ID d'événement Windows 4702 – Sécurité : Tâche planifiée créée

Commencez par examiner l'entrée spécifique de l'ID d'événement 4702 pour comprendre quelle tâche a été créée et par qui.

1. Ouvrez Observateur d'événements en appuyant sur Win + R, en tapant eventvwr.msc, et en appuyant sur Entrée
2. Accédez à Journaux Windows → Sécurité
3. Filtrez le journal en cliquant sur Filtrer le journal actuel dans le volet Actions
4. Entrez 4702 dans le champ ID d'événements et cliquez sur OK
5. Double-cliquez sur l'événement pertinent pour voir des informations détaillées
6. Examinez les champs clés suivants dans les détails de l'événement:
   • Sujet: Montre le compte utilisateur qui a créé la tâche
   • Nom de la tâche: Le nom attribué à la tâche planifiée
   • Contenu de la tâche: Configuration XML de la tâche incluant les déclencheurs et actions

Utilisez PowerShell pour rechercher et analyser efficacement les occurrences de l'ID d'événement 4702 sur des périodes spécifiques.

1. Ouvrez PowerShell en tant qu'administrateur
2. Interrogez les événements récents de création de tâches :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4702} -MaxEvents 50 | Format-Table TimeCreated, Id, LevelDisplayName, Message -Wrap

3. Filtrez les événements par compte utilisateur spécifique :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4702} | Where-Object {$_.Message -like "*DOMAIN\username*"}

4. Exportez les événements vers un fichier CSV pour analyse :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4702} | Select-Object TimeCreated, Id, LevelDisplayName, Message | Export-Csv -Path "C:\temp\TaskCreationEvents.csv" -NoTypeInformation

5. Recherchez des événements dans une plage de dates spécifique :

   $StartTime = (Get-Date).AddDays(-7)
   $EndTime = Get-Date
   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4702; StartTime=$StartTime; EndTime=$EndTime}

Recoupez les entrées de l'ID d'événement 4702 avec les tâches planifiées actuellement existantes pour identifier quelles tâches sont encore actives.

1. Lister toutes les tâches planifiées actuelles :

   Get-ScheduledTask | Select-Object TaskName, State, Author, Date | Sort-Object Date -Descending

2. Obtenir des informations détaillées sur une tâche spécifique mentionnée dans l'ID d'événement 4702 :

   Get-ScheduledTask -TaskName "TaskNameFromEvent" | Get-ScheduledTaskInfo

3. Exporter les définitions de tâches pour comparaison :

   Get-ScheduledTask | ForEach-Object { Export-ScheduledTask -TaskName $_.TaskName -TaskPath $_.TaskPath } | Out-File "C:\temp\AllTasks.xml"

4. Vérifier l'historique d'exécution des tâches :

   Get-WinEvent -FilterHashtable @{LogName='Microsoft-Windows-TaskScheduler/Operational'} -MaxEvents 100 | Where-Object {$_.Id -eq 200 -or $_.Id -eq 201}

5. Identifier les tâches créées par des utilisateurs spécifiques :

   Get-ScheduledTask | Where-Object {$_.Author -like "*username*"} | Format-Table TaskName, Author, State

Effectuer une analyse détaillée de la configuration de la tâche pour évaluer les risques de sécurité et les implications de conformité.

1. Extraire et analyser la définition de la tâche XML à partir de l'ID d'événement 4702:

   $Event = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4702} -MaxEvents 1
   $EventXML = [xml]$Event.ToXml()
   $TaskContent = $EventXML.Event.EventData.Data | Where-Object {$_.Name -eq 'TaskContent'} | Select-Object -ExpandProperty '#text'
   $TaskContent | Out-File "C:\temp\TaskDefinition.xml"

2. Analyser le XML pour identifier les éléments clés de sécurité:

   [xml]$TaskXML = Get-Content "C:\temp\TaskDefinition.xml"
   $TaskXML.Task.Actions.Exec | Select-Object Command, Arguments
   $TaskXML.Task.Triggers | Select-Object *
   $TaskXML.Task.Principals.Principal | Select-Object UserId, RunLevel

3. Vérifier les caractéristiques suspectes:
   • Tâches s'exécutant avec des privilèges SYSTEM
   • Tâches s'exécutant depuis des emplacements inhabituels (répertoires temporaires, profils utilisateur)
   • Tâches avec des lignes de commande obfusquées ou du PowerShell encodé
   • Tâches programmées pour s'exécuter à des intervalles inhabituels
4. Valider par rapport aux politiques organisationnelles:

   # Vérifier si l'exécutable de la tâche est dans des emplacements approuvés
   $ApprovedPaths = @("C:\Windows\System32", "C:\Program Files", "C:\Program Files (x86)")
   $TaskCommand = $TaskXML.Task.Actions.Exec.Command
   $IsApproved = $ApprovedPaths | Where-Object {$TaskCommand -like "$_*"}

5. Documenter les résultats et créer des alertes pour les violations de politique

Configurez une surveillance automatisée pour détecter et alerter sur les modèles de création de tâches planifiées suspectes.

1. Créez un script PowerShell pour une surveillance continue:

   # TaskMonitor.ps1
   $LastCheck = (Get-Date).AddMinutes(-5)
   $SuspiciousEvents = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4702; StartTime=$LastCheck} | Where-Object {
       $_.Message -like "*powershell*" -or 
       $_.Message -like "*cmd.exe*" -or
       $_.Message -like "*temp*" -or
       $_.Message -like "*SYSTEM*"
   }
   if ($SuspiciousEvents) {
       $SuspiciousEvents | Export-Csv "C:\logs\SuspiciousTasks.csv" -Append -NoTypeInformation
       # Envoyer un email d'alerte ou une notification SIEM
   }

2. Configurez le transfert d'événements Windows pour une collecte centralisée:
   • Activez WinRM sur les ordinateurs sources: winrm quickconfig
   • Configurez l'abonnement sur le serveur collecteur
   • Créez des vues personnalisées pour l'analyse de l'ID d'événement 4702
3. Configurez des vues personnalisées dans le Visualisateur d'événements:
   • Ouvrez Visualisateur d'événements → Vues personnalisées → Créer une vue personnalisée
   • Filtrez par ID d'événement 4702 et enregistrez sous "Création de tâche planifiée"
   • Configurez des notifications par email pour les événements critiques
4. Intégrez avec des plateformes SIEM:

   # Exemple: Transférer vers Splunk Universal Forwarder
   $LogPath = "C:\Program Files\SplunkUniversalForwarder\etc\apps\windows\local\inputs.conf"
   Add-Content -Path $LogPath -Value "[WinEventLog://Security]`nwhitelist = 4702`nindex = windows_security"

5. Créez des rapports de référence des modèles de création de tâches légitimes pour comparaison