ID d'événement Windows 4700 – Sécurité : Un compte utilisateur a été créé

Ouvrez le Visualiseur d'événements et accédez au journal de sécurité pour examiner les détails de l'événement :

1. Appuyez sur Windows + R, tapez eventvwr.msc, et appuyez sur Entrée
2. Accédez à Journaux Windows → Sécurité
3. Filtrez le journal par ID d'événement 4700 en utilisant l'option Filtrer le journal actuel
4. Double-cliquez sur l'entrée ID d'événement 4700 pour voir les informations détaillées
5. Examinez la section Sujet pour identifier qui a créé le compte
6. Examinez la section Compte cible pour les détails du nouveau compte
7. Vérifiez la section Informations supplémentaires pour les attributs et indicateurs du compte
8. Notez l'horodatage pour le corréler avec d'autres événements de sécurité si nécessaire

Les détails de l'événement montreront l'ID de sécurité, le nom du compte, le domaine du compte et l'ID de connexion du créateur et du compte nouvellement créé.

Utilisez PowerShell pour récupérer et analyser de manière programmatique les occurrences de l'ID d'événement 4700 :

# Obtenez les événements récents de création de compte
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4700} -MaxEvents 50 | Select-Object TimeCreated, Id, LevelDisplayName, Message

# Filtrer les événements par plage de temps spécifique
$StartTime = (Get-Date).AddDays(-7)
$EndTime = Get-Date
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4700; StartTime=$StartTime; EndTime=$EndTime}

# Extraire des informations spécifiques des données d'événement
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4700} -MaxEvents 10 | ForEach-Object {
    $Event = [xml]$_.ToXml()
    $EventData = $Event.Event.EventData.Data
    [PSCustomObject]@{
        TimeCreated = $_.TimeCreated
        SubjectUserName = ($EventData | Where-Object {$_.Name -eq 'SubjectUserName'}).'#text'
        TargetUserName = ($EventData | Where-Object {$_.Name -eq 'TargetUserName'}).'#text'
        TargetDomain = ($EventData | Where-Object {$_.Name -eq 'TargetDomainName'}).'#text'
    }
}

Cette approche permet une surveillance et un rapport automatisés des activités de création de compte sur plusieurs systèmes.

Assurez-vous de configurer correctement la politique d'audit pour capturer de manière cohérente l'ID d'événement 4700 :

1. Ouvrez la Console de gestion des stratégies de groupe ou exécutez gpedit.msc pour la politique locale
2. Accédez à Configuration de l'ordinateur → Paramètres Windows → Paramètres de sécurité → Configuration avancée de la politique d'audit
3. Développez Gestion des comptes et localisez Audit de la gestion des comptes utilisateur
4. Configurez la politique pour les événements de Succès et Échec
5. Appliquez la politique et exécutez gpupdate /force pour actualiser les paramètres

Vérifiez les paramètres d'audit actuels en utilisant la ligne de commande :

# Vérifiez les paramètres actuels de la politique d'audit
auditpol /get /category:"Account Management"

# Définissez la politique d'audit pour la gestion des comptes utilisateur
auditpol /set /subcategory:"User Account Management" /success:enable /failure:enable

# Vérifiez la configuration
auditpol /get /subcategory:"User Account Management"

Configurez la surveillance automatisée pour l'ID d'événement 4700 afin de détecter la création non autorisée de comptes :

1. Créez un script PowerShell pour une surveillance continue :

# Créer un script de surveillance
$ScriptBlock = {
    Register-WmiEvent -Query "SELECT * FROM Win32_NTLogEvent WHERE LogFile='Security' AND EventCode=4700" -Action {
        $Event = $Event.SourceEventArgs.NewEvent
        $Message = "Nouveau compte utilisateur créé : $($Event.InsertionStrings[5]) par $($Event.InsertionStrings[1])"
        Write-EventLog -LogName Application -Source "AccountMonitor" -EventId 1001 -Message $Message -EntryType Information
        # Envoyer un email ou déclencher le système d'alerte ici
    }
}

# Enregistrer l'abonnement à l'événement
Invoke-Command -ScriptBlock $ScriptBlock

2. Configurez le Planificateur de tâches Windows pour exécuter les scripts de surveillance
3. Configurez les notifications par e-mail ou l'intégration SIEM
4. Créez une source de journal d'événements personnalisée pour les alertes de surveillance :

# Créer une source d'événements personnalisée (exécuter en tant qu'administrateur)
New-EventLog -LogName Application -Source "AccountMonitor"

# Tester la journalisation personnalisée
Write-EventLog -LogName Application -Source "AccountMonitor" -EventId 1001 -Message "Surveillance des comptes initialisée" -EntryType Information

Effectuer une analyse médico-légale complète de l'ID d'événement 4700 en conjonction avec les événements de sécurité connexes :

1. Corréler avec les événements connexes pour une chronologie complète :

# Obtenir des événements de gestion de compte complets
$AccountEvents = @(4720, 4722, 4724, 4725, 4726, 4738, 4740, 4767, 4781)
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=$AccountEvents; StartTime=(Get-Date).AddDays(-1)} | 
    Sort-Object TimeCreated | 
    Select-Object TimeCreated, Id, LevelDisplayName, @{Name='EventDescription';Expression={
        switch($_.Id) {
            4720 {'Un compte utilisateur a été créé'}
            4722 {'Un compte utilisateur a été activé'}
            4724 {'Une tentative a été faite pour réinitialiser un mot de passe de compte'}
            4725 {'Un compte utilisateur a été désactivé'}
            4726 {'Un compte utilisateur a été supprimé'}
            4738 {'Un compte utilisateur a été modifié'}
            4740 {'Un compte utilisateur a été verrouillé'}
            4767 {'Un compte utilisateur a été déverrouillé'}
            4781 {'Le nom d'un compte a été modifié'}
        }
    }}

# Extraire et analyser les modèles de création de compte
$CreationEvents = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4700; StartTime=(Get-Date).AddDays(-30)}
$CreationEvents | ForEach-Object {
    $EventXml = [xml]$_.ToXml()
    $EventData = $EventXml.Event.EventData.Data
    [PSCustomObject]@{
        TimeCreated = $_.TimeCreated
        Creator = ($EventData | Where-Object {$_.Name -eq 'SubjectUserName'}).'#text'
        CreatedAccount = ($EventData | Where-Object {$_.Name -eq 'TargetUserName'}).'#text'
        Domain = ($EventData | Where-Object {$_.Name -eq 'TargetDomainName'}).'#text'
        WorkstationName = ($EventData | Where-Object {$_.Name -eq 'WorkstationName'}).'#text'
    }
} | Group-Object Creator | Sort-Object Count -Descending

2. Exporter les résultats pour le rapport de conformité :

# Générer un rapport de conformité
$Report = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4700; StartTime=(Get-Date).AddDays(-90)} | 
    ForEach-Object {
        $EventXml = [xml]$_.ToXml()
        $EventData = $EventXml.Event.EventData.Data
        [PSCustomObject]@{
            Timestamp = $_.TimeCreated
            CreatedBy = ($EventData | Where-Object {$_.Name -eq 'SubjectUserName'}).'#text'
            AccountName = ($EventData | Where-Object {$_.Name -eq 'TargetUserName'}).'#text'
            AccountSID = ($EventData | Where-Object {$_.Name -eq 'TargetSid'}).'#text'
            Domain = ($EventData | Where-Object {$_.Name -eq 'TargetDomainName'}).'#text'
        }
    }

$Report | Export-Csv -Path "C:\Reports\AccountCreation_$(Get-Date -Format 'yyyyMMdd').csv" -NoTypeInformation

Cette analyse complète aide à identifier les modèles, les activités non autorisées et assure la conformité avec les politiques de sécurité.