ID d'événement Windows 4717 – Microsoft-Windows-Security-Auditing : Accès à la sécurité du système accordé

Commencez par examiner les détails spécifiques de l'ID d'événement 4717 pour comprendre quel accès a été accordé et à qui.

1. Ouvrez Observateur d'événements en appuyant sur Win + R, en tapant eventvwr.msc, et en appuyant sur Entrée
2. Accédez à Journaux Windows → Sécurité
3. Filtrez pour l'ID d'événement 4717 en cliquant avec le bouton droit sur le journal Sécurité et en sélectionnant Filtrer le journal actuel
4. Entrez 4717 dans le champ ID d'événements et cliquez sur OK
5. Double-cliquez sur un événement 4717 pour voir des informations détaillées, y compris :
   • Nom et domaine du compte sujet
   • Compte ou objet cible
   • Droits d'accès accordés
   • Nom et ID du processus
   • ID de connexion pour la corrélation

Utilisez PowerShell pour interroger les événements récents :

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4717} -MaxEvents 50 | Format-Table TimeCreated, Id, LevelDisplayName, Message -Wrap

Analyse l'ID d'événement 4717 ainsi que les événements de sécurité associés pour comprendre le contexte de sécurité complet.

1. Identifiez l'ID de connexion à partir des détails de l'événement 4717
2. Recherchez les événements associés en utilisant le même ID de connexion :

# Remplacez 0x12345 par l'ID de connexion réel de votre événement 4717
$LogonId = '0x12345'
Get-WinEvent -FilterHashtable @{LogName='Security'} | Where-Object {$_.Message -like "*$LogonId*"} | Select-Object TimeCreated, Id, Message

3. Recherchez ces événements corrélés :
   • ID d'événement 4624 (Connexion réussie)
   • ID d'événement 4672 (Privilèges spéciaux attribués)
   • ID d'événement 4648 (Connexion avec des identifiants explicites)
   • ID d'événement 4625 (Tentatives de connexion échouées)
4. Créez une chronologie des événements pour comprendre la séquence des opérations de sécurité

Enquêter sur le processus ou le service qui a demandé l'accès à la sécurité pour déterminer si l'attribution de privilèges est légitime.

1. Extraire les informations du processus à partir des détails de l'ID d'événement 4717
2. Vérifier la légitimité du processus en utilisant PowerShell :

# Vérifier les processus en cours et leur contexte de sécurité
Get-Process | Where-Object {$_.ProcessName -eq 'ProcessNameFromEvent'} | Select-Object Id, ProcessName, Path, StartTime

# Vérifier la signature numérique du processus
Get-AuthenticodeSignature -FilePath "C:\Path\To\Process.exe"

3. Vérifier si le processus est un service système connu :

Get-Service | Where-Object {$_.ServiceName -like '*ServiceName*'} | Select-Object Name, Status, StartType, ServiceType

4. Examiner le contexte de sécurité et les privilèges du processus :

# Vérifier les privilèges du processus (nécessite un accès administratif)
whoami /priv

# Pour une analyse spécifique du processus, utiliser Process Monitor ou Process Explorer

5. Valider par rapport à l'inventaire des logiciels approuvés de votre organisation

Améliorez votre surveillance de sécurité en configurant des politiques d'audit détaillées pour capturer plus de contexte autour de l'ID d'événement 4717.

1. Ouvrez Stratégie de sécurité locale ou Console de gestion des stratégies de groupe
2. Accédez à Configuration de l'ordinateur → Paramètres Windows → Paramètres de sécurité → Configuration avancée des stratégies d'audit
3. Configurez ces sous-catégories d'audit :
   • Audit de l'extension du système de sécurité - Réussite et Échec
   • Audit du changement d'état de sécurité - Réussite et Échec
   • Audit de l'intégrité du système - Réussite et Échec
4. Appliquez la politique en utilisant PowerShell :

# Activer l'audit de sécurité avancé
auditpol /set /subcategory:"Security System Extension" /success:enable /failure:enable
auditpol /set /subcategory:"Security State Change" /success:enable /failure:enable
auditpol /set /subcategory:"System Integrity" /success:enable /failure:enable

# Vérifier les paramètres d'audit actuels
auditpol /get /category:"System"

5. Configurez le transfert d'événements Windows pour une surveillance centralisée :

# Configurer l'abonnement de transfert d'événements
wecutil cs subscription.xml

# Vérifier le statut de l'abonnement
wecutil gs SubscriptionName

Configurez une surveillance automatisée pour détecter des modèles inhabituels dans les occurrences de l'ID d'événement 4717 qui pourraient indiquer des problèmes de sécurité.

1. Créez un script PowerShell pour une surveillance continue :

# Surveiller l'ID d'événement 4717 avec alerte
$Query = @"

  
    *[System[EventID=4717]]
  

"@

# Enregistrer le surveillant d'événements
Register-WmiEvent -Query "SELECT * FROM Win32_NTLogEvent WHERE LogFile='Security' AND EventCode=4717" -Action {
    $Event = $Event.SourceEventArgs.NewEvent
    Write-Host "Accès de sécurité accordé : $($Event.Message)"
    # Ajoutez votre logique d'alerte ici
}

2. Configurez le transfert des journaux d'événements Windows vers les systèmes SIEM
3. Configurez des vues personnalisées dans le Visualiseur d'événements pour une analyse rapide :

# XML de vue personnalisée pour le Visualiseur d'événements

  
    *[System[EventID=4717 and TimeCreated[timediff(@SystemTime) <= 86400000]]]
  

4. Créez des tâches planifiées pour des revues régulières des accès de sécurité :

# Créer une tâche planifiée pour la revue quotidienne de sécurité
$Action = New-ScheduledTaskAction -Execute "PowerShell.exe" -Argument "-File C:\Scripts\SecurityReview.ps1"
$Trigger = New-ScheduledTaskTrigger -Daily -At "06:00AM"
Register-ScheduledTask -TaskName "Revue quotidienne des accès de sécurité" -Action $Action -Trigger $Trigger