ID d'événement Windows 4692 – Microsoft-Windows-Security-Auditing : Une tentative de sauvegarde de la politique d'audit de sécurité a été effectuée

Commencez par examiner les détails spécifiques de l'ID d'événement 4692 pour comprendre le contexte de la tentative de sauvegarde.

1. Ouvrez Observateur d'événements en appuyant sur Win + R, en tapant eventvwr.msc, et en appuyant sur Entrée
2. Accédez à Journaux Windows → Sécurité
3. Filtrez le journal pour l'ID d'événement 4692 en cliquant avec le bouton droit sur le journal Sécurité et en sélectionnant Filtrer le journal actuel
4. Entrez 4692 dans le champ ID d'événements et cliquez sur OK
5. Double-cliquez sur l'entrée la plus récente de l'ID d'événement 4692 pour voir des informations détaillées
6. Consultez l'onglet Général pour obtenir des informations de base sur l'événement, y compris l'horodatage et le compte utilisateur
7. Vérifiez l'onglet Détails pour les données XML contenant des informations sur le processus et les paramètres de sauvegarde
8. Notez la section Sujet montrant l'identifiant de sécurité et le nom de compte de l'utilisateur qui a initié la sauvegarde

Utilisez PowerShell pour récupérer et analyser de manière programmatique les occurrences de l'ID d'événement 4692 pour l'analyse des motifs.

1. Ouvrez PowerShell en tant qu'administrateur
2. Exécutez la commande suivante pour récupérer les entrées récentes de l'ID d'événement 4692 :

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4692} -MaxEvents 50 | Format-Table TimeCreated, Id, LevelDisplayName, Message -Wrap

3. Pour une analyse plus détaillée, extrayez des propriétés spécifiques :

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4692} -MaxEvents 10 | ForEach-Object {
    $xml = [xml]$_.ToXml()
    [PSCustomObject]@{
        TimeCreated = $_.TimeCreated
        UserName = $xml.Event.EventData.Data | Where-Object {$_.Name -eq 'SubjectUserName'} | Select-Object -ExpandProperty '#text'
        ProcessName = $xml.Event.EventData.Data | Where-Object {$_.Name -eq 'ProcessName'} | Select-Object -ExpandProperty '#text'
        BackupFile = $xml.Event.EventData.Data | Where-Object {$_.Name -eq 'BackupFile'} | Select-Object -ExpandProperty '#text'
    }
}

4. Pour vérifier les tentatives de sauvegarde échouées, corrélez avec d'autres événements de politique d'audit :

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4719,4692} -MaxEvents 20 | Sort-Object TimeCreated

Vérifiez les paramètres actuels de la stratégie d'audit pour comprendre quelle configuration est sauvegardée et assurer une application correcte de la stratégie.

1. Ouvrez Invite de commandes en tant qu'administrateur
2. Affichez les paramètres actuels de la stratégie d'audit :

auditpol /get /category:*

3. Vérifiez les changements récents de stratégie qui pourraient déclencher des opérations de sauvegarde :

auditpol /get /category:"Policy Change"

4. Examinez l'emplacement du fichier de sauvegarde si spécifié dans les détails de l'événement :

Get-ChildItem -Path "C:\Windows\System32\config" -Filter "*.csv" | Where-Object {$_.Name -like "*audit*"} | Sort-Object LastWriteTime -Descending

5. Vérifiez les paramètres d'audit de la stratégie de groupe à l'aide de PowerShell :

Get-GPO -All | Where-Object {$_.DisplayName -like "*audit*"} | ForEach-Object {
    Write-Host "GPO: $($_.DisplayName)"
    Get-GPOReport -Guid $_.Id -ReportType Xml | Select-String -Pattern "audit"
}

6. Vérifiez si l'opération de sauvegarde s'est terminée avec succès en examinant le fichier de sauvegarde :

$BackupPath = "C:\temp\audit_backup.csv"
if (Test-Path $BackupPath) {
    Import-Csv $BackupPath | Select-Object -First 10
} else {
    Write-Host "Fichier de sauvegarde non trouvé à l'emplacement attendu"
}

Analysez le processus et le contexte utilisateur qui ont initié la sauvegarde de la politique d'audit pour déterminer si l'opération était légitime ou nécessite une enquête plus approfondie.

1. Extraire des informations détaillées sur le processus à partir de l'XML de l'événement :

$Events = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4692} -MaxEvents 5
foreach ($Event in $Events) {
    $xml = [xml]$Event.ToXml()
    $ProcessId = ($xml.Event.EventData.Data | Where-Object {$_.Name -eq 'ProcessId'}).'#text'
    $ProcessName = ($xml.Event.EventData.Data | Where-Object {$_.Name -eq 'ProcessName'}).'#text'
    $SubjectUserName = ($xml.Event.EventData.Data | Where-Object {$_.Name -eq 'SubjectUserName'}).'#text'
    
    Write-Host "Heure de l'événement : $($Event.TimeCreated)"
    Write-Host "Processus : $ProcessName (PID : $ProcessId)"
    Write-Host "Utilisateur : $SubjectUserName"
    Write-Host "---"
}

2. Vérifiez si le processus est toujours en cours d'exécution et recueillez des informations contextuelles supplémentaires :

Get-Process | Where-Object {$_.ProcessName -like "*audit*" -or $_.ProcessName -eq "powershell" -or $_.ProcessName -eq "cmd"} | Select-Object ProcessName, Id, StartTime, CPU

3. Examinez les événements de connexion récents pour le compte utilisateur qui a initié la sauvegarde :

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4624,4625} -MaxEvents 20 | Where-Object {$_.Message -like "*username_from_event*"} | Format-Table TimeCreated, Id, Message -Wrap

4. Vérifiez les tâches planifiées qui pourraient effectuer des sauvegardes automatisées :

Get-ScheduledTask | Where-Object {$_.TaskName -like "*audit*" -or $_.TaskName -like "*backup*"} | ForEach-Object {
    $TaskInfo = Get-ScheduledTaskInfo -TaskName $_.TaskName
    [PSCustomObject]@{
        TaskName = $_.TaskName
        State = $_.State
        LastRunTime = $TaskInfo.LastRunTime
        NextRunTime = $TaskInfo.NextRunTime
        Author = $_.Author
    }
}

Mettre en œuvre une surveillance complète des opérations de sauvegarde de la politique d'audit pour garantir une supervision appropriée et une réponse rapide aux modifications non autorisées.

1. Créer un abonnement personnalisé de transfert d'événements Windows pour une surveillance centralisée :

<Subscription xmlns="http://schemas.microsoft.com/2006/03/windows/events/subscription">
    <SubscriptionId>AuditPolicyBackup</SubscriptionId>
    <SubscriptionType>SourceInitiated</SubscriptionType>
    <Description>Surveiller les opérations de sauvegarde de la politique d'audit</Description>
    <Enabled>true</Enabled>
    <Uri>http://schemas.microsoft.com/wbem/wsman/1/windows/EventLog</Uri>
    <Query>
        <![CDATA[
        <QueryList>
            <Query Id="0">
                <Select Path="Security">*[System[EventID=4692]]</Select>
            </Query>
        </QueryList>
        ]]>
    </Query>
</Subscription>

2. Configurer des alertes basées sur PowerShell en utilisant la surveillance du journal des événements Windows :

# Créer un script de surveillance
$ScriptBlock = {
    Register-WmiEvent -Query "SELECT * FROM Win32_NTLogEvent WHERE LogFile='Security' AND EventCode=4692" -Action {
        $Event = $Event.SourceEventArgs.NewEvent
        $Message = "Sauvegarde de la politique d'audit détectée : Utilisateur=$($Event.User), Heure=$($Event.TimeGenerated)"
        Write-EventLog -LogName Application -Source "Custom Monitor" -EventId 1001 -Message $Message
        # Ajouter une notification par email ou une intégration SIEM ici
    }
}

# Enregistrer le travail de surveillance des événements
Start-Job -ScriptBlock $ScriptBlock -Name "AuditPolicyMonitor"

3. Configurer la stratégie de groupe pour auditer les événements de changement de politique :

Naviguer vers Configuration de l'ordinateur → Paramètres Windows → Paramètres de sécurité → Configuration avancée de la politique d'audit → Changement de politique et activer :

• Changement de politique d'audit - Succès et Échec
• Changement de politique d'authentification - Succès et Échec

4. Créer une fonction PowerShell personnalisée pour la surveillance régulière des sauvegardes de la politique d'audit :

function Monitor-AuditPolicyBackups {
    param(
        [int]$Hours = 24,
        [string]$OutputPath = "C:\temp\audit_policy_report.csv"
    )
    
    $StartTime = (Get-Date).AddHours(-$Hours)
    $Events = Get-WinEvent -FilterHashtable @{
        LogName = 'Security'
        Id = 4692
        StartTime = $StartTime
    } -ErrorAction SilentlyContinue
    
    $Results = foreach ($Event in $Events) {
        $xml = [xml]$Event.ToXml()
        [PSCustomObject]@{
            TimeCreated = $Event.TimeCreated
            UserName = ($xml.Event.EventData.Data | Where-Object {$_.Name -eq 'SubjectUserName'}).'#text'
            ProcessName = ($xml.Event.EventData.Data | Where-Object {$_.Name -eq 'ProcessName'}).'#text'
            BackupFile = ($xml.Event.EventData.Data | Where-Object {$_.Name -eq 'BackupFile'}).'#text'
        }
    }
    
    $Results | Export-Csv -Path $OutputPath -NoTypeInformation
    Write-Host "Rapport enregistré à : $OutputPath"
    return $Results
}

# Exemple d'utilisation
Monitor-AuditPolicyBackups -Hours 168 # Derniers 7 jours