ID d'événement Windows 4675 – Microsoft-Windows-Security-Auditing : Attribution des droits de connexion du compte utilisateur

Commencez par examiner les détails spécifiques de l'ID d'événement 4675 pour comprendre quels droits ont été modifiés et pour quel compte.

1. Ouvrez Observateur d'événements en appuyant sur Win + R, en tapant eventvwr.msc, et en appuyant sur Entrée
2. Accédez à Journaux Windows → Sécurité
3. Filtrez pour l'ID d'événement 4675 en cliquant avec le bouton droit sur le journal Sécurité et en sélectionnant Filtrer le journal actuel
4. Entrez 4675 dans le champ ID d'événements et cliquez sur OK
5. Double-cliquez sur les entrées récentes de l'ID d'événement 4675 pour examiner les détails
6. Consultez l'onglet Général pour le nom du compte, le nom du privilège et les informations sur le processus
7. Vérifiez l'onglet Détails pour des données XML supplémentaires incluant l'ID de sécurité et les détails du processus

Les champs clés à examiner incluent l'ID de sécurité du sujet (qui a initié le changement), le compte cible (quel compte a été modifié), et les privilèges (quels droits spécifiques ont été attribués ou retirés).

Utilisez PowerShell pour interroger et analyser efficacement les occurrences de l'ID d'événement 4675 sur des périodes spécifiques.

1. Ouvrez PowerShell en tant qu'administrateur
2. Interrogez les entrées récentes de l'ID d'événement 4675 :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4675} -MaxEvents 50 | Format-Table TimeCreated, Id, LevelDisplayName, Message -Wrap

3. Filtrez les événements pour une plage de temps spécifique :

   $StartTime = (Get-Date).AddDays(-7)
   $EndTime = Get-Date
   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4675; StartTime=$StartTime; EndTime=$EndTime}

4. Extrayez des informations détaillées des propriétés de l'événement :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4675} -MaxEvents 10 | ForEach-Object {
       $Event = [xml]$_.ToXml()
       [PSCustomObject]@{
           TimeCreated = $_.TimeCreated
           SubjectUserName = $Event.Event.EventData.Data | Where-Object {$_.Name -eq 'SubjectUserName'} | Select-Object -ExpandProperty '#text'
           TargetUserName = $Event.Event.EventData.Data | Where-Object {$_.Name -eq 'TargetUserName'} | Select-Object -ExpandProperty '#text'
           PrivilegeName = $Event.Event.EventData.Data | Where-Object {$_.Name -eq 'PrivilegeName'} | Select-Object -ExpandProperty '#text'
       }
   }

5. Exportez les résultats pour une analyse plus approfondie :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4675} -MaxEvents 100 | Export-Csv -Path "C:\Temp\Event4675_Analysis.csv" -NoTypeInformation

Enquêter pour savoir si les occurrences de l'ID d'événement 4675 sont corrélées avec les cycles de traitement des stratégies de groupe, qui est la cause légitime la plus courante.

1. Vérifiez les événements de traitement des stratégies de groupe dans le journal Système :

   Get-WinEvent -FilterHashtable @{LogName='System'; Id=1502,1503} -MaxEvents 20

2. Examinez les journaux opérationnels des stratégies de groupe :

   Get-WinEvent -LogName 'Microsoft-Windows-GroupPolicy/Operational' -MaxEvents 50 | Where-Object {$_.TimeCreated -gt (Get-Date).AddHours(-2)}

3. Ouvrez la Console de gestion des stratégies de groupe (gpmc.msc) pour examiner les stratégies appliquées
4. Accédez à l'ordinateur cible ou à l'objet utilisateur et vérifiez les Résultats des stratégies de groupe
5. Exécutez l'actualisation des stratégies de groupe pour tester si l'ID d'événement 4675 apparaît :

   gpupdate /force

6. Surveillez le journal de sécurité pendant le traitement des stratégies de groupe :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4675; StartTime=(Get-Date).AddMinutes(-5)} | Format-Table TimeCreated, Message -Wrap

7. Vérifiez les affectations actuelles des droits utilisateur :

   secedit /export /cfg C:\Temp\current_security_policy.inf
   notepad C:\Temp\current_security_policy.inf

Examinez si l'ID d'événement 4675 est lié aux modifications de privilèges de compte de service, qui se produisent souvent lors de l'installation de logiciels ou de la configuration de services.

1. Vérifiez les installations et modifications récentes de services :

   Get-WinEvent -FilterHashtable @{LogName='System'; Id=7034,7035,7036,7040} -MaxEvents 50 | Format-Table TimeCreated, Id, LevelDisplayName, Message -Wrap

2. Examinez les services qui s'exécutent sous des comptes spécifiques :

   Get-WmiObject Win32_Service | Where-Object {$_.StartName -ne 'LocalSystem' -and $_.StartName -ne 'NT AUTHORITY\LocalService' -and $_.StartName -ne 'NT AUTHORITY\NetworkService'} | Select-Object Name, StartName, State

3. Examinez les journaux de Windows Installer pour les installations liées aux services :

   Get-WinEvent -LogName 'Application' | Where-Object {$_.ProviderName -eq 'MsiInstaller' -and $_.TimeCreated -gt (Get-Date).AddDays(-1)} | Format-Table TimeCreated, Message -Wrap

4. Vérifiez les installations récentes de logiciels dans Programmes et fonctionnalités :

   Get-WinEvent -FilterHashtable @{LogName='Application'; ProviderName='Application'} | Where-Object {$_.Message -like '*install*' -and $_.TimeCreated -gt (Get-Date).AddDays(-1)}

5. Examinez la stratégie de sécurité locale pour les droits de connexion de service :
   Ouvrez Stratégie de sécurité locale (secpol.msc) → Stratégies locales → Attribution des droits utilisateur → Se connecter en tant que service
6. Corrélez les modifications de service avec le moment de l'ID d'événement 4675 :

   $ServiceEvents = Get-WinEvent -FilterHashtable @{LogName='System'; Id=7034,7035,7036} -MaxEvents 20
   $SecurityEvents = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4675} -MaxEvents 20
   Compare-Object $ServiceEvents.TimeCreated $SecurityEvents.TimeCreated -IncludeEqual

Mettre en œuvre une surveillance complète et une analyse médico-légale pour détecter les modifications de privilèges non autorisées et établir des modèles de comportement de référence.

1. Créer un script de surveillance PowerShell pour le suivi continu de l'ID d'événement 4675:

   # Enregistrer sous Monitor-Event4675.ps1
   $LastCheck = (Get-Date).AddMinutes(-5)
   while ($true) {
       $Events = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4675; StartTime=$LastCheck}
       foreach ($Event in $Events) {
           $EventXML = [xml]$Event.ToXml()
           $SubjectUser = ($EventXML.Event.EventData.Data | Where-Object {$_.Name -eq 'SubjectUserName'}).'#text'
           $TargetUser = ($EventXML.Event.EventData.Data | Where-Object {$_.Name -eq 'TargetUserName'}).'#text'
           $Privilege = ($EventXML.Event.EventData.Data | Where-Object {$_.Name -eq 'PrivilegeName'}).'#text'
           
           Write-Host "[$(Get-Date)] Event ID 4675 - Subject: $SubjectUser, Target: $TargetUser, Privilege: $Privilege" -ForegroundColor Yellow
       }
       $LastCheck = Get-Date
       Start-Sleep -Seconds 300
   }

2. Configurer le transfert d'événements Windows pour une surveillance centralisée:
   Configurer le service de collecte d'événements: wecutil qc
   Créer un abonnement personnalisé pour l'ID d'événement 4675
3. Mettre en œuvre une surveillance du registre pour les changements de politique de sécurité:

   $RegPath = "HKLM:\SYSTEM\CurrentControlSet\Control\Lsa"
   Get-ItemProperty -Path $RegPath | Format-List

4. Créer une documentation de référence des modèles normaux de l'ID d'événement 4675:

   # Générer un rapport de référence
   $BaselineEvents = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4675} -MaxEvents 200
   $BaselineEvents | Group-Object {($_.Message -split '\n')[0]} | Sort-Object Count -Descending | Format-Table Name, Count -Wrap

5. Configurer la taille et la rétention du journal des événements Windows pour une couverture médico-légale adéquate:

   wevtutil sl Security /ms:1073741824  # Définir le journal de sécurité à 1GB
   wevtutil sl Security /rt:false       # Désactiver le remplacement du journal

6. Intégrer avec des outils SIEM ou d'analyse de journaux en utilisant WinLogBeat ou des agents similaires
7. Configurer des alertes automatisées pour les modèles suspects:

   # Alerte sur l'ID d'événement 4675 en dehors des heures de bureau
   $CurrentHour = (Get-Date).Hour
   if ($CurrentHour -lt 8 -or $CurrentHour -gt 18) {
       $RecentEvents = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4675; StartTime=(Get-Date).AddMinutes(-10)}
       if ($RecentEvents.Count -gt 0) {
           # Envoyer une alerte - implémentez votre méthode de notification
           Write-Warning "Activité suspecte de l'ID d'événement 4675 détectée en dehors des heures de bureau"
       }
   }