ID d'événement Windows 4674 – Sécurité : Tentative d'opération sur un objet privilégié

Commencez par examiner les entrées spécifiques de l'ID d'événement 4674 pour comprendre quels privilèges sont utilisés et par qui.

1. Ouvrez Observateur d'événements en appuyant sur Windows + R, en tapant eventvwr.msc, et en appuyant sur Entrée
2. Accédez à Journaux Windows → Sécurité
3. Dans le volet Actions, cliquez sur Filtrer le journal actuel
4. Entrez 4674 dans le champ ID d'événements et cliquez sur OK
5. Double-cliquez sur les entrées récentes de l'ID d'événement 4674 pour examiner les détails
6. Concentrez-vous sur ces champs clés dans les détails de l'événement:
   • Sujet: Nom du compte, Domaine du compte, ID de connexion
   • Privilège: Le privilège spécifique utilisé
   • Objet: Serveur d'objet, Type d'objet, Nom de l'objet
   • Informations sur le processus: ID du processus et Nom du processus
7. Cherchez des motifs dans l'utilisation des privilèges, une activité de compte inhabituelle, ou des processus inattendus exerçant des privilèges

Utilisez PowerShell pour extraire et analyser les données de l'ID d'événement 4674 de manière programmatique pour une meilleure reconnaissance des motifs.

1. Ouvrez PowerShell en tant qu'administrateur
2. Interrogez les entrées récentes de l'ID d'événement 4674 avec un filtrage détaillé :

# Obtenez les 100 dernières entrées de l'ID d'événement 4674 avec des détails clés
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4674} -MaxEvents 100 | 
  ForEach-Object {
    $xml = [xml]$_.ToXml()
    [PSCustomObject]@{
      TimeCreated = $_.TimeCreated
      SubjectUserName = $xml.Event.EventData.Data | Where-Object {$_.Name -eq 'SubjectUserName'} | Select-Object -ExpandProperty '#text'
      SubjectDomainName = $xml.Event.EventData.Data | Where-Object {$_.Name -eq 'SubjectDomainName'} | Select-Object -ExpandProperty '#text'
      PrivilegeName = $xml.Event.EventData.Data | Where-Object {$_.Name -eq 'PrivilegeName'} | Select-Object -ExpandProperty '#text'
      ObjectName = $xml.Event.EventData.Data | Where-Object {$_.Name -eq 'ObjectName'} | Select-Object -ExpandProperty '#text'
      ProcessName = $xml.Event.EventData.Data | Where-Object {$_.Name -eq 'ProcessName'} | Select-Object -ExpandProperty '#text'
    }
  } | Format-Table -AutoSize

3. Analysez les motifs d'utilisation des privilèges en regroupant les activités communes :

# Regroupez les événements par privilège pour identifier les privilèges les plus utilisés
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4674} -MaxEvents 1000 | 
  ForEach-Object {
    $xml = [xml]$_.ToXml()
    $xml.Event.EventData.Data | Where-Object {$_.Name -eq 'PrivilegeName'} | Select-Object -ExpandProperty '#text'
  } | Group-Object | Sort-Object Count -Descending

4. Exportez les résultats au format CSV pour une analyse plus approfondie dans Excel ou d'autres outils :

# Exportez l'utilisation détaillée des privilèges au format CSV
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4674} -MaxEvents 500 | 
  ForEach-Object {
    $xml = [xml]$_.ToXml()
    [PSCustomObject]@{
      TimeCreated = $_.TimeCreated
      SubjectUserName = $xml.Event.EventData.Data | Where-Object {$_.Name -eq 'SubjectUserName'} | Select-Object -ExpandProperty '#text'
      PrivilegeName = $xml.Event.EventData.Data | Where-Object {$_.Name -eq 'PrivilegeName'} | Select-Object -ExpandProperty '#text'
      ProcessName = $xml.Event.EventData.Data | Where-Object {$_.Name -eq 'ProcessName'} | Select-Object -ExpandProperty '#text'
    }
  } | Export-Csv -Path "C:\Temp\Event4674_Analysis.csv" -NoTypeInformation

Configurez correctement les stratégies d'audit pour vous assurer que l'ID d'événement 4674 capture le bon niveau de détail pour vos besoins de surveillance de la sécurité.

1. Ouvrez Group Policy Management Console ou Local Group Policy Editor (gpedit.msc)
2. Accédez à Computer Configuration → Windows Settings → Security Settings → Advanced Audit Policy Configuration → Audit Policies
3. Développez Privilege Use et configurez ces paramètres:
   • Audit Sensitive Privilege Use: Réglez sur Success pour enregistrer l'utilisation réussie des privilèges
   • Audit Non Sensitive Privilege Use: Réglez sur Success and Failure pour une surveillance complète
4. Utilisez PowerShell pour vérifier les paramètres d'audit actuels:

# Vérifiez les paramètres d'audit d'utilisation des privilèges actuels
auditpol /get /subcategory:"Sensitive Privilege Use"
auditpol /get /subcategory:"Non Sensitive Privilege Use"

5. Configurez la surveillance des privilèges spécifiques à l'aide du registre si nécessaire:

# Activez l'audit pour des privilèges spécifiques (nécessite un redémarrage)
$regPath = "HKLM\SYSTEM\CurrentControlSet\Control\Lsa\Audit"
Set-ItemProperty -Path $regPath -Name "FullPrivilegeAuditing" -Value @("SeBackupPrivilege", "SeDebugPrivilege", "SeSystemtimePrivilege") -Type MultiString

6. Appliquez la stratégie et vérifiez la génération de l'ID d'événement 4674:

# Forcer la mise à jour de la stratégie de groupe
gpupdate /force

# Testez l'utilisation des privilèges pour générer l'ID d'événement 4674
# Cette commande nécessite SeSystemtimePrivilege et générera l'événement
w32tm /resync

Configurez une surveillance automatisée pour détecter les modèles d'utilisation de privilèges suspects et les incidents de sécurité potentiels.

1. Créez un script PowerShell pour la surveillance continue de l'utilisation des privilèges à haut risque :

# Créer un script de surveillance : Monitor-PrivilegeUse.ps1
$HighRiskPrivileges = @(
    'SeDebugPrivilege',
    'SeBackupPrivilege', 
    'SeRestorePrivilege',
    'SeTakeOwnershipPrivilege',
    'SeLoadDriverPrivilege'
)

$LastCheck = (Get-Date).AddHours(-1)

Get-WinEvent -FilterHashtable @{
    LogName='Security'
    Id=4674
    StartTime=$LastCheck
} | ForEach-Object {
    $xml = [xml]$_.ToXml()
    $privilege = $xml.Event.EventData.Data | Where-Object {$_.Name -eq 'PrivilegeName'} | Select-Object -ExpandProperty '#text'
    $user = $xml.Event.EventData.Data | Where-Object {$_.Name -eq 'SubjectUserName'} | Select-Object -ExpandProperty '#text'
    $process = $xml.Event.EventData.Data | Where-Object {$_.Name -eq 'ProcessName'} | Select-Object -ExpandProperty '#text'
    
    if ($privilege -in $HighRiskPrivileges) {
        Write-Warning "Utilisation de privilège à haut risque détectée : $privilege par $user dans le processus $process à $($_.TimeCreated)"
        # Ajoutez ici la logique d'alerte (email, intégration SIEM, etc.)
    }
}

2. Configurez une tâche planifiée pour exécuter le script de surveillance :

# Créer une tâche planifiée pour la surveillance des privilèges
$Action = New-ScheduledTaskAction -Execute "PowerShell.exe" -Argument "-File C:\Scripts\Monitor-PrivilegeUse.ps1"
$Trigger = New-ScheduledTaskTrigger -Once -At (Get-Date) -RepetitionInterval (New-TimeSpan -Minutes 15) -RepetitionDuration (New-TimeSpan -Days 365)
$Settings = New-ScheduledTaskSettingsSet -AllowStartIfOnBatteries -DontStopIfGoingOnBatteries -StartWhenAvailable
$Principal = New-ScheduledTaskPrincipal -UserId "SYSTEM" -LogonType ServiceAccount -RunLevel Highest

Register-ScheduledTask -TaskName "Monitor-PrivilegeUse" -Action $Action -Trigger $Trigger -Settings $Settings -Principal $Principal

3. Configurez le transfert d'événements Windows pour une collecte centralisée :

# Configurer l'abonnement au transfert d'événements (sur le serveur collecteur)
wecutil cs subscription.xml

# Exemple de contenu subscription.xml pour l'ID d'événement 4674 :
# <?xml version="1.0" encoding="UTF-8"?>
# <Subscription xmlns="http://schemas.microsoft.com/2006/03/windows/events/subscription">
#   <SubscriptionId>PrivilegeUseCollection</SubscriptionId>
#   <Query>
#     <![CDATA[
#       <QueryList>
#         <Query Id="0">
#           <Select Path="Security">*[System[EventID=4674]]</Select>
#         </Query>
#       </QueryList>
#     ]]>
#   </Query>
# </Subscription>

4. Créez des vues personnalisées dans le Visualiseur d'événements pour l'analyse de sécurité :

# Créer un XML de vue personnalisée pour le Visualiseur d'événements
$CustomViewXML = @"
<ViewerConfig>
  <QueryConfig>
    <QueryParams>
      <Simple>
        <Channel>Security</Channel>
        <EventId>4674</EventId>
        <RelativeTimeInfo>604800000</RelativeTimeInfo>
      </Simple>
    </QueryParams>
  </QueryConfig>
</ViewerConfig>
"@

# Enregistrer dans un fichier pour l'importation dans le Visualiseur d'événements
$CustomViewXML | Out-File -FilePath "C:\Temp\PrivilegeUseView.xml" -Encoding UTF8

Effectuer une analyse médico-légale approfondie des données de l'ID d'événement 4674 pour identifier les incidents de sécurité et les modèles d'attaque.

1. Créer un script d'analyse complet qui corrèle l'utilisation des privilèges avec d'autres événements de sécurité :

# Script d'analyse de corrélation avancée
$StartTime = (Get-Date).AddDays(-7)
$EndTime = Get-Date

# Obtenir toutes les entrées de l'ID d'événement 4674 pour la période d'analyse
$PrivilegeEvents = Get-WinEvent -FilterHashtable @{
    LogName='Security'
    Id=4674
    StartTime=$StartTime
    EndTime=$EndTime
} | ForEach-Object {
    $xml = [xml]$_.ToXml()
    [PSCustomObject]@{
        TimeCreated = $_.TimeCreated
        SubjectUserSid = $xml.Event.EventData.Data | Where-Object {$_.Name -eq 'SubjectUserSid'} | Select-Object -ExpandProperty '#text'
        SubjectUserName = $xml.Event.EventData.Data | Where-Object {$_.Name -eq 'SubjectUserName'} | Select-Object -ExpandProperty '#text'
        SubjectLogonId = $xml.Event.EventData.Data | Where-Object {$_.Name -eq 'SubjectLogonId'} | Select-Object -ExpandProperty '#text'
        PrivilegeName = $xml.Event.EventData.Data | Where-Object {$_.Name -eq 'PrivilegeName'} | Select-Object -ExpandProperty '#text'
        ObjectName = $xml.Event.EventData.Data | Where-Object {$_.Name -eq 'ObjectName'} | Select-Object -ExpandProperty '#text'
        ProcessId = $xml.Event.EventData.Data | Where-Object {$_.Name -eq 'ProcessId'} | Select-Object -ExpandProperty '#text'
        ProcessName = $xml.Event.EventData.Data | Where-Object {$_.Name -eq 'ProcessName'} | Select-Object -ExpandProperty '#text'
    }
}

# Analyser les modèles d'utilisation des privilèges
$SuspiciousPatterns = $PrivilegeEvents | Group-Object SubjectUserName | Where-Object {
    $_.Count -gt 100 -or  # Volume élevé d'utilisation des privilèges
    ($_.Group.PrivilegeName | Sort-Object -Unique).Count -gt 5  # Utilisation de nombreux privilèges différents
}

Write-Host "Modèles d'utilisation des privilèges potentiellement suspects :"
$SuspiciousPatterns | ForEach-Object {
    Write-Host "Utilisateur : $($_.Name), Nombre d'événements : $($_.Count), Privilèges uniques : $(($_.Group.PrivilegeName | Sort-Object -Unique).Count)"
}

2. Corréler avec les événements de connexion pour identifier les tentatives d'escalade de privilèges :

# Corréler l'utilisation des privilèges avec les événements de connexion
$LogonEvents = Get-WinEvent -FilterHashtable @{
    LogName='Security'
    Id=@(4624, 4625)  # Connexions réussies et échouées
    StartTime=$StartTime
    EndTime=$EndTime
}

# Trouver les utilisateurs ayant eu des connexions échouées suivies d'une utilisation de privilèges
$CorrelatedEvents = foreach ($privEvent in $PrivilegeEvents) {
    $relatedLogons = $LogonEvents | Where-Object {
        $xml = [xml]$_.ToXml()
        $logonUser = $xml.Event.EventData.Data | Where-Object {$_.Name -eq 'TargetUserName'} | Select-Object -ExpandProperty '#text'
        $logonUser -eq $privEvent.SubjectUserName -and
        $_.TimeCreated -le $privEvent.TimeCreated -and
        $_.TimeCreated -ge $privEvent.TimeCreated.AddHours(-1)
    }
    
    if ($relatedLogons) {
        [PSCustomObject]@{
            User = $privEvent.SubjectUserName
            PrivilegeTime = $privEvent.TimeCreated
            Privilege = $privEvent.PrivilegeName
            RelatedLogons = $relatedLogons.Count
            Process = $privEvent.ProcessName
        }
    }
}

$CorrelatedEvents | Format-Table -AutoSize

3. Générer un rapport de sécurité complet :

# Générer un rapport d'analyse de sécurité détaillé
$ReportData = @{
    AnalysisPeriod = "$StartTime to $EndTime"
    TotalPrivilegeEvents = $PrivilegeEvents.Count
    UniqueUsers = ($PrivilegeEvents.SubjectUserName | Sort-Object -Unique).Count
    UniquePrivileges = ($PrivilegeEvents.PrivilegeName | Sort-Object -Unique).Count
    TopPrivileges = $PrivilegeEvents | Group-Object PrivilegeName | Sort-Object Count -Descending | Select-Object -First 10
    TopUsers = $PrivilegeEvents | Group-Object SubjectUserName | Sort-Object Count -Descending | Select-Object -First 10
    SuspiciousActivity = $SuspiciousPatterns
}

# Exporter le rapport complet
$ReportData | ConvertTo-Json -Depth 3 | Out-File -FilePath "C:\Temp\PrivilegeUseReport_$(Get-Date -Format 'yyyyMMdd_HHmmss').json"

Write-Host "Analyse de sécurité terminée. Rapport enregistré dans C:\Temp\"