ID d'événement Windows 4696 – Microsoft-Windows-Security-Auditing : Jeton principal attribué au processus

Commencez par examiner les entrées spécifiques de l'ID d'événement 4696 pour comprendre le contexte de création du processus et les détails du jeton de sécurité.

1. Ouvrez Observateur d'événements en appuyant sur Win + R, en tapant eventvwr.msc, et en appuyant sur Entrée
2. Accédez à Journaux Windows → Sécurité
3. Dans le volet Actions, cliquez sur Filtrer le journal actuel
4. Entrez 4696 dans le champ ID d'événements et cliquez sur OK
5. Double-cliquez sur les entrées récentes de l'ID d'événement 4696 pour examiner les détails
6. Examinez les champs clés, y compris :
   • Sujet : Compte utilisateur qui a créé le processus
   • Nouvelles informations sur le processus : Exécutable cible et ID du processus
   • Informations sur le jeton : Contexte de sécurité et privilèges
   • Informations sur le processus : Détails du processus parent

Portez une attention particulière aux processus créés avec des privilèges élevés ou des relations parent-enfant inhabituelles qui pourraient indiquer une activité suspecte.

Utilisez PowerShell pour interroger et analyser efficacement les entrées d'ID d'événement 4696 avec des critères de filtrage spécifiques.

1. Ouvrez PowerShell en tant qu'administrateur
2. Interrogez les entrées récentes de l'ID d'événement 4696 :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4696} -MaxEvents 50 | Format-Table TimeCreated, Id, LevelDisplayName, Message -Wrap

3. Filtrez les événements par plage horaire spécifique :

   $StartTime = (Get-Date).AddHours(-24)
   $EndTime = Get-Date
   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4696; StartTime=$StartTime; EndTime=$EndTime}

4. Extrait des informations détaillées sur le processus :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4696} -MaxEvents 20 | ForEach-Object {
       $Event = [xml]$_.ToXml()
       [PSCustomObject]@{
           TimeCreated = $_.TimeCreated
           ProcessName = $Event.Event.EventData.Data | Where-Object {$_.Name -eq 'NewProcessName'} | Select-Object -ExpandProperty '#text'
           ProcessId = $Event.Event.EventData.Data | Where-Object {$_.Name -eq 'NewProcessId'} | Select-Object -ExpandProperty '#text'
           SubjectUserName = $Event.Event.EventData.Data | Where-Object {$_.Name -eq 'SubjectUserName'} | Select-Object -ExpandProperty '#text'
       }
   }

5. Exportez les résultats pour une analyse plus approfondie :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4696} -MaxEvents 100 | Export-Csv -Path "C:\Temp\Event4696_Analysis.csv" -NoTypeInformation

Assurez-vous de configurer correctement la politique d'audit pour capturer les entrées de l'ID d'événement 4696 avec des niveaux de détail appropriés.

1. Ouvrez Stratégie de sécurité locale en exécutant secpol.msc en tant qu'administrateur
2. Accédez à Paramètres de sécurité → Configuration avancée de la stratégie d'audit → Stratégies d'audit → Suivi détaillé
3. Double-cliquez sur Audit de la création de processus
4. Cochez les options Succès et Échec
5. Cliquez sur OK pour appliquer les modifications
6. Pour les environnements de stratégie de groupe, configurez via :
   • Configuration de l'ordinateur → Stratégies → Paramètres Windows → Paramètres de sécurité → Configuration avancée de la stratégie d'audit
7. Vérifiez les paramètres d'audit actuels avec PowerShell :

   auditpol /get /category:"Detailed Tracking"

8. Activez l'audit de la ligne de commande pour un suivi de processus amélioré :

   reg add "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\Audit" /v ProcessCreationIncludeCmdLine_Enabled /t REG_DWORD /d 1 /f

9. Redémarrez le système ou exécutez gpupdate /force pour appliquer les modifications de la politique

Effectuer une analyse détaillée des informations de jeton de sécurité dans l'ID d'événement 4696 pour identifier une élévation de privilèges ou des attributions de jetons suspectes.

1. Extraire les informations de jeton des événements en utilisant PowerShell :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4696} -MaxEvents 10 | ForEach-Object {
       $Event = [xml]$_.ToXml()
       $TokenType = $Event.Event.EventData.Data | Where-Object {$_.Name -eq 'TokenType'} | Select-Object -ExpandProperty '#text'
       $ImpersonationLevel = $Event.Event.EventData.Data | Where-Object {$_.Name -eq 'ImpersonationLevel'} | Select-Object -ExpandProperty '#text'
       $NewProcessName = $Event.Event.EventData.Data | Where-Object {$_.Name -eq 'NewProcessName'} | Select-Object -ExpandProperty '#text'
       
       Write-Output "Process: $NewProcessName | Token Type: $TokenType | Impersonation: $ImpersonationLevel"
   }

2. Vérifier les processus avec des privilèges élevés :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4696} | Where-Object {
       $_.Message -match "TokenType.*Primary" -and $_.Message -match "ImpersonationLevel.*%%1833"
   } | Select-Object TimeCreated, Message

3. Identifier les relations inhabituelles parent-enfant des processus :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4696} -MaxEvents 50 | ForEach-Object {
       $Event = [xml]$_.ToXml()
       $ParentProcessName = $Event.Event.EventData.Data | Where-Object {$_.Name -eq 'ParentProcessName'} | Select-Object -ExpandProperty '#text'
       $NewProcessName = $Event.Event.EventData.Data | Where-Object {$_.Name -eq 'NewProcessName'} | Select-Object -ExpandProperty '#text'
       
       if ($ParentProcessName -and $NewProcessName) {
           "$ParentProcessName -> $NewProcessName"
       }
   } | Group-Object | Sort-Object Count -Descending

4. Surveiller les attributions de jetons de compte de service :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4696} | Where-Object {
       $_.Message -match "SYSTEM|SERVICE|NETWORK SERVICE"
   } | Select-Object TimeCreated, @{Name='ProcessInfo';Expression={($_.Message -split '\n' | Select-String 'New Process Name').ToString()}}

Configurez la surveillance automatisée pour l'ID d'événement 4696 afin de détecter les modèles de création de processus suspects et les anomalies de sécurité.

1. Créez un script de surveillance PowerShell:

   # Enregistrez sous Monitor-Event4696.ps1
   param(
       [int]$CheckIntervalMinutes = 5,
       [string]$AlertLogPath = "C:\Logs\Event4696_Alerts.log"
   )
   
   $SuspiciousProcesses = @('powershell.exe', 'cmd.exe', 'wscript.exe', 'cscript.exe', 'mshta.exe')
   $LastCheck = (Get-Date).AddMinutes(-$CheckIntervalMinutes)
   
   while ($true) {
       $Events = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4696; StartTime=$LastCheck} -ErrorAction SilentlyContinue
       
       foreach ($Event in $Events) {
           $EventXml = [xml]$Event.ToXml()
           $ProcessName = $EventXml.Event.EventData.Data | Where-Object {$_.Name -eq 'NewProcessName'} | Select-Object -ExpandProperty '#text'
           $SubjectUser = $EventXml.Event.EventData.Data | Where-Object {$_.Name -eq 'SubjectUserName'} | Select-Object -ExpandProperty '#text'
           
           if ($SuspiciousProcesses -contains (Split-Path $ProcessName -Leaf)) {
               $AlertMessage = "ALERTE : Création de processus suspect - $ProcessName par $SubjectUser à $($Event.TimeCreated)"
               Add-Content -Path $AlertLogPath -Value $AlertMessage
               Write-Warning $AlertMessage
           }
       }
       
       $LastCheck = Get-Date
       Start-Sleep -Seconds ($CheckIntervalMinutes * 60)
   }

2. Créez une tâche planifiée pour exécuter le script de surveillance:

   $Action = New-ScheduledTaskAction -Execute "PowerShell.exe" -Argument "-File C:\Scripts\Monitor-Event4696.ps1"
   $Trigger = New-ScheduledTaskTrigger -AtStartup
   $Principal = New-ScheduledTaskPrincipal -UserID "SYSTEM" -LogonType ServiceAccount -RunLevel Highest
   $Settings = New-ScheduledTaskSettingsSet -AllowStartIfOnBatteries -DontStopIfGoingOnBatteries -StartWhenAvailable
   
   Register-ScheduledTask -TaskName "Monitor-Event4696" -Action $Action -Trigger $Trigger -Principal $Principal -Settings $Settings

3. Configurez le transfert d'événements Windows pour une surveillance centralisée:

   # Sur le serveur collecteur
   wecutil qc /q
   
   # Créez la configuration de l'abonnement
   $SubscriptionXml = @"
   
       Event4696-Collection
       SourceInitiated
       Collecter l'ID d'événement 4696 des ordinateurs du domaine
       true
       http://schemas.microsoft.com/wbem/wsman/1/windows/EventLog
       Normal
       
               
                   *[System[EventID=4696]]
               
           
       ]]>
   
   "@
   
   $SubscriptionXml | Out-File -FilePath "C:\Temp\Event4696-Subscription.xml"
   wecutil cs "C:\Temp\Event4696-Subscription.xml"