ID d'événement Windows 4720 – Microsoft-Windows-Security-Auditing : Compte utilisateur créé

Commencez par examiner les détails de l'événement pour comprendre quel compte a été créé et par qui.

1. Ouvrez Observateur d'événements en appuyant sur Win + R, en tapant eventvwr.msc, et en appuyant sur Entrée
2. Accédez à Journaux Windows → Sécurité
3. Filtrez le journal en cliquant sur Filtrer le journal actuel dans le volet Actions
4. Entrez 4720 dans le champ ID d'événements et cliquez sur OK
5. Double-cliquez sur un événement 4720 pour voir des informations détaillées
6. Examinez les champs clés, y compris :
   • Sujet : Qui a créé le compte
   • Nouveau compte : Détails du compte créé
   • Attributs : Propriétés du compte définies lors de la création
   • Informations supplémentaires : Privilèges et indicateurs de contrôle du compte

Utilisez PowerShell pour rechercher et analyser efficacement les événements de création de compte sur plusieurs systèmes.

1. Ouvrez PowerShell en tant qu'administrateur
2. Interrogez les événements récents de création de compte :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4720} -MaxEvents 50 | Format-Table TimeCreated, Id, LevelDisplayName, Message -Wrap

3. Pour une analyse plus détaillée, extrayez des champs spécifiques :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4720} | ForEach-Object {
       $xml = [xml]$_.ToXml()
       [PSCustomObject]@{
           TimeCreated = $_.TimeCreated
           CreatedBy = $xml.Event.EventData.Data | Where-Object {$_.Name -eq 'SubjectUserName'} | Select-Object -ExpandProperty '#text'
           NewAccount = $xml.Event.EventData.Data | Where-Object {$_.Name -eq 'TargetUserName'} | Select-Object -ExpandProperty '#text'
           Domain = $xml.Event.EventData.Data | Where-Object {$_.Name -eq 'TargetDomainName'} | Select-Object -ExpandProperty '#text'
       }
   }

4. Filtrez les événements par plage de dates :

   $StartTime = (Get-Date).AddDays(-7)
   $EndTime = Get-Date
   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4720; StartTime=$StartTime; EndTime=$EndTime}

Enquêter sur les modèles inhabituels de création de comptes qui pourraient indiquer des problèmes de sécurité ou de processus.

1. Créer un script PowerShell pour analyser les modèles de création :

   # Analyser la création de comptes par créateur
   $Events = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4720} -MaxEvents 1000
   $CreationStats = $Events | ForEach-Object {
       $xml = [xml]$_.ToXml()
       [PSCustomObject]@{
           Creator = $xml.Event.EventData.Data | Where-Object {$_.Name -eq 'SubjectUserName'} | Select-Object -ExpandProperty '#text'
           TimeCreated = $_.TimeCreated
           NewAccount = $xml.Event.EventData.Data | Where-Object {$_.Name -eq 'TargetUserName'} | Select-Object -ExpandProperty '#text'
       }
   } | Group-Object Creator | Sort-Object Count -Descending
   
   $CreationStats | Format-Table Name, Count

2. Vérifier la création de comptes en dehors des heures de bureau :

   # Trouver la création de comptes en dehors des heures de bureau (avant 8h ou après 18h)
   $Events | Where-Object {
       $_.TimeCreated.Hour -lt 8 -or $_.TimeCreated.Hour -gt 18
   } | Format-Table TimeCreated, Message -Wrap

3. Chercher une création rapide de comptes (opérations en masse potentielles) :

   # Grouper les événements par intervalles de 5 minutes pour trouver des créations en masse
   $Events | Group-Object {$_.TimeCreated.ToString('yyyy-MM-dd HH:mm').Substring(0,16)} | Where-Object {$_.Count -gt 5} | Format-Table Name, Count

Dans les environnements de domaine, corrélez l'ID d'événement 4720 avec d'autres événements Active Directory pour une visibilité complète.

1. Vérifiez les journaux du service d'annuaire sur les contrôleurs de domaine :

   Get-WinEvent -FilterHashtable @{LogName='Directory Service'; StartTime=(Get-Date).AddHours(-24)} | Where-Object {$_.Message -like '*user*create*'}

2. Interrogez Active Directory pour les comptes récemment créés :

   Import-Module ActiveDirectory
   $Yesterday = (Get-Date).AddDays(-1)
   Get-ADUser -Filter {whenCreated -gt $Yesterday} -Properties whenCreated, CreatedBy | Select-Object Name, whenCreated, DistinguishedName

3. Comparez les événements du journal de sécurité avec les horodatages de création AD :

   # Obtenez à la fois les événements de sécurité et les données AD
   $SecurityEvents = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4720; StartTime=$Yesterday}
   $ADUsers = Get-ADUser -Filter {whenCreated -gt $Yesterday} -Properties whenCreated
   
   # Recoupez les données
   foreach ($user in $ADUsers) {
       $matchingEvent = $SecurityEvents | Where-Object {$_.Message -like "*$($user.Name)*"}
       if ($matchingEvent) {
           Write-Host "Match found: $($user.Name) created at $($user.whenCreated)"
       }
   }

4. Vérifiez les événements de sécurité orphelins (événements sans objets AD correspondants) :

   # Cela pourrait indiquer des comptes supprimés ou des créations échouées
   $SecurityEvents | ForEach-Object {
       $xml = [xml]$_.ToXml()
       $accountName = $xml.Event.EventData.Data | Where-Object {$_.Name -eq 'TargetUserName'} | Select-Object -ExpandProperty '#text'
       try {
           Get-ADUser $accountName -ErrorAction Stop
       } catch {
           Write-Warning "Account $accountName from event not found in AD"
       }
   }

Configurez une surveillance proactive pour détecter les activités de création de comptes non autorisées ou suspectes.

1. Créez une tâche planifiée pour surveiller la création de comptes:

   # Créer un script de surveillance
   $ScriptContent = @'
   $Events = Get-WinEvent -FilterHashtable @{LogName="Security"; Id=4720; StartTime=(Get-Date).AddMinutes(-15)} -ErrorAction SilentlyContinue
   if ($Events) {
       $Events | ForEach-Object {
           $xml = [xml]$_.ToXml()
           $creator = $xml.Event.EventData.Data | Where-Object {$_.Name -eq "SubjectUserName"} | Select-Object -ExpandProperty "#text"
           $newAccount = $xml.Event.EventData.Data | Where-Object {$_.Name -eq "TargetUserName"} | Select-Object -ExpandProperty "#text"
           Write-EventLog -LogName Application -Source "Account Monitor" -EventId 1001 -Message "New account created: $newAccount by $creator at $($_.TimeCreated)"
       }
   }
   '@
   $ScriptContent | Out-File -FilePath "C:\Scripts\MonitorAccountCreation.ps1"

2. Enregistrez le script en tant que tâche planifiée:

   $Action = New-ScheduledTaskAction -Execute "PowerShell.exe" -Argument "-ExecutionPolicy Bypass -File C:\Scripts\MonitorAccountCreation.ps1"
   $Trigger = New-ScheduledTaskTrigger -RepetitionInterval (New-TimeSpan -Minutes 15) -RepetitionDuration (New-TimeSpan -Days 365) -At (Get-Date)
   $Settings = New-ScheduledTaskSettingsSet -AllowStartIfOnBatteries -DontStopIfGoingOnBatteries
   Register-ScheduledTask -TaskName "Monitor Account Creation" -Action $Action -Trigger $Trigger -Settings $Settings -User "SYSTEM"

3. Configurez le transfert d'événements Windows pour une surveillance centralisée:

   # Créer un abonnement d'événements personnalisé XML
   <Subscription xmlns="http://schemas.microsoft.com/2006/03/windows/events/subscription">
       <SubscriptionId>AccountCreationMonitoring</SubscriptionId>
       <SubscriptionType>SourceInitiated</SubscriptionType>
       <Description>Forward account creation events</Description>
       <Enabled>true</Enabled>
       <Uri>http://schemas.microsoft.com/wbem/wsman/1/windows/EventLog</Uri>
       <ConfigurationMode>Normal</ConfigurationMode>
       <Query>
           <![CDATA[
           <QueryList>
               <Query Id="0">
                   <Select Path="Security">*[System[EventID=4720]]</Select>
               </Query>
           </QueryList>
           ]]>
       </Query>
   </Subscription>

4. Configurez des alertes par e-mail pour les modèles suspects:

   # Surveillance avancée avec alertes par e-mail
   $Events = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4720; StartTime=(Get-Date).AddHours(-1)}
   if ($Events.Count -gt 10) {
       $Body = "Warning: $($Events.Count) accounts created in the last hour. This may indicate bulk provisioning or suspicious activity."
       Send-MailMessage -To "security@company.com" -From "monitoring@company.com" -Subject "High Volume Account Creation Alert" -Body $Body -SmtpServer "mail.company.com"
   }