attributions de politiques avec les comptes générant des événements 4672 pour identifier les concessions de privilèges non autorisées.

Effectuer une analyse complète pour les enquêtes de sécurité :

# Créer une base de référence pour l'attribution des privilèges
$BaselineDate = (Get-Date).AddDays(-30)
$Baseline = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4672; StartTime=$BaselineDate} | 
  Group-Object @{Expression={$_.Properties[1].Value + ':' + $_.Properties[4].Value}} | 
  Select-Object Name, Count

# Comparer l'activité actuelle à la base de référence
$Recent = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4672} -MaxEvents 500 | 
  Group-Object @{Expression={$_.Properties[1].Value + ':' + $_.Properties[4].Value}} | 
  Select-Object Name, Count

# Identifier les anomalies
$Anomalies = Compare-Object $Baseline $Recent -Property Name -IncludeEqual | 
  Where-Object {$_.SideIndicator -eq '=>'}

if ($Anomalies) {
  Write-Host "Nouvelles attributions de privilèges détectées :" -ForegroundColor Yellow
  $Anomalies | ForEach-Object {Write-Host $_.Name -ForegroundColor Red}
}

# Analyse approfondie
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4672} -MaxEvents 1000 | 
  ForEach-Object {
    [PSCustomObject]@{
      Time = $_.TimeCreated
      Account = $_.Properties[1].Value
      Domain = $_.Properties[2].Value
      LogonID = $_.Properties[3].Value
      PrivilegeCount = ($_.Properties[4].Value -split '\r\n' | Measure-Object).Count
      HasDebugPriv = $_.Properties[4].Value -like '*SeDebugPrivilege*'
      HasBackupPriv = $_.Properties[4].Value -like '*SeBackupPrivilege*'
    }
  } | Export-Csv -Path "C:\temp\privilege_analysis.csv" -NoTypeInformation

Cette méthode établit des modèles normaux d'attribution de privilèges et identifie les écarts qui peuvent indiquer des problèmes de sécurité ou des changements de politique.