ID d'événement Windows 4716 – Sécurité : Les informations d'un domaine de confiance ont été modifiées

Commencez par examiner les détails spécifiques de l'entrée de l'ID d'événement 4716 pour comprendre ce qui a été modifié.

1. Ouvrez Observateur d'événements sur le contrôleur de domaine
2. Accédez à Journaux Windows → Sécurité
3. Filtrez pour l'ID d'événement 4716 en utilisant l'option de filtre
4. Double-cliquez sur l'événement pour voir les informations détaillées
5. Examinez les champs clés suivants :
   • Sujet : Compte qui a effectué le changement
   • Informations sur le domaine de confiance : Détails sur la confiance modifiée
   • Modifications effectuées : Modifications spécifiques réalisées
6. Notez l'horodatage et corrélez-le avec toute maintenance planifiée ou activité administrative

Utilisez PowerShell pour interroger et analyser les entrées de l'ID d'événement 4716 sur plusieurs contrôleurs de domaine.

1. Ouvrez PowerShell en tant qu'administrateur
2. Interrogez les événements récents de modification de confiance :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4716} -MaxEvents 50 | Select-Object TimeCreated, Id, LevelDisplayName, Message

3. Filtrez les événements par plage de temps spécifique :

   $StartTime = (Get-Date).AddDays(-7)
   $Events = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4716; StartTime=$StartTime}
   $Events | Format-Table TimeCreated, Message -Wrap

4. Extrait des informations spécifiques de confiance :

   $Events | ForEach-Object {
       $Event = [xml]$_.ToXml()
       $EventData = $Event.Event.EventData.Data
       [PSCustomObject]@{
           Time = $_.TimeCreated
           User = ($EventData | Where-Object {$_.Name -eq 'SubjectUserName'}).'#text'
           Domain = ($EventData | Where-Object {$_.Name -eq 'SubjectDomainName'}).'#text'
           TrustedDomain = ($EventData | Where-Object {$_.Name -eq 'TrustedDomainName'}).'#text'
       }
   }

Validez la configuration de confiance actuelle pour vous assurer que les modifications ont été appliquées correctement et identifiez tout problème.

1. Vérifiez les relations de confiance en utilisant netdom:

   netdom trust /domain:yourdomain.com /verify

2. Listez toutes les relations de confiance:

   Get-ADTrust -Filter * | Select-Object Name, Direction, TrustType, Created, Modified

3. Testez la connectivité de confiance:

   Test-ComputerSecureChannel -Server dc01.yourdomain.com

4. Vérifiez l'authentification de confiance:

   nltest /trusted_domains

5. Vérifiez les paramètres de validation de confiance:

   Get-ADTrust -Identity "TrustedDomainName" | Select-Object SelectiveAuthentication, SIDFilteringQuarantined

6. Examinez les propriétés de confiance dans la console Domaines et Confiances Active Directory

Effectuer un audit complet des modifications de confiance pour identifier les modèles ou les changements non autorisés.

1. Activer les politiques d'audit avancées si elles ne sont pas déjà configurées:

   auditpol /set /subcategory:"Computer Account Management" /success:enable /failure:enable

2. Interroger les événements de modification de confiance sur tous les contrôleurs de domaine:

   $DCs = Get-ADDomainController -Filter *
   foreach ($DC in $DCs) {
       Write-Host "Checking $($DC.Name)..."
       Invoke-Command -ComputerName $DC.Name -ScriptBlock {
           Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4716} -MaxEvents 20 -ErrorAction SilentlyContinue
       }
   }

3. Créer un rapport d'audit de confiance complet:

   $TrustEvents = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4716} -MaxEvents 100
   $Report = $TrustEvents | ForEach-Object {
       $EventXML = [xml]$_.ToXml()
       $EventData = $EventXML.Event.EventData.Data
       [PSCustomObject]@{
           TimeCreated = $_.TimeCreated
           User = ($EventData | Where-Object {$_.Name -eq 'SubjectUserName'}).'#text'
           Domain = ($EventData | Where-Object {$_.Name -eq 'SubjectDomainName'}).'#text'
           TrustedDomain = ($EventData | Where-Object {$_.Name -eq 'TrustedDomainName'}).'#text'
           Changes = $_.Message
       }
   }
   $Report | Export-Csv -Path "C:\TrustAudit.csv" -NoTypeInformation

Set up proactive monitoring for trust modifications to detect unauthorized changes quickly.

1. Create a scheduled task to monitor Event ID 4716:

   $Action = New-ScheduledTaskAction -Execute "PowerShell.exe" -Argument "-File C:\Scripts\TrustMonitor.ps1"
   $Trigger = New-ScheduledTaskTrigger -Once -At (Get-Date) -RepetitionInterval (New-TimeSpan -Minutes 15)
   $Principal = New-ScheduledTaskPrincipal -UserID "SYSTEM" -LogonType ServiceAccount
   Register-ScheduledTask -TaskName "TrustModificationMonitor" -Action $Action -Trigger $Trigger -Principal $Principal

2. Create the monitoring script (C:\Scripts\TrustMonitor.ps1):

   # Check for new Event ID 4716 entries
   $LastCheck = Get-Content "C:\Scripts\LastCheck.txt" -ErrorAction SilentlyContinue
   if (-not $LastCheck) { $LastCheck = (Get-Date).AddHours(-1) }
   
   $NewEvents = Get-WinEvent -FilterHashtable @{
       LogName='Security'
       Id=4716
       StartTime=[DateTime]$LastCheck
   } -ErrorAction SilentlyContinue
   
   if ($NewEvents) {
       # Send alert email or notification
       $Body = "Trust modification detected: $($NewEvents.Count) events"
       Send-MailMessage -To "admin@company.com" -From "monitor@company.com" -Subject "Trust Modification Alert" -Body $Body -SmtpServer "mail.company.com"
   }
   
   Get-Date | Out-File "C:\Scripts\LastCheck.txt"

3. Configure Windows Event Forwarding to centralize trust modification events
4. Set up SIEM integration to correlate trust changes with other security events