ID d'événement Windows 4673 – Sécurité : Utilisation de privilège sensible

Commencez par examiner les entrées spécifiques de l'ID d'événement 4673 pour comprendre le contexte d'utilisation des privilèges :

1. Ouvrez Observateur d'événements → Journaux Windows → Sécurité
2. Filtrez pour l'ID d'événement 4673 en utilisant l'option de filtre dans le volet Actions
3. Double-cliquez sur les événements récents 4673 pour examiner les détails
4. Notez les champs clés suivants dans la description de l'événement :
   • Sujet : Compte utilisateur et SID effectuant l'action
   • Informations sur le processus : Nom et ID du processus utilisant le privilège
   • Privilège : Privilège spécifique exercé
   • Objet : Objet cible si applicable
5. Recoupez l'horodatage avec d'autres événements de sécurité pour le contexte

Utilisez PowerShell pour interroger plusieurs événements efficacement :

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4673} -MaxEvents 50 | Select-Object TimeCreated, Id, LevelDisplayName, Message | Format-Table -Wrap

Utilisez PowerShell pour analyser les tendances d'utilisation des privilèges et identifier les anomalies :

1. Extraire et regrouper l'utilisation des privilèges par compte utilisateur :

$Events = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4673; StartTime=(Get-Date).AddDays(-7)}
$Events | ForEach-Object {
    $xml = [xml]$_.ToXml()
    [PSCustomObject]@{
        TimeCreated = $_.TimeCreated
        User = $xml.Event.EventData.Data | Where-Object {$_.Name -eq 'SubjectUserName'} | Select-Object -ExpandProperty '#text'
        ProcessName = $xml.Event.EventData.Data | Where-Object {$_.Name -eq 'ProcessName'} | Select-Object -ExpandProperty '#text'
        Privilege = $xml.Event.EventData.Data | Where-Object {$_.Name -eq 'PrivilegeName'} | Select-Object -ExpandProperty '#text'
    }
} | Group-Object User, Privilege | Sort-Object Count -Descending

2. Identifier les combinaisons de privilèges inhabituelles ou une utilisation à haute fréquence :

# Trouver les processus utilisant plusieurs privilèges sensibles
$PrivilegeUsage = $Events | Group-Object ProcessName | Where-Object {$_.Count -gt 10}
$PrivilegeUsage | Select-Object Name, Count | Format-Table

3. Vérifier l'utilisation des privilèges en dehors des heures de bureau :

$Events | Where-Object {$_.TimeCreated.Hour -lt 8 -or $_.TimeCreated.Hour -gt 18} | Select-Object TimeCreated, User, ProcessName

Assurez-vous de configurer correctement la politique d'audit pour capturer toute utilisation de privilèges sensibles :

1. Ouvrez Éditeur de stratégie de groupe locale (gpedit.msc) ou Console de gestion des stratégies de groupe
2. Accédez à Configuration de l'ordinateur → Paramètres Windows → Paramètres de sécurité → Configuration avancée de la politique d'audit
3. Développez Utilisation des privilèges et configurez les politiques suivantes :
   • Audit de l'utilisation des privilèges sensibles : Activer pour Succès et Échec
   • Audit de l'utilisation des privilèges non sensibles : Activer pour Échec (optionnel)
4. Appliquez la politique et exécutez gpupdate /force pour actualiser les paramètres

Vérifiez la configuration de la politique d'audit à l'aide de PowerShell :

# Vérifiez les paramètres actuels de la politique d'audit
auditpol /get /category:"Privilege Use"

# Activer l'audit de l'utilisation des privilèges sensibles
auditpol /set /subcategory:"Sensitive Privilege Use" /success:enable /failure:enable

5. Configurez la taille du journal de sécurité pour accueillir le volume accru d'événements :

# Augmenter la taille maximale du journal de sécurité à 100 Mo
wevtutil sl Security /ms:104857600

# Définir la politique de rétention des journaux
wevtutil sl Security /rt:false

Chemin du registre pour la configuration manuelle : HKLM\SYSTEM\CurrentControlSet\Services\EventLog\Security

Concentrez l'enquête sur les modèles d'utilisation de privilèges à haut risque qui indiquent des menaces potentielles pour la sécurité :

1. Surveillez l'utilisation de SeDebugPrivilege pour les tentatives d'injection de processus :

# Trouver l'utilisation de SeDebugPrivilege par des processus non-système
$DebugEvents = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4673} | Where-Object {
    $_.Message -like '*SeDebugPrivilege*' -and $_.Message -notlike '*SYSTEM*'
}
$DebugEvents | Select-Object TimeCreated, @{n='User';e={($_.Message -split '\n' | Select-String 'Account Name:')[0] -replace '.*Account Name:\s*',''}}

2. Vérifiez l'abus de SeBackupPrivilege dans l'accès non autorisé aux fichiers :

# Corréler l'utilisation des privilèges de sauvegarde avec les événements d'accès aux fichiers
$BackupEvents = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4673} | Where-Object {$_.Message -like '*SeBackupPrivilege*'}
$FileAccess = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4656,4658} -MaxEvents 1000

# Trouver une corrélation temporelle entre le privilège de sauvegarde et l'accès aux fichiers sensibles
$BackupEvents | ForEach-Object {
    $BackupTime = $_.TimeCreated
    $RelatedAccess = $FileAccess | Where-Object {
        [Math]::Abs(($_.TimeCreated - $BackupTime).TotalMinutes) -lt 5
    }
    if ($RelatedAccess) {
        Write-Host "Abus potentiel de privilège de sauvegarde à $BackupTime"
    }
}

3. Analysez SeLoadDriverPrivilege pour le chargement de pilotes malveillants :

# Surveiller l'utilisation des privilèges de chargement de pilotes
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4673} | Where-Object {
    $_.Message -like '*SeLoadDriverPrivilege*'
} | Select-Object TimeCreated, @{n='ProcessName';e={($_.Message -split '\n' | Select-String 'Process Name:')[0] -replace '.*Process Name:\s*',''}}

4. Recoupez avec Windows Defender et les événements d'intégrité du système :

# Vérifiez la corrélation avec les alertes des logiciels de sécurité
Get-WinEvent -FilterHashtable @{LogName='Microsoft-Windows-Windows Defender/Operational'} -MaxEvents 100 | Where-Object {
    $_.TimeCreated -gt (Get-Date).AddHours(-24)
}

Configurez la surveillance proactive pour l'ID d'événement 4673 afin de détecter les abus de privilèges en temps réel :

1. Créez une tâche planifiée pour surveiller l'utilisation de privilèges à haut risque :

# Créer un script de surveillance
$MonitorScript = @'
$SensitivePrivileges = @('SeDebugPrivilege', 'SeLoadDriverPrivilege', 'SeTcbPrivilege')
$Events = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4673; StartTime=(Get-Date).AddMinutes(-15)}

foreach ($Event in $Events) {
    $xml = [xml]$Event.ToXml()
    $Privilege = $xml.Event.EventData.Data | Where-Object {$_.Name -eq 'PrivilegeName'} | Select-Object -ExpandProperty '#text'
    $User = $xml.Event.EventData.Data | Where-Object {$_.Name -eq 'SubjectUserName'} | Select-Object -ExpandProperty '#text'
    $Process = $xml.Event.EventData.Data | Where-Object {$_.Name -eq 'ProcessName'} | Select-Object -ExpandProperty '#text'
    
    if ($Privilege -in $SensitivePrivileges -and $User -ne 'SYSTEM') {
        Write-EventLog -LogName Application -Source 'PrivilegeMonitor' -EventId 1001 -EntryType Warning -Message "Sensitive privilege $Privilege used by $User in process $Process"
    }
}
'@

# Enregistrer le script et créer une tâche planifiée
$MonitorScript | Out-File -FilePath 'C:\Scripts\PrivilegeMonitor.ps1'
Register-ScheduledTask -TaskName 'PrivilegeMonitor' -Trigger (New-ScheduledTaskTrigger -RepetitionInterval (New-TimeSpan -Minutes 15) -Once -At (Get-Date)) -Action (New-ScheduledTaskAction -Execute 'PowerShell.exe' -Argument '-File C:\Scripts\PrivilegeMonitor.ps1')

2. Configurez le transfert d'événements Windows pour une surveillance centralisée :

# Configurer WinRM pour le transfert d'événements
winrm quickconfig -q
wecutil qc /q

# Créer une souscription pour l'ID d'événement 4673
$SubscriptionXML = @'

    PrivilegeUseMonitoring
    SourceInitiated
    Monitor sensitive privilege usage across domain
    true
    http://schemas.microsoft.com/wbem/wsman/1/windows/EventLog
    Normal
    
            
                *[System[(EventID=4673)]]
            
        
    ]]>

'@

$SubscriptionXML | Out-File -FilePath 'C:\Temp\PrivilegeSubscription.xml'
wecutil cs 'C:\Temp\PrivilegeSubscription.xml'

3. Configurez des alertes par e-mail pour l'utilisation critique de privilèges :

# Créer un script d'alerte avec notification par e-mail
$AlertScript = @'
param($EventID, $User, $Privilege, $Process)

$SMTPServer = "mail.company.com"
$From = "security-alerts@company.com"
$To = "security-team@company.com"
$Subject = "ALERT: Sensitive Privilege Usage Detected"
$Body = "Event ID: $EventID`nUser: $User`nPrivilege: $Privilege`nProcess: $Process`nTime: $(Get-Date)"

Send-MailMessage -SmtpServer $SMTPServer -From $From -To $To -Subject $Subject -Body $Body
'@

$AlertScript | Out-File -FilePath 'C:\Scripts\PrivilegeAlert.ps1'