ID d'événement Windows 4719 – Microsoft-Windows-Security-Auditing : Politique d'audit système modifiée

Commencez par examiner les détails spécifiques de l'ID d'événement 4719 pour comprendre ce qui a changé et qui a initié la modification.

1. Ouvrez Observateur d'événements en appuyant sur Win + R, en tapant eventvwr.msc, et en appuyant sur Entrée
2. Accédez à Journaux Windows → Sécurité
3. Filtrez pour l'ID d'événement 4719 en cliquant avec le bouton droit sur le journal Sécurité et en sélectionnant Filtrer le journal actuel
4. Entrez 4719 dans le champ ID d'événements et cliquez sur OK
5. Double-cliquez sur l'ID d'événement 4719 le plus récent pour voir les détails
6. Consultez l'onglet Général pour des informations de base incluant l'horodatage et le compte utilisateur
7. Vérifiez l'onglet Détails pour des informations complètes sur les modifications de la politique d'audit
8. Notez la section Sujet montrant qui a effectué le changement et la section Changement de politique d'audit montrant ce qui a été modifié

Utilisez PowerShell pour analyser de manière programmatique les occurrences de l'ID d'événement 4719 et extraire des informations détaillées sur les modifications de la stratégie d'audit.

1. Ouvrez PowerShell en tant qu'administrateur
2. Interrogez les entrées récentes de l'ID d'événement 4719 :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4719} -MaxEvents 10 | Format-Table TimeCreated, Id, LevelDisplayName, Message -Wrap

3. Obtenez des informations détaillées sur des événements spécifiques :

   $events = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4719} -MaxEvents 5
   foreach ($event in $events) {
       $xml = [xml]$event.ToXml()
       Write-Host "Time: $($event.TimeCreated)"
       Write-Host "User: $($xml.Event.EventData.Data | Where-Object {$_.Name -eq 'SubjectUserName'} | Select-Object -ExpandProperty '#text')"
       Write-Host "Category: $($xml.Event.EventData.Data | Where-Object {$_.Name -eq 'CategoryId'} | Select-Object -ExpandProperty '#text')"
       Write-Host "---"
   }

4. Filtrez les événements par plage de temps spécifique :

   $startTime = (Get-Date).AddDays(-7)
   $endTime = Get-Date
   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4719; StartTime=$startTime; EndTime=$endTime}

Vérifiez les paramètres actuels de la politique d'audit pour comprendre quels journaux sont actuellement activés et comparez-les à vos exigences de sécurité.

1. Ouvrez Invite de commandes en tant qu'administrateur
2. Affichez les paramètres actuels de la politique d'audit :

   auditpol /get /category:*

3. Obtenez des informations détaillées sur les sous-catégories :

   auditpol /get /subcategory:*

4. Vérifiez les catégories d'audit spécifiques qui sont couramment ciblées :

   auditpol /get /subcategory:"Logon" /subcategory:"Account Logon" /subcategory:"Object Access" /subcategory:"Policy Change"

5. Exportez la politique d'audit actuelle pour sauvegarde :

   auditpol /backup /file:C:\temp\current_audit_policy.csv

6. Comparez avec les paramètres de la stratégie de groupe en ouvrant Console de gestion des stratégies de groupe et en naviguant vers Configuration de l'ordinateur → Paramètres Windows → Paramètres de sécurité → Configuration avancée de la politique d'audit

Analysez le contexte autour de l'ID d'événement 4719 pour déterminer si le changement de politique d'audit était légitime ou potentiellement malveillant.

1. Corrélez avec d'autres événements de sécurité autour de la même période :

   $auditChangeTime = (Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4719} -MaxEvents 1).TimeCreated
   $startTime = $auditChangeTime.AddMinutes(-10)
   $endTime = $auditChangeTime.AddMinutes(10)
   Get-WinEvent -FilterHashtable @{LogName='Security'; StartTime=$startTime; EndTime=$endTime} | Where-Object {$_.Id -in @(4624,4625,4648,4672)} | Format-Table TimeCreated, Id, Message -Wrap

2. Vérifiez les événements de création de processus (ID d'événement 4688) autour de la même période :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4688; StartTime=$startTime; EndTime=$endTime} | Where-Object {$_.Message -like '*auditpol*' -or $_.Message -like '*secpol*'}

3. Examinez les événements de connexion pour l'utilisateur qui a effectué le changement :

   $userSID = "S-1-5-21-..." # Extraire des détails de l'ID d'événement 4719
   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4624} | Where-Object {$_.Message -like "*$userSID*"} | Select-Object -First 5

4. Vérifiez le journal des événements système pour les événements de service ou d'application connexes :

   Get-WinEvent -FilterHashtable @{LogName='System'; StartTime=$startTime; EndTime=$endTime} | Where-Object {$_.Message -like '*policy*' -or $_.Message -like '*audit*'}

Configurez une surveillance proactive pour détecter et alerter sur les occurrences de l'ID d'événement 4719 pour améliorer la posture de sécurité.

1. Créez un abonnement personnalisé de transfert d'événements Windows pour une surveillance centralisée :

   <Subscription xmlns="http://schemas.microsoft.com/2006/03/windows/events/subscription">
       <SubscriptionId>AuditPolicyChanges</SubscriptionId>
       <Query>
           <![CDATA[
           <QueryList>
               <Query Id="0">
                   <Select Path="Security">*[System[EventID=4719]]</Select>
               </Query>
           </QueryList>
           ]]>
       </Query>
   </Subscription>

2. Configurez une tâche planifiée pour exécuter le script de surveillance PowerShell :

   $action = New-ScheduledTaskAction -Execute 'PowerShell.exe' -Argument '-File C:\Scripts\Monitor-AuditPolicyChanges.ps1'
   $trigger = New-ScheduledTaskTrigger -Once -At (Get-Date) -RepetitionInterval (New-TimeSpan -Minutes 15)
   $principal = New-ScheduledTaskPrincipal -UserId 'SYSTEM' -LogonType ServiceAccount
   Register-ScheduledTask -TaskName 'Monitor-Event4719' -Action $action -Trigger $trigger -Principal $principal

3. Créez le contenu du script de surveillance :

   # Monitor-AuditPolicyChanges.ps1
   $lastCheck = (Get-Date).AddMinutes(-20)
   $events = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4719; StartTime=$lastCheck} -ErrorAction SilentlyContinue
   if ($events) {
       $events | ForEach-Object {
           $message = "ALERT: Audit policy changed at $($_.TimeCreated) by user in event details"
           Write-EventLog -LogName Application -Source "Custom Security Monitor" -EventId 9999 -Message $message -EntryType Warning
       }
   }

4. Configurez Windows Performance Toolkit (WPT) pour une analyse avancée si nécessaire
5. Configurez l'intégration SIEM pour transférer l'ID d'événement 4719 à votre centre d'opérations de sécurité