ID d'événement Windows 4689 – Sécurité : Audit de terminaison de processus

Avant que l'ID d'événement 4689 puisse apparaître, vous devez activer l'audit de terminaison de processus via la stratégie de groupe ou la stratégie de sécurité locale.

1. Ouvrez Stratégie de sécurité locale en exécutant secpol.msc en tant qu'administrateur
2. Accédez à Stratégies locales → Stratégie d'audit
3. Double-cliquez sur Suivi des processus d'audit
4. Cochez les options Succès et Échec
5. Cliquez sur OK et redémarrez le système

Pour l'audit avancé sur Windows 10/11 et Server 2019+ :

1. Exécutez gpedit.msc en tant qu'administrateur
2. Accédez à Configuration de l'ordinateur → Paramètres Windows → Paramètres de sécurité → Configuration avancée de la stratégie d'audit
3. Développez Suivi détaillé
4. Activez Audit de la terminaison des processus pour les événements de succès

# Activer via PowerShell (nécessite des droits d'administrateur)
auditpol /set /subcategory:"Process Termination" /success:enable /failure:enable

Une fois l'audit activé, les événements ID 4689 apparaîtront dans le journal de sécurité. Voici comment les localiser et les analyser :

1. Ouvrez Observateur d'événements en exécutant eventvwr.msc
2. Accédez à Journaux Windows → Sécurité
3. Dans le volet Actions, cliquez sur Filtrer le journal actuel
4. Entrez 4689 dans le champ ID d'événements
5. Cliquez sur OK pour filtrer les résultats

Utilisez PowerShell pour des requêtes plus avancées :

# Obtenir les 50 derniers événements de terminaison de processus
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4689} -MaxEvents 50 | Format-Table TimeCreated, Id, LevelDisplayName, Message -Wrap

# Filtrer par nom de processus spécifique
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4689} | Where-Object {$_.Message -like "*notepad.exe*"}

# Exporter vers CSV pour analyse
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4689} -MaxEvents 1000 | Select-Object TimeCreated, Id, LevelDisplayName, Message | Export-Csv -Path "C:\Temp\ProcessTermination.csv" -NoTypeInformation

Utilisez PowerShell pour identifier les modèles de terminaison de processus inhabituels qui pourraient indiquer des problèmes de sécurité :

# Grouper les événements de terminaison par nom de processus pour identifier les processus se terminant fréquemment
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4689} -MaxEvents 5000 | ForEach-Object {
    if ($_.Message -match 'Process Name:\s+(.+?)\r?\n') {
        $matches[1]
    }
} | Group-Object | Sort-Object Count -Descending | Select-Object Name, Count

# Trouver les processus terminés dans une fenêtre temporelle spécifique
$StartTime = (Get-Date).AddHours(-24)
$EndTime = Get-Date
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4689; StartTime=$StartTime; EndTime=$EndTime} | Format-Table TimeCreated, Message -Wrap

# Identifier les processus terminés par des utilisateurs spécifiques
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4689} | Where-Object {$_.Message -like "*DOMAIN\username*"}

Créez une fonction PowerShell personnalisée pour une analyse détaillée :

function Get-ProcessTerminationDetails {
    param(
        [int]$MaxEvents = 100,
        [string]$ProcessName = "*"
    )
    
    Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4689} -MaxEvents $MaxEvents | ForEach-Object {
        $Message = $_.Message
        $ProcessNameMatch = if ($Message -match 'Process Name:\s+(.+?)\r?\n') { $matches[1] } else { "Unknown" }
        $ProcessIdMatch = if ($Message -match 'Process ID:\s+(0x[0-9a-fA-F]+)') { $matches[1] } else { "Unknown" }
        
        if ($ProcessNameMatch -like $ProcessName) {
            [PSCustomObject]@{
                TimeCreated = $_.TimeCreated
                ProcessName = $ProcessNameMatch
                ProcessId = $ProcessIdMatch
                User = if ($Message -match 'Subject:\s+Security ID:\s+(.+?)\r?\n') { $matches[1] } else { "Unknown" }
            }
        }
    }
}

Pour une surveillance complète du cycle de vie des processus, configurez des paramètres d'audit supplémentaires et une corrélation avec l'ID d'événement 4688 :

1. Activez l'audit de la ligne de commande pour capturer les détails complets de l'exécution des processus :

# Activer l'audit des processus de ligne de commande via le registre
Set-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\Audit" -Name "ProcessCreationIncludeCmdLine_Enabled" -Value 1 -Type DWord

# Ou via la stratégie de groupe : Configuration de l'ordinateur > Modèles d'administration > Système > Création de processus d'audit > Inclure la ligne de commande dans les événements de création de processus

2. Créez un script PowerShell pour corréler la création de processus (4688) avec la terminaison (4689) :

function Get-ProcessLifecycle {
    param([string]$ProcessName)
    
    # Obtenir les événements de création de processus
    $CreationEvents = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4688} -MaxEvents 1000 | Where-Object {$_.Message -like "*$ProcessName*"}
    
    # Obtenir les événements de terminaison de processus
    $TerminationEvents = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4689} -MaxEvents 1000 | Where-Object {$_.Message -like "*$ProcessName*"}
    
    # Corréler par ID de processus et heure
    foreach ($creation in $CreationEvents) {
        $creationPid = if ($creation.Message -match 'New Process ID:\s+(0x[0-9a-fA-F]+)') { $matches[1] }
        $termination = $TerminationEvents | Where-Object {
            $_.Message -match "Process ID:\s+$creationPid" -and $_.TimeCreated -gt $creation.TimeCreated
        } | Select-Object -First 1
        
        if ($termination) {
            $duration = $termination.TimeCreated - $creation.TimeCreated
            [PSCustomObject]@{
                ProcessName = $ProcessName
                ProcessId = $creationPid
                StartTime = $creation.TimeCreated
                EndTime = $termination.TimeCreated
                Duration = $duration.ToString()
            }
        }
    }
}

Configurez la surveillance automatisée pour les modèles de terminaison de processus suspects en utilisant PowerShell et le Planificateur de tâches :

1. Créez un script de surveillance qui vérifie les modèles de terminaison inhabituels :

# ProcessTerminationMonitor.ps1
param(
    [int]$ThresholdCount = 10,
    [int]$TimeWindowMinutes = 60
)

$StartTime = (Get-Date).AddMinutes(-$TimeWindowMinutes)
$Events = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4689; StartTime=$StartTime}

# Vérifiez les processus se terminant trop fréquemment
$ProcessCounts = $Events | ForEach-Object {
    if ($_.Message -match 'Process Name:\s+(.+?)\r?\n') {
        $matches[1]
    }
} | Group-Object | Where-Object {$_.Count -gt $ThresholdCount}

if ($ProcessCounts) {
    $AlertMessage = "Taux élevé de terminaison de processus détecté:`n"
    $ProcessCounts | ForEach-Object {
        $AlertMessage += "$($_.Name): $($_.Count) terminaisons`n"
    }
    
    # Envoyer une alerte (personnaliser si nécessaire)
    Write-EventLog -LogName Application -Source "ProcessMonitor" -EventId 1001 -EntryType Warning -Message $AlertMessage
    
    # Optionnel : Envoyer une alerte par email
    # Send-MailMessage -To "admin@company.com" -From "monitor@company.com" -Subject "Process Termination Alert" -Body $AlertMessage -SmtpServer "mail.company.com"
}

2. Créez une tâche planifiée pour exécuter le script de surveillance :

# Créer une tâche planifiée pour la surveillance des processus
$Action = New-ScheduledTaskAction -Execute "PowerShell.exe" -Argument "-ExecutionPolicy Bypass -File C:\Scripts\ProcessTerminationMonitor.ps1"
$Trigger = New-ScheduledTaskTrigger -RepetitionInterval (New-TimeSpan -Minutes 15) -RepetitionDuration (New-TimeSpan -Days 365) -At (Get-Date)
$Settings = New-ScheduledTaskSettingsSet -AllowStartIfOnBatteries -DontStopIfGoingOnBatteries -StartWhenAvailable
$Principal = New-ScheduledTaskPrincipal -UserId "SYSTEM" -LogonType ServiceAccount -RunLevel Highest

Register-ScheduledTask -TaskName "ProcessTerminationMonitor" -Action $Action -Trigger $Trigger -Settings $Settings -Principal $Principal

3. Configurez le transfert d'événements Windows pour une surveillance centralisée :

# Configurer WinRM pour le transfert d'événements
winrm quickconfig -q
wecutil qc /q

# Créer un abonnement personnalisé de transfert d'événements
$SubscriptionXML = @"

    ProcessTermination
    SourceInitiated
    Forward Process Termination Events
    true
    http://schemas.microsoft.com/wbem/wsman/1/windows/EventLog
    Normal
    
            
                *[System[(EventID=4689)]]
            
        
    ]]>

"@

$SubscriptionXML | Out-File -FilePath "C:\Temp\ProcessTermination.xml"
wecutil cs "C:\Temp\ProcessTermination.xml"