ID d'événement Windows 4697 – Audit de sécurité : Un service a été installé sur le système

Commencez par examiner les détails spécifiques de l'ID d'événement 4697 pour comprendre quel service a été installé et par qui.

1. Ouvrez Observateur d'événements en appuyant sur Win + R, en tapant eventvwr.msc, et en appuyant sur Entrée
2. Accédez à Journaux Windows → Sécurité
3. Filtrez le journal en cliquant sur Filtrer le journal actuel dans le volet Actions
4. Entrez 4697 dans le champ ID d'événements et cliquez sur OK
5. Double-cliquez sur les entrées récentes de l'ID d'événement 4697 pour examiner les détails
6. Examinez les champs clés dans les détails de l'événement:
   • Sujet: Montre le compte utilisateur qui a installé le service
   • Nom du service: Le nom interne du service
   • Nom du fichier de service: Chemin complet vers l'exécutable du service
   • Type de service: Type de service (Win32, pilote de noyau, etc.)
   • Type de démarrage du service: Comment le service démarre (automatique, manuel, désactivé)
7. Recoupez les chemins de service suspects avec des indicateurs de logiciels malveillants connus
8. Documentez tous les services installés à partir d'emplacements inhabituels comme les répertoires temporaires ou les profils utilisateur

Utilisez PowerShell pour interroger et analyser de manière programmatique l'ID d'événement 4697 sur plusieurs systèmes ou périodes.

1. Ouvrez PowerShell en tant qu'administrateur
2. Interrogez les événements récents d'installation de service :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4697} -MaxEvents 50 | Select-Object TimeCreated, Id, LevelDisplayName, Message

3. Filtrez les événements par plage de temps spécifique :

   $StartTime = (Get-Date).AddDays(-7)
   $EndTime = Get-Date
   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4697; StartTime=$StartTime; EndTime=$EndTime}

4. Extrayez des informations détaillées sur le service :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4697} -MaxEvents 10 | ForEach-Object {
       $Event = [xml]$_.ToXml()
       [PSCustomObject]@{
           TimeCreated = $_.TimeCreated
           ServiceName = $Event.Event.EventData.Data[5].'#text'
           ServiceFileName = $Event.Event.EventData.Data[6].'#text'
           ServiceType = $Event.Event.EventData.Data[7].'#text'
           ServiceStartType = $Event.Event.EventData.Data[8].'#text'
           ServiceAccount = $Event.Event.EventData.Data[9].'#text'
           InstalledBy = $Event.Event.EventData.Data[1].'#text'
       }
   }

5. Exportez les résultats pour analyse :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4697} | Export-Csv -Path "C:\Temp\ServiceInstalls.csv" -NoTypeInformation

Vérifiez si les services installés sont légitimes en examinant leurs propriétés et signatures numériques.

1. Listez tous les services et leurs chemins exécutables :

   Get-WmiObject -Class Win32_Service | Select-Object Name, DisplayName, PathName, StartMode, State | Sort-Object Name

2. Vérifiez les signatures numériques des exécutables de service :

   Get-WmiObject -Class Win32_Service | ForEach-Object {
       $ServicePath = $_.PathName -replace '"', '' -split ' ' | Select-Object -First 1
       if (Test-Path $ServicePath) {
           $Signature = Get-AuthenticodeSignature -FilePath $ServicePath
           [PSCustomObject]@{
               ServiceName = $_.Name
               ExecutablePath = $ServicePath
               SignatureStatus = $Signature.Status
               SignerCertificate = $Signature.SignerCertificate.Subject
           }
       }
   }

3. Examinez les propriétés du service dans la console Services :
   • Ouvrez services.msc
   • Localisez le service mentionné dans l'ID d'événement 4697
   • Cliquez avec le bouton droit et sélectionnez Propriétés
   • Examinez les onglets Général, Connexion, et Dépendances
   • Vérifiez si le service s'exécute sous un compte privilégié
4. Vérifiez l'emplacement et les propriétés de l'exécutable du service :

   $ServiceName = "SuspiciousService"
   $Service = Get-WmiObject -Class Win32_Service -Filter "Name='$ServiceName'"
   $ExecutablePath = $Service.PathName -replace '"', '' -split ' ' | Select-Object -First 1
   Get-ItemProperty -Path $ExecutablePath | Select-Object Name, VersionInfo, CreationTime, LastWriteTime

5. Recoupez avec des bases de données de renseignement sur les menaces ou soumettez les fichiers suspects à VirusTotal

Configurez une surveillance complète pour suivre de manière proactive les installations de services dans votre environnement.

1. Activez l'audit de sécurité avancé via la stratégie de groupe:
   • Ouvrez Console de gestion des stratégies de groupe
   • Accédez à Configuration de l'ordinateur → Stratégies → Paramètres Windows → Paramètres de sécurité → Configuration de la stratégie d'audit avancée
   • Développez Stratégies d'audit système → Système
   • Configurez Audit de l'extension du système de sécurité sur Succès et Échec
2. Créez des vues personnalisées dans le Visualiseur d'événements pour la surveillance des services:
   • Dans le Visualiseur d'événements, cliquez avec le bouton droit sur Vues personnalisées et sélectionnez Créer une vue personnalisée
   • Définissez le Niveau d'événement sur Information, Avertissement et Erreur
   • Entrez 4697 dans le champ ID d'événements
   • Nommer la vue "Installations de services" et enregistrez
3. Configurez un script de surveillance basé sur PowerShell:

   # Créer un script de surveillance
   $ScriptContent = @'
   Register-WmiEvent -Query "SELECT * FROM Win32_VolumeChangeEvent WHERE EventType = 2" -Action {
       Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4697} -MaxEvents 1 | ForEach-Object {
           $Event = [xml]$_.ToXml()
           $ServiceName = $Event.Event.EventData.Data[5].'#text'
           $ServicePath = $Event.Event.EventData.Data[6].'#text'
           Write-EventLog -LogName Application -Source "ServiceMonitor" -EventId 1001 -EntryType Information -Message "Nouveau service installé: $ServiceName à $ServicePath"
       }
   }
   '@
   $ScriptContent | Out-File -FilePath "C:\Scripts\ServiceMonitor.ps1"

4. Configurez le transfert d'événements Windows (WEF) pour la collecte centralisée:
   • Exécutez wecutil qc sur le serveur collecteur
   • Créez un fichier de configuration d'abonnement
   • Configurez les ordinateurs sources pour transférer les événements de sécurité
5. Mettez en œuvre l'intégration SIEM pour des alertes automatisées sur les installations de services suspectes

Effectuez une analyse médico-légale détaillée lorsque l'ID d'événement 4697 indique des incidents de sécurité potentiels.

1. Collectez des données de corrélation d'événements complètes :

   # Rassemblez les événements de sécurité liés autour de l'heure d'installation du service
   $ServiceInstallTime = (Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4697} -MaxEvents 1).TimeCreated
   $StartTime = $ServiceInstallTime.AddMinutes(-30)
   $EndTime = $ServiceInstallTime.AddMinutes(30)
   
   # Collectez les événements liés
   $RelatedEvents = @(4688, 4689, 4624, 4625, 4648, 4672, 4698, 4699, 4700, 4701, 4702)
   $RelatedEvents | ForEach-Object {
       Get-WinEvent -FilterHashtable @{LogName='Security'; Id=$_; StartTime=$StartTime; EndTime=$EndTime} -ErrorAction SilentlyContinue
   } | Sort-Object TimeCreated

2. Analysez les événements de création de processus menant à l'installation du service :

   # Trouvez les événements de création de processus qui ont pu mener à l'installation du service
   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4688; StartTime=$StartTime; EndTime=$EndTime} | Where-Object {
       $_.Message -match "sc.exe|powershell.exe|cmd.exe|msiexec.exe"
   }

3. Examinez les modifications du registre liées à l'installation du service :
   • Vérifiez HKLM\SYSTEM\CurrentControlSet\Services pour la nouvelle clé de service
   • Examinez les paramètres et la configuration du service
   • Cherchez des autorisations ou des propriétés inhabituelles du registre
4. Effectuez une analyse du système de fichiers :

   # Analysez l'exécutable du service et les fichiers associés
   $ServiceExecutable = "C:\Path\To\Service.exe"
   Get-ItemProperty -Path $ServiceExecutable | Select-Object *
   Get-FileHash -Path $ServiceExecutable -Algorithm SHA256
   
   # Vérifiez les fichiers supplémentaires dans le même répertoire
   Get-ChildItem -Path (Split-Path $ServiceExecutable) -Recurse | Select-Object Name, CreationTime, LastWriteTime, Length

5. Documentez les résultats et créez une chronologie de l'incident :
   • Corrélez tous les événements avec les activités des utilisateurs et les changements du système
   • Identifiez le vecteur d'attaque et le mécanisme de persistance
   • Déterminez l'étendue de la compromission et les systèmes affectés
   • Préparez un plan de remédiation incluant la suppression du service et le renforcement du système
6. Préservez les preuves pour d'éventuelles procédures judiciaires :

   # Exportez tous les événements liés au format EVTX pour la préservation
   wevtutil epl Security C:\Evidence\Security_$(Get-Date -Format 'yyyyMMdd_HHmmss').evtx "/q:*[System[EventID=4697]]"
   
   # Créez une image médico-légale de l'exécutable du service
   Copy-Item -Path $ServiceExecutable -Destination "C:\Evidence\" -Force