ID d'événement Windows 4722 – Microsoft-Windows-Security-Auditing : Compte utilisateur activé

Commencez par examiner les détails spécifiques de l'Événement 4722 pour comprendre le contexte et identifier les comptes impliqués.

1. Ouvrez Observateur d'événements en appuyant sur Win + R, en tapant eventvwr.msc, et en appuyant sur Entrée
2. Accédez à Journaux Windows → Sécurité
3. Filtrez le journal en cliquant sur Filtrer le journal actuel dans le volet Actions
4. Entrez 4722 dans le champ ID d'événement et cliquez sur OK
5. Double-cliquez sur les entrées de l'Événement 4722 pour voir les informations détaillées
6. Consultez l'onglet Général pour les détails de base et l'onglet Détails pour les données structurées
7. Notez les champs Sujet indiquant qui a effectué l'action et les champs Compte cible indiquant quel compte a été activé
8. Vérifiez l'ID de connexion pour corréler avec d'autres événements de la même session

Portez une attention particulière à l'horodatage et à la question de savoir si plusieurs comptes ont été activés en succession rapide, ce qui pourrait indiquer des opérations en masse ou des incidents de sécurité potentiels.

Utilisez PowerShell pour interroger et analyser efficacement les occurrences de l'événement 4722 dans votre environnement.

1. Ouvrez PowerShell en tant qu'administrateur
2. Interrogez les événements récents d'activation de compte :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4722} -MaxEvents 50 | Format-Table TimeCreated, Id, LevelDisplayName, Message -Wrap

3. Filtrez les événements par plage de dates spécifique :

   $StartTime = (Get-Date).AddDays(-7)
   $EndTime = Get-Date
   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4722; StartTime=$StartTime; EndTime=$EndTime}

4. Extrait des informations détaillées des propriétés de l'événement :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4722} -MaxEvents 10 | ForEach-Object {
       $Event = [xml]$_.ToXml()
       [PSCustomObject]@{
           TimeCreated = $_.TimeCreated
           SubjectUserName = $Event.Event.EventData.Data | Where-Object {$_.Name -eq 'SubjectUserName'} | Select-Object -ExpandProperty '#text'
           TargetUserName = $Event.Event.EventData.Data | Where-Object {$_.Name -eq 'TargetUserName'} | Select-Object -ExpandProperty '#text'
           TargetSid = $Event.Event.EventData.Data | Where-Object {$_.Name -eq 'TargetSid'} | Select-Object -ExpandProperty '#text'
       }
   }

5. Exportez les résultats pour une analyse plus approfondie :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4722} | Export-Csv -Path "C:\Temp\AccountEnabled_Events.csv" -NoTypeInformation

Pour les environnements de domaine, examinez le contexte Active Directory des événements d'activation de compte.

1. Ouvrez Utilisateurs et ordinateurs Active Directory depuis Outils d'administration
2. Activez Fonctionnalités avancées dans le menu Affichage
3. Localisez le compte utilisateur mentionné dans l'événement 4722
4. Cliquez avec le bouton droit sur le compte et sélectionnez Propriétés
5. Vérifiez l'onglet Compte pour confirmer l'état actuel du compte
6. Examinez l'onglet Éditeur d'attributs pour des modifications d'attributs détaillées
7. Utilisez PowerShell pour interroger les détails du compte AD :

   Import-Module ActiveDirectory
   Get-ADUser -Identity "username" -Properties whenChanged, whenCreated, userAccountControl, lastLogon | Format-List

8. Vérifiez les modifications récentes du compte :

   Get-ADUser -Filter * -Properties whenChanged | Where-Object {$_.whenChanged -gt (Get-Date).AddDays(-1)} | Select-Object Name, whenChanged, Enabled

9. Examinez les modifications d'appartenance au groupe qui pourraient avoir déclenché l'activation :

   Get-ADPrincipalGroupMembership -Identity "username" | Select-Object Name, GroupCategory, GroupScope

10. Examinez les métadonnées de réplication pour le compte :

    Get-ADReplicationAttributeMetadata -Object "CN=username,OU=Users,DC=domain,DC=com" -Server "DomainController"

Analysez l'événement 4722 dans le contexte des événements d'authentification et d'accès associés pour comprendre l'étendue complète de l'activité du compte.

1. Interrogez les événements de connexion après l'activation du compte :

   $AccountEnabled = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4722} -MaxEvents 1
   $EnableTime = $AccountEnabled.TimeCreated
   $EndTime = $EnableTime.AddHours(24)
   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4624,4625; StartTime=$EnableTime; EndTime=$EndTime} | Where-Object {$_.Message -like "*username*"}

2. Vérifiez les événements d'escalade de privilèges :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4672,4673,4674} | Where-Object {$_.TimeCreated -gt $EnableTime -and $_.Message -like "*username*"}

3. Recherchez les événements de gestion de compte en séquence :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4720,4722,4724,4725,4726,4738} | Sort-Object TimeCreated | Format-Table TimeCreated, Id, Message -Wrap

4. Examinez l'accès aux fichiers et au registre après l'activation :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4656,4658,4663} | Where-Object {$_.TimeCreated -gt $EnableTime -and $_.Message -like "*username*"} | Select-Object TimeCreated, Id, Message

5. Créez une chronologie des événements associés :

   $Events = @(4720,4722,4724,4725,4726,4738,4624,4625,4672)
   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=$Events; StartTime=$EnableTime.AddHours(-1); EndTime=$EnableTime.AddHours(1)} | Sort-Object TimeCreated | Export-Csv -Path "C:\Temp\AccountActivity_Timeline.csv"

Cette corrélation aide à identifier si l'activation du compte a été suivie d'une activité commerciale légitime ou de comportements potentiellement suspects.

Configurez une surveillance proactive pour détecter et répondre aux événements d'activation de compte en temps réel.

1. Créez une vue personnalisée dans le Visualiseur d'événements pour la surveillance :
   • Ouvrez Visualiseur d'événements et cliquez avec le bouton droit sur Vues personnalisées
   • Sélectionnez Créer une vue personnalisée
   • Choisissez Par journal et sélectionnez Sécurité
   • Entrez 4722 dans le champ ID d'événements
   • Nommer la vue "Surveillance de l'activation de compte"
2. Configurez le transfert d'événements Windows pour une collecte centralisée :

   # Sur le serveur collecteur
   wecutil qc
   wecutil cs subscription.xml

3. Créez un script de surveillance PowerShell :

   # AccountEnablementMonitor.ps1
   $LastCheck = (Get-Date).AddMinutes(-5)
   $Events = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4722; StartTime=$LastCheck}
   foreach ($Event in $Events) {
       $EventXML = [xml]$Event.ToXml()
       $TargetUser = $EventXML.Event.EventData.Data | Where-Object {$_.Name -eq 'TargetUserName'} | Select-Object -ExpandProperty '#text'
       $SubjectUser = $EventXML.Event.EventData.Data | Where-Object {$_.Name -eq 'SubjectUserName'} | Select-Object -ExpandProperty '#text'
       
       Write-Host "ALERT: Account $TargetUser enabled by $SubjectUser at $($Event.TimeCreated)" -ForegroundColor Red
       # Ajoutez ici la logique de notification (email, webhook, etc.)
   }

4. Planifiez le script de surveillance :

   $Action = New-ScheduledTaskAction -Execute "PowerShell.exe" -Argument "-File C:\Scripts\AccountEnablementMonitor.ps1"
   $Trigger = New-ScheduledTaskTrigger -RepetitionInterval (New-TimeSpan -Minutes 5) -RepetitionDuration (New-TimeSpan -Days 365) -At (Get-Date)
   Register-ScheduledTask -TaskName "AccountEnablementMonitor" -Action $Action -Trigger $Trigger -User "SYSTEM"

5. Configurez l'intégration SIEM en utilisant le transfert d'événements Windows ou l'envoi direct de journaux à votre plateforme de surveillance de sécurité