ID d'événement Windows 4704 – Microsoft-Windows-Security-Auditing : Droit utilisateur attribué

Commencez par examiner les détails spécifiques de l'ID d'événement 4704 pour comprendre quel droit utilisateur a été attribué et à qui.

1. Ouvrez Observateur d'événements en appuyant sur Win + R, en tapant eventvwr.msc, et en appuyant sur Entrée
2. Accédez à Journaux Windows → Sécurité
3. Filtrez pour l'ID d'événement 4704 en cliquant avec le bouton droit sur le journal Sécurité et en sélectionnant Filtrer le journal actuel
4. Dans la boîte de dialogue de filtrage, entrez 4704 dans le champ ID d'événements et cliquez sur OK
5. Double-cliquez sur un événement 4704 pour voir les détails. Champs clés à examiner :
   • Sujet : Le compte qui a initié l'attribution
   • Nom du privilège : Le droit utilisateur spécifique attribué (par exemple, SeServiceLogonRight)
   • Compte cible : Le principal de sécurité recevant le droit
   • Informations sur le processus : Le processus qui a effectué l'attribution

Utilisez PowerShell pour interroger et analyser efficacement les occurrences de l'ID d'événement 4704 dans votre environnement.

1. Ouvrez PowerShell en tant qu'administrateur
2. Interrogez les événements récents 4704 avec des informations détaillées :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4704} -MaxEvents 50 | ForEach-Object {
       $xml = [xml]$_.ToXml()
       [PSCustomObject]@{
           TimeCreated = $_.TimeCreated
           SubjectUserName = $xml.Event.EventData.Data | Where-Object {$_.Name -eq 'SubjectUserName'} | Select-Object -ExpandProperty '#text'
           PrivilegeName = $xml.Event.EventData.Data | Where-Object {$_.Name -eq 'PrivilegeName'} | Select-Object -ExpandProperty '#text'
           TargetUserName = $xml.Event.EventData.Data | Where-Object {$_.Name -eq 'TargetUserName'} | Select-Object -ExpandProperty '#text'
       }
   }

3. Filtrez pour des attributions de droits utilisateur spécifiques :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4704} | Where-Object {
       $_.Message -like '*SeServiceLogonRight*'
   } | Select-Object TimeCreated, Message

4. Exportez les résultats pour analyse :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4704} -MaxEvents 100 | 
   Export-Csv -Path "C:\Temp\UserRightAssignments.csv" -NoTypeInformation

Déterminez si les attributions de droits utilisateur sont des opérations légitimes de stratégie de groupe ou des préoccupations potentielles en matière de sécurité.

1. Vérifiez les événements de traitement de la stratégie de groupe dans le journal Système :

   Get-WinEvent -FilterHashtable @{LogName='System'; Id=1502,1503} -MaxEvents 20 | 
   Select-Object TimeCreated, Id, LevelDisplayName, Message

2. Comparez les horodatages entre les événements de stratégie de groupe et les événements 4704 :

   $gpEvents = Get-WinEvent -FilterHashtable @{LogName='System'; Id=1502} -MaxEvents 10
   $userRightEvents = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4704} -MaxEvents 10
   
   foreach ($gpEvent in $gpEvents) {
       $correlatedEvents = $userRightEvents | Where-Object {
           [Math]::Abs(($_.TimeCreated - $gpEvent.TimeCreated).TotalMinutes) -lt 5
       }
       if ($correlatedEvents) {
           Write-Host "Événement GP : $($gpEvent.TimeCreated) - Événements 4704 corrélés : $($correlatedEvents.Count)"
       }
   }

3. Examinez les paramètres de sécurité actuels de la stratégie de groupe :

   secedit /export /cfg C:\Temp\current_security_policy.inf
   Get-Content C:\Temp\current_security_policy.inf | Select-String "Se.*Right"

4. Vérifiez les attributions de droits utilisateur inattendues en les comparant à la ligne de base :

   $baseline = @('SeServiceLogonRight', 'SeInteractiveLogonRight', 'SeNetworkLogonRight')
   $recent4704 = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4704} -MaxEvents 50
   $recent4704 | ForEach-Object {
       $xml = [xml]$_.ToXml()
       $privilege = $xml.Event.EventData.Data | Where-Object {$_.Name -eq 'PrivilegeName'} | Select-Object -ExpandProperty '#text'
       if ($privilege -notin $baseline) {
           Write-Warning "Attribution de privilège inhabituelle : $privilege à $($_.TimeCreated)"
       }
   }

Effectuer une analyse approfondie des modifications de la politique de sécurité qui ont déclenché les attributions de droits utilisateur.

1. Vérifier l'état actuel de la politique de sécurité locale :

   Get-LocalUser | Select-Object Name, Enabled, LastLogon
   Get-LocalGroup | Select-Object Name, Description

2. Examiner les paramètres de la politique d'audit de sécurité :

   auditpol /get /category:"Privilege Use" /r
   auditpol /get /category:"Policy Change" /r

3. Examiner les emplacements du registre pour les attributions de droits utilisateur :

   $userRightsPath = "HKLM:\SYSTEM\CurrentControlSet\Control\Lsa"
   Get-ItemProperty -Path $userRightsPath -Name "*" | 
   Select-Object PSChildName, PSPath | Where-Object {$_.PSChildName -like "*Right*"}

4. Vérifier les applications récentes de modèles de sécurité :

   Get-WinEvent -FilterHashtable @{LogName='System'; Id=1704,1705} -MaxEvents 20 | 
   Select-Object TimeCreated, Id, Message

5. Analyser les informations de processus à partir des événements 4704 pour identifier la source :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4704} -MaxEvents 20 | ForEach-Object {
       $xml = [xml]$_.ToXml()
       $processName = $xml.Event.EventData.Data | Where-Object {$_.Name -eq 'ProcessName'} | Select-Object -ExpandProperty '#text'
       $processId = $xml.Event.EventData.Data | Where-Object {$_.Name -eq 'ProcessId'} | Select-Object -ExpandProperty '#text'
       Write-Host "Process: $processName (PID: $processId) at $($_.TimeCreated)"
   }

Mettre en œuvre une surveillance et une analyse complètes pour la gestion continue de la posture de sécurité.

1. Créer un script de surveillance PowerShell pour une analyse continue:

   # Enregistrer sous Monitor-UserRights.ps1
   param(
       [int]$Hours = 24,
       [string]$OutputPath = "C:\Temp\UserRightAnalysis.csv"
   )
   
   $startTime = (Get-Date).AddHours(-$Hours)
   $events = Get-WinEvent -FilterHashtable @{
       LogName='Security'
       Id=4704
       StartTime=$startTime
   }
   
   $analysis = $events | ForEach-Object {
       $xml = [xml]$_.ToXml()
       [PSCustomObject]@{
           TimeCreated = $_.TimeCreated
           SubjectUser = $xml.Event.EventData.Data | Where-Object {$_.Name -eq 'SubjectUserName'} | Select-Object -ExpandProperty '#text'
           PrivilegeName = $xml.Event.EventData.Data | Where-Object {$_.Name -eq 'PrivilegeName'} | Select-Object -ExpandProperty '#text'
           TargetUser = $xml.Event.EventData.Data | Where-Object {$_.Name -eq 'TargetUserName'} | Select-Object -ExpandProperty '#text'
           ProcessName = $xml.Event.EventData.Data | Where-Object {$_.Name -eq 'ProcessName'} | Select-Object -ExpandProperty '#text'
       }
   }
   
   $analysis | Export-Csv -Path $OutputPath -NoTypeInformation
   Write-Host "Analysis exported to $OutputPath"

2. Configurer le transfert d'événements Windows pour une surveillance centralisée:

   # Configurer l'abonnement WEF (exécuter sur le collecteur)
   wecutil cs UserRightAssignments.xml
   
   # Contenu XML d'abonnement exemple:
   # <Subscription xmlns="http://schemas.microsoft.com/2006/03/windows/events/subscription">
   #   <SubscriptionId>UserRightAssignments</SubscriptionId>
   #   <Query><![CDATA[<QueryList><Query Id="0"><Select Path="Security">*[System[EventID=4704]]</Select></Query></QueryList>]]></Query>
   # </Subscription>

3. Mettre en œuvre des alertes automatisées pour les affectations suspectes:

   # Vérifier les affectations à haut privilège
   $dangerousRights = @(
       'SeTcbPrivilege',
       'SeDebugPrivilege', 
       'SeLoadDriverPrivilege',
       'SeTakeOwnershipPrivilege'
   )
   
   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4704} -MaxEvents 100 | ForEach-Object {
       $xml = [xml]$_.ToXml()
       $privilege = $xml.Event.EventData.Data | Where-Object {$_.Name -eq 'PrivilegeName'} | Select-Object -ExpandProperty '#text'
       if ($privilege -in $dangerousRights) {
           $target = $xml.Event.EventData.Data | Where-Object {$_.Name -eq 'TargetUserName'} | Select-Object -ExpandProperty '#text'
           Write-Warning "ALERT: Dangerous privilege $privilege assigned to $target at $($_.TimeCreated)"
           # Ajouter l'intégration email/SIEM ici
       }
   }

4. Créer une documentation de référence:

   # Générer la référence actuelle des droits utilisateurs
   $baseline = @{}
   secedit /export /cfg C:\Temp\baseline.inf
   $content = Get-Content C:\Temp\baseline.inf
   $content | Where-Object {$_ -match "^Se.*Right"} | ForEach-Object {
       $parts = $_ -split " = "
       $baseline[$parts[0]] = $parts[1]
   }
   $baseline | ConvertTo-Json | Out-File C:\Temp\UserRightsBaseline.json