ID d'événement Windows 4699 – Sécurité : Un droit de jeton a été ajusté

Commencez par examiner les détails spécifiques de l'ID d'événement 4699 pour comprendre quel privilège a été ajusté et pour quel compte.

1. Ouvrez Observateur d'événements en appuyant sur Win + R, en tapant eventvwr.msc, et en appuyant sur Entrée
2. Accédez à Journaux Windows → Sécurité
3. Filtrez pour l'ID d'événement 4699 en cliquant avec le bouton droit sur le journal Sécurité et en sélectionnant Filtrer le journal actuel
4. Entrez 4699 dans le champ ID d'événements et cliquez sur OK
5. Double-cliquez sur un événement 4699 pour voir des informations détaillées incluant :
   • Nom et domaine du compte sujet
   • Compte cible pour l'ajustement de privilège
   • Privilèges spécifiques qui ont été modifiés
   • Nom et ID du processus responsable du changement
   • ID de connexion lié aux événements d'authentification associés
6. Faites une référence croisée de l'ID de connexion avec l'ID d'événement 4624 (connexion réussie) pour comprendre le contexte complet

Utilisez PowerShell pour analyser les modèles d'ID d'événement 4699 et identifier les activités inhabituelles d'ajustement de privilèges.

1. Ouvrez PowerShell en tant qu'administrateur
2. Interrogez les entrées récentes de l'ID d'événement 4699 :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4699} -MaxEvents 50 | Select-Object TimeCreated, Id, LevelDisplayName, Message

3. Filtrez les événements par comptes d'utilisateurs spécifiques :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4699} | Where-Object {$_.Message -like "*username*"} | Select-Object TimeCreated, Message

4. Analysez la fréquence d'ajustement des privilèges par heure :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4699} -MaxEvents 1000 | Group-Object {$_.TimeCreated.Hour} | Sort-Object Name

5. Exportez les événements pour une analyse détaillée :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4699} | Export-Csv -Path "C:\temp\Event4699_Analysis.csv" -NoTypeInformation

6. Recherchez des types de privilèges spécifiques :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4699} | Where-Object {$_.Message -like "*SeDebugPrivilege*"}

Enquêtez sur le contexte plus large en corrélant l'ID d'événement 4699 avec des événements de sécurité connexes pour comprendre le scénario complet d'ajustement de privilèges.

1. Identifiez l'ID de processus à partir des détails de l'ID d'événement 4699
2. Recherchez des événements de création de processus (ID d'événement 4688) avec un ID de processus correspondant :

   $ProcessID = "1234"  # Remplacez par le PID réel de l'événement 4699
   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4688} | Where-Object {$_.Message -like "*$ProcessID*"}

3. Trouvez des événements de connexion liés en utilisant l'ID de connexion :

   $LogonID = "0x12345"  # Remplacez par l'ID de connexion réel de l'événement 4699
   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4624,4625} | Where-Object {$_.Message -like "*$LogonID*"}

4. Vérifiez les événements d'élévation UAC (ID d'événement 4672) qui pourraient être liés :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4672} | Where-Object {$_.TimeCreated -gt (Get-Date).AddHours(-1)}

5. Examinez les événements d'application de la stratégie de groupe si les changements de privilèges semblent liés à la stratégie :

   Get-WinEvent -FilterHashtable @{LogName='System'; Id=1502,1503}

6. Créez une vue chronologique des événements liés :

   $StartTime = (Get-Date).AddHours(-2)
   $Events = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4699,4688,4624,4672; StartTime=$StartTime}
   $Events | Sort-Object TimeCreated | Select-Object TimeCreated, Id, Message

Configurez une surveillance complète des ajustements de privilèges pour détecter les problèmes de sécurité et maintenir la conformité.

1. Activez l'audit détaillé de l'utilisation des privilèges via la stratégie de groupe:
   • Ouvrez Console de gestion des stratégies de groupe
   • Accédez à Configuration de l'ordinateur → Paramètres Windows → Paramètres de sécurité → Configuration avancée de la stratégie d'audit
   • Développez Utilisation des privilèges et configurez Audit de l'utilisation des privilèges sensibles
2. Configurez les paramètres du registre pour un audit de privilèges amélioré:

   Set-ItemProperty -Path "HKLM\SYSTEM\CurrentControlSet\Control\Lsa" -Name "FullPrivilegeAuditing" -Value 1 -Type DWord

3. Configurez le transfert d'événements Windows pour une collecte centralisée:

   wecutil cs subscription.xml  # Après avoir créé le fichier XML d'abonnement approprié

4. Créez des vues personnalisées dans le Visualisateur d'événements pour la surveillance de l'ID d'événement 4699:
   • Dans le Visualisateur d'événements, cliquez avec le bouton droit sur Vues personnalisées et sélectionnez Créer une vue personnalisée
   • Définissez les ID d'événement sur 4699 et configurez des filtres supplémentaires si nécessaire
5. Configurez une tâche planifiée PowerShell pour une analyse régulière:

   $Action = New-ScheduledTaskAction -Execute "PowerShell.exe" -Argument "-File C:\Scripts\Analyze4699Events.ps1"
   $Trigger = New-ScheduledTaskTrigger -Daily -At "06:00AM"
   Register-ScheduledTask -TaskName "Event4699Analysis" -Action $Action -Trigger $Trigger

Effectuez une analyse de sécurité approfondie lorsque l'ID d'événement 4699 indique un abus potentiel de privilèges ou des tentatives d'accès non autorisées.

1. Analysez les modèles d'escalade de privilèges à l'aide de requêtes PowerShell avancées :

   $SuspiciousPrivileges = @("SeDebugPrivilege", "SeTakeOwnershipPrivilege", "SeLoadDriverPrivilege")
   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4699} | Where-Object {
       $Message = $_.Message
       $SuspiciousPrivileges | Where-Object {$Message -like "*$_*"}
   }

2. Vérifiez les ajustements de privilèges en dehors des heures de bureau :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4699} | Where-Object {
       $_.TimeCreated.Hour -lt 6 -or $_.TimeCreated.Hour -gt 22
   } | Select-Object TimeCreated, Message

3. Enquêtez sur les comptes utilisateurs avec des ajustements de privilèges fréquents :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4699} -MaxEvents 1000 | ForEach-Object {
       if ($_.Message -match "Account Name:\s+([^\r\n]+)") {
           $matches[1].Trim()
       }
   } | Group-Object | Sort-Object Count -Descending

4. Examinez les affectations actuelles des droits utilisateurs :

   secedit /export /cfg C:\temp\current_rights.inf
   Get-Content C:\temp\current_rights.inf | Select-String "Se.*Privilege"

5. Mettez en œuvre une contention immédiate si une activité suspecte est détectée :
   • Désactivez temporairement les comptes utilisateurs affectés
   • Réinitialisez les mots de passe des comptes compromis
   • Examinez et révoquez les privilèges inutiles
   • Activez la journalisation supplémentaire pour les systèmes affectés
6. Documentez les résultats et créez une chronologie de réponse aux incidents :

   $IncidentEvents = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4699,4688,4624,4625; StartTime=(Get-Date).AddDays(-1)}
   $IncidentEvents | Export-Csv -Path "C:\temp\SecurityIncident_$(Get-Date -Format 'yyyyMMdd').csv"