ID d'événement Windows 4714 – Microsoft-Windows-Security-Auditing : La liste de contrôle d'accès à la sécurité du système a été modifiée

Commencez par examiner les détails spécifiques de l'occurrence de l'ID d'événement 4714 pour comprendre ce qui a changé et qui l'a initié.

1. Ouvrez Observateur d'événements en appuyant sur Win + R, en tapant eventvwr.msc, et en appuyant sur Entrée
2. Accédez à Journaux Windows → Sécurité
3. Filtrez pour l'ID d'événement 4714 en cliquant avec le bouton droit sur le journal Sécurité et en sélectionnant Filtrer le journal actuel
4. Entrez 4714 dans le champ ID d'événements et cliquez sur OK
5. Double-cliquez sur une entrée récente de l'ID d'événement 4714 pour voir les détails
6. Examinez l'onglet Général pour les informations de base et l'onglet Détails pour les données XML
7. Notez les champs Sujet montrant qui a effectué le changement et les champs Objet montrant ce qui a été modifié

Utilisez PowerShell pour un filtrage plus efficace :

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4714} -MaxEvents 20 | Format-Table TimeCreated, Id, LevelDisplayName, Message -Wrap

Comparez les paramètres actuels de la politique d'audit avec votre référence pour identifier les changements spécifiques qui ont été effectués.

1. Ouvrez une session d'invite de commandes ou PowerShell avec élévation
2. Exécutez la commande de requête de politique d'audit pour voir les paramètres actuels :

auditpol /get /category:*

3. Pour des informations plus détaillées sur les sous-catégories :

auditpol /get /subcategory:* /r

4. Exportez la politique d'audit actuelle pour documentation :

auditpol /backup /file:C:\temp\current_audit_policy.csv

5. Comparez avec une politique de référence connue si disponible
6. Vérifiez les paramètres de la stratégie de groupe qui pourraient avoir déclenché le changement :

gpresult /h C:\temp\gpresult.html

7. Examinez le rapport HTML généré pour les paramètres de politique d'audit sous Configuration de l'ordinateur

Utilisez PowerShell pour effectuer une analyse détaillée des occurrences de l'ID d'événement 4714 et les corréler avec d'autres événements de sécurité.

1. Créez une requête complète pour analyser les modèles :

$Events = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4714; StartTime=(Get-Date).AddDays(-7)}
$Events | ForEach-Object {
    $xml = [xml]$_.ToXml()
    [PSCustomObject]@{
        TimeCreated = $_.TimeCreated
        SubjectUserName = $xml.Event.EventData.Data | Where-Object {$_.Name -eq 'SubjectUserName'} | Select-Object -ExpandProperty '#text'
        SubjectDomainName = $xml.Event.EventData.Data | Where-Object {$_.Name -eq 'SubjectDomainName'} | Select-Object -ExpandProperty '#text'
        CategoryId = $xml.Event.EventData.Data | Where-Object {$_.Name -eq 'CategoryId'} | Select-Object -ExpandProperty '#text'
        SubcategoryId = $xml.Event.EventData.Data | Where-Object {$_.Name -eq 'SubcategoryId'} | Select-Object -ExpandProperty '#text'
    }
} | Format-Table -AutoSize

2. Cherchez des événements corrélés autour du même moment :

$TimeWindow = (Get-Date).AddHours(-1)
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=@(4719,4817,4902,4904,4905); StartTime=$TimeWindow} | Format-Table TimeCreated, Id, Message -Wrap

3. Vérifiez les événements de traitement de la stratégie de groupe :

Get-WinEvent -FilterHashtable @{LogName='System'; Id=@(1500,1501,1502)} -MaxEvents 10 | Format-Table TimeCreated, Id, Message -Wrap

Examinez les emplacements du registre où les paramètres de la politique d'audit sont stockés pour comprendre les détails techniques des modifications.

1. Ouvrez l'Éditeur du Registre en tant qu'Administrateur (regedit.exe)
2. Accédez à l'emplacement principal de la politique d'audit :

HKEY_LOCAL_MACHINE\SECURITY\Policy\PolAdtEv

3. Vérifiez les paramètres avancés de la politique d'audit :

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\Audit

4. Utilisez PowerShell pour interroger les valeurs du registre liées à l'audit :

Get-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\Lsa\Audit" | Format-List

5. Vérifiez les paramètres d'audit appliqués par la stratégie de groupe :

Get-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\Audit" -ErrorAction SilentlyContinue | Format-List

6. Surveillez les modifications du registre en temps réel à l'aide de Process Monitor (ProcMon) :
7. Téléchargez ProcMon depuis Microsoft Sysinternals
8. Définissez des filtres pour que le nom du processus contienne "lsass.exe" et que le chemin contienne "Audit"
9. Reproduisez le changement de politique d'audit pour voir les modifications du registre

Mettre en œuvre une surveillance complète et une réponse automatisée pour l'ID d'événement 4714 dans les environnements d'entreprise.

1. Configurer Windows Event Forwarding (WEF) pour centraliser l'ID d'événement 4714 :

# Sur le serveur collecteur
wecutil cs subscription.xml

# Créer subscription.xml avec filtre ID d'événement 4714
$SubscriptionXML = @"

    AuditPolicyChanges
    SourceInitiated
    Surveiller les changements de politique d'audit
    true
    http://schemas.microsoft.com/wbem/wsman/1/windows/EventLog
    Normal
    
            
                *[System[EventID=4714]]
            
        
    ]]>

"@
$SubscriptionXML | Out-File -FilePath "C:\temp\audit_subscription.xml" -Encoding UTF8

2. Créer un script PowerShell pour l'analyse automatisée :

# Monitor-AuditChanges.ps1
param(
    [int]$Hours = 24
)

$StartTime = (Get-Date).AddHours(-$Hours)
$Events = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4714; StartTime=$StartTime}

foreach ($Event in $Events) {
    $xml = [xml]$Event.ToXml()
    $UserName = $xml.Event.EventData.Data | Where-Object {$_.Name -eq 'SubjectUserName'} | Select-Object -ExpandProperty '#text'
    $Domain = $xml.Event.EventData.Data | Where-Object {$_.Name -eq 'SubjectDomainName'} | Select-Object -ExpandProperty '#text'
    
    # Envoyer une alerte si le changement est effectué par un compte non-admin
    if ($UserName -notmatch "admin|service") {
        Write-Warning "Changement suspect de politique d'audit par $Domain\$UserName à $($Event.TimeCreated)"
        # Ajouter l'intégration SIEM ici
    }
}

3. Configurer une tâche planifiée pour exécuter le script de surveillance :

$Action = New-ScheduledTaskAction -Execute "PowerShell.exe" -Argument "-File C:\Scripts\Monitor-AuditChanges.ps1"
$Trigger = New-ScheduledTaskTrigger -Daily -At "09:00AM"
$Principal = New-ScheduledTaskPrincipal -UserId "SYSTEM" -LogonType ServiceAccount
Register-ScheduledTask -TaskName "MonitorAuditChanges" -Action $Action -Trigger $Trigger -Principal $Principal