ID d'événement Windows 4724 – Microsoft-Windows-Security-Auditing : Réinitialisation du mot de passe du compte utilisateur par l'administrateur

Commencez par examiner les détails spécifiques de l'entrée de l'ID d'événement 4724 pour comprendre le contexte et les participants impliqués dans la réinitialisation du mot de passe.

1. Ouvrez Observateur d'événements en appuyant sur Win + R, en tapant eventvwr.msc, et en appuyant sur Entrée
2. Accédez à Journaux Windows → Sécurité
3. Filtrez pour l'ID d'événement 4724 en cliquant avec le bouton droit sur le journal Sécurité et en sélectionnant Filtrer le journal actuel
4. Entrez 4724 dans le champ ID d'événements et cliquez sur OK
5. Double-cliquez sur un événement 4724 pour voir des informations détaillées, y compris :
   • Sujet : L'administrateur qui a effectué la réinitialisation
   • Compte cible : L'utilisateur dont le mot de passe a été réinitialisé
   • ID de connexion : Identifiant de session pour la session administrative
   • Nom de l'ordinateur appelant : Poste de travail où la réinitialisation a été initiée

Utilisez PowerShell pour interroger et analyser efficacement les entrées d'ID d'événement 4724 sur plusieurs systèmes ou plages de temps.

1. Ouvrez PowerShell en tant qu'administrateur
2. Interrogez les événements récents de réinitialisation de mot de passe :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4724} -MaxEvents 50 | Format-Table TimeCreated, Id, LevelDisplayName, Message -Wrap

3. Filtrez les événements par plage de temps spécifique :

   $StartTime = (Get-Date).AddDays(-7)
   $EndTime = Get-Date
   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4724; StartTime=$StartTime; EndTime=$EndTime}

4. Extrait des informations détaillées des propriétés de l'événement :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4724} -MaxEvents 10 | ForEach-Object {
       $Event = [xml]$_.ToXml()
       [PSCustomObject]@{
           TimeCreated = $_.TimeCreated
           Administrator = $Event.Event.EventData.Data[0].'#text'
           TargetUser = $Event.Event.EventData.Data[5].'#text'
           CallerComputer = $Event.Event.EventData.Data[11].'#text'
       }
   }

5. Interrogez les événements à partir de contrôleurs de domaine distants :

   $DCs = Get-ADDomainController -Filter *
   foreach ($DC in $DCs) {
       Write-Host "Checking $($DC.Name)..."
       Get-WinEvent -ComputerName $DC.Name -FilterHashtable @{LogName='Security'; Id=4724} -MaxEvents 5
   }

Enquêtez sur l'ID d'événement 4724 ainsi que sur les événements de sécurité connexes pour obtenir une image complète des activités administratives et des préoccupations de sécurité potentielles.

1. Vérifiez les événements de connexion (4624) du même administrateur autour du moment de la réinitialisation du mot de passe :

   $ResetTime = (Get-Date '2026-03-18 10:30:00')
   $TimeWindow = 30 # minutes
   $StartTime = $ResetTime.AddMinutes(-$TimeWindow)
   $EndTime = $ResetTime.AddMinutes($TimeWindow)
   
   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4624,4724; StartTime=$StartTime; EndTime=$EndTime} | Sort-Object TimeCreated

2. Cherchez les événements de verrouillage de compte (4740) qui pourraient avoir précédé la réinitialisation du mot de passe :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4740,4724} -MaxEvents 20 | Sort-Object TimeCreated

3. Vérifiez les événements d'escalade de privilèges (4672) indiquant l'utilisation de droits administratifs :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4672,4724} | Where-Object {$_.TimeCreated -gt (Get-Date).AddHours(-1)} | Sort-Object TimeCreated

4. Examinez les tentatives de connexion échouées (4625) qui pourraient indiquer la raison de la réinitialisation du mot de passe :

   $TargetUser = "john.doe"
   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625} | Where-Object {$_.Message -like "*$TargetUser*"} | Select-Object TimeCreated, Message

Implémentez une surveillance et une alerte complètes pour l'ID d'événement 4724 afin de détecter de manière proactive les activités de réinitialisation de mot de passe non autorisées ou suspectes.

1. Activez la stratégie d'audit détaillée pour la gestion des comptes :

   auditpol /set /subcategory:"User Account Management" /success:enable /failure:enable

2. Configurez la stratégie de groupe pour un audit amélioré :
   • Ouvrez Group Policy Management Console
   • Accédez à Configuration de l'ordinateur → Stratégies → Paramètres Windows → Paramètres de sécurité → Configuration avancée de la stratégie d'audit
   • Activez Audit de la gestion des comptes d'utilisateur pour les réussites et les échecs
3. Créez un script de surveillance PowerShell :

   # Enregistrez sous Monitor-PasswordResets.ps1
   $LastCheck = (Get-Date).AddMinutes(-5)
   Register-WmiEvent -Query "SELECT * FROM Win32_NTLogEvent WHERE LogFile='Security' AND EventCode=4724" -Action {
       $Event = $Event.SourceEventArgs.NewEvent
       $Message = "Réinitialisation de mot de passe détectée : Utilisateur $($Event.InsertionStrings[5]) par $($Event.InsertionStrings[0])"
       Write-EventLog -LogName Application -Source "Password Monitor" -EventId 1001 -Message $Message
       # Ajoutez ici la notification par email ou l'intégration SIEM
   }

4. Configurez le transfert d'événements Windows pour centraliser les journaux :
   • Configurez les ordinateurs sources avec : winrm quickconfig
   • Sur le serveur collecteur, exécutez : wecutil cs subscription.xml
   • Créez un fichier XML d'abonnement ciblant l'ID d'événement 4724
5. Implémentez des politiques de rétention des journaux dans le registre :

   Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\EventLog\Security" -Name "MaxSize" -Value 0x6400000 # 100MB
   Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\EventLog\Security" -Name "Retention" -Value 0

Effectuer une analyse médico-légale complète de l'ID d'événement 4724 pour les enquêtes de sécurité et les exigences de rapport de conformité.

1. Exporter les journaux de sécurité pour une analyse hors ligne:

   $ExportPath = "C:\Forensics\SecurityLogs_$(Get-Date -Format 'yyyyMMdd').evtx"
   wevtutil epl Security $ExportPath

2. Générer des rapports détaillés de réinitialisation de mot de passe:

   # Créer un rapport complet de réinitialisation de mot de passe
   $Events = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4724} -MaxEvents 1000
   $Report = $Events | ForEach-Object {
       $EventXML = [xml]$_.ToXml()
       $EventData = $EventXML.Event.EventData.Data
       [PSCustomObject]@{
           Timestamp = $_.TimeCreated
           Administrator = $EventData[0].'#text'
           AdminDomain = $EventData[1].'#text'
           AdminLogonId = $EventData[2].'#text'
           TargetUser = $EventData[5].'#text'
           TargetDomain = $EventData[6].'#text'
           TargetSID = $EventData[4].'#text'
           CallerComputer = $EventData[11].'#text'
           CallerLogonId = $EventData[12].'#text'
       }
   }
   $Report | Export-Csv -Path "C:\Reports\PasswordResets_$(Get-Date -Format 'yyyyMMdd').csv" -NoTypeInformation

3. Analyser les modèles et les anomalies:

   # Identifier les administrateurs avec une activité de réinitialisation élevée
   $Report | Group-Object Administrator | Sort-Object Count -Descending | Select-Object Name, Count
   
   # Trouver des heures de réinitialisation inhabituelles (en dehors des heures de bureau)
   $Report | Where-Object {$_.Timestamp.Hour -lt 8 -or $_.Timestamp.Hour -gt 18} | Format-Table
   
   # Détecter les opérations de réinitialisation en masse
   $Report | Group-Object @{Expression={$_.Timestamp.ToString("yyyy-MM-dd HH:mm")}} | Where-Object {$_.Count -gt 5}

4. Recouper avec les changements d'Active Directory:

   Import-Module ActiveDirectory
   $RecentResets = $Report | Where-Object {$_.Timestamp -gt (Get-Date).AddDays(-1)}
   foreach ($Reset in $RecentResets) {
       $User = Get-ADUser -Identity $Reset.TargetUser -Properties PasswordLastSet, LastLogonDate
       Write-Output "User: $($Reset.TargetUser), Password Reset: $($Reset.Timestamp), Last Logon: $($User.LastLogonDate)"
   }

5. Générer une documentation de conformité:

   # Créer une documentation de piste d'audit
   $ComplianceReport = @"
   Password Reset Audit Report
   Generated: $(Get-Date)
   Total Events: $($Report.Count)
   Date Range: $($Report[0].Timestamp) to $($Report[-1].Timestamp)
   
   Top Administrators:
   $($Report | Group-Object Administrator | Sort-Object Count -Descending | Select-Object -First 5 | Format-Table -AutoSize | Out-String)
   
   After-Hours Activity:
   $($Report | Where-Object {$_.Timestamp.Hour -lt 8 -or $_.Timestamp.Hour -gt 18} | Format-Table | Out-String)
   "@
   $ComplianceReport | Out-File -FilePath "C:\Reports\ComplianceReport_$(Get-Date -Format 'yyyyMMdd').txt"