ID d'événement Windows 4725 – Microsoft-Windows-Security-Auditing : Compte utilisateur désactivé

Commencez par examiner les détails spécifiques de l'ID d'événement 4725 pour comprendre ce qui s'est passé et qui a initié l'action.

1. Ouvrez Observateur d'événements en appuyant sur Win + R, en tapant eventvwr.msc, et en appuyant sur Entrée
2. Accédez à Journaux Windows → Sécurité
3. Filtrez le journal en cliquant sur Filtrer le journal actuel dans le volet droit
4. Entrez 4725 dans le champ ID d'événements et cliquez sur OK
5. Double-cliquez sur un événement 4725 pour voir les détails
6. Examinez la section Sujet pour identifier qui a désactivé le compte
7. Vérifiez la section Compte cible pour voir quel compte a été désactivé
8. Notez l'horodatage et le nom de l'ordinateur pour la corrélation avec d'autres événements

Les détails de l'événement montreront l'ID de sécurité, le nom du compte et le domaine du compte pour le sujet (qui a effectué l'action) et la cible (compte qui a été désactivé).

Utilisez PowerShell pour rechercher et analyser efficacement les occurrences de l'ID d'événement 4725 dans votre environnement.

1. Ouvrez PowerShell en tant qu'administrateur
2. Interrogez les événements récents de désactivation de compte :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4725} -MaxEvents 50 | Select-Object TimeCreated, Id, LevelDisplayName, Message

3. Filtrez les événements par plage de dates spécifique :

   $StartTime = (Get-Date).AddDays(-7)
   $EndTime = Get-Date
   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4725; StartTime=$StartTime; EndTime=$EndTime}

4. Extrait des informations de compte spécifiques :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4725} | ForEach-Object {
       $Event = [xml]$_.ToXml()
       [PSCustomObject]@{
           TimeCreated = $_.TimeCreated
           SubjectUserName = $Event.Event.EventData.Data[1].'#text'
           TargetUserName = $Event.Event.EventData.Data[5].'#text'
           TargetDomain = $Event.Event.EventData.Data[6].'#text'
       }
   }

5. Exportez les résultats au format CSV pour analyse :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4725} | Select-Object TimeCreated, Id, Message | Export-Csv -Path "C:\Temp\DisabledAccounts.csv" -NoTypeInformation

Vérifiez l'état actuel des comptes désactivés et corrélez avec les événements d'audit.

1. Ouvrez Utilisateurs et ordinateurs Active Directory depuis Outils d'administration
2. Activez Fonctionnalités avancées dans le menu Affichage
3. Accédez à l'unité organisationnelle contenant le compte désactivé
4. Cliquez avec le bouton droit sur le compte utilisateur et sélectionnez Propriétés
5. Vérifiez l'onglet Compte pour confirmer que le compte est désactivé
6. Examinez la section Options de compte pour des restrictions supplémentaires
7. Utilisez PowerShell pour interroger les comptes désactivés :

   Get-ADUser -Filter {Enabled -eq $false} -Properties Name, SamAccountName, WhenChanged, LastLogonDate | Select-Object Name, SamAccountName, Enabled, WhenChanged, LastLogonDate

8. Recoupez l'horodatage WhenChanged avec les horodatages de l'ID d'événement 4725
9. Vérifiez les événements connexes autour de la même période :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=@(4724,4725,4726,4738)} -MaxEvents 100 | Where-Object {$_.Message -like "*username*"}

Configurez une surveillance complète pour les événements de gestion de compte afin de détecter les occurrences futures.

1. Ouvrez Group Policy Management Console sur un contrôleur de domaine
2. Accédez à Default Domain Controllers Policy ou créez un nouveau GPO
3. Allez à Computer Configuration → Policies → Windows Settings → Security Settings → Advanced Audit Policy Configuration
4. Développez Account Management et configurez :
   • Audit User Account Management : Succès et Échec
   • Audit Security Group Management : Succès et Échec
5. Appliquez la politique et exécutez gpupdate /force sur les contrôleurs de domaine
6. Configurez le script de surveillance PowerShell :

   # Créer une tâche planifiée pour surveiller la désactivation des comptes
   $Action = New-ScheduledTaskAction -Execute "PowerShell.exe" -Argument "-File C:\Scripts\MonitorAccountDisabling.ps1"
   $Trigger = New-ScheduledTaskTrigger -AtStartup
   $Principal = New-ScheduledTaskPrincipal -UserId "SYSTEM" -LogonType ServiceAccount
   Register-ScheduledTask -TaskName "MonitorAccountDisabling" -Action $Action -Trigger $Trigger -Principal $Principal

7. Créez le script de surveillance à C:\Scripts\MonitorAccountDisabling.ps1 :

   $Events = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4725; StartTime=(Get-Date).AddMinutes(-5)}
   if ($Events) {
       $Events | ForEach-Object {
           $EventXML = [xml]$_.ToXml()
           $TargetUser = $EventXML.Event.EventData.Data[5].'#text'
           Write-EventLog -LogName Application -Source "Account Monitor" -EventId 1001 -Message "Account disabled: $TargetUser"
       }
   }

Effectuer une analyse médico-légale approfondie pour comprendre le contexte et les implications des événements de désactivation de compte.

1. Collecter des données d'événements complètes à l'aide de requêtes PowerShell avancées :

   # Rassembler les événements de sécurité liés pour l'analyse médico-légale
   $StartDate = (Get-Date).AddDays(-30)
   $SecurityEvents = @(4624,4625,4648,4672,4720,4722,4724,4725,4726,4738,4740,4767)
   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=$SecurityEvents; StartTime=$StartDate} | Export-Clixml -Path "C:\Forensics\SecurityEvents.xml"

2. Analyser les modèles de connexion avant la désactivation du compte :

   # Vérifier les dernières connexions réussies pour les comptes désactivés
   $DisabledEvents = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4725}
   $DisabledEvents | ForEach-Object {
       $EventXML = [xml]$_.ToXml()
       $TargetUser = $EventXML.Event.EventData.Data[5].'#text'
       $LastLogon = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4624} | Where-Object {$_.Message -like "*$TargetUser*"} | Select-Object -First 1
       Write-Output "User: $TargetUser, Last Logon: $($LastLogon.TimeCreated)"
   }

3. Vérifier les événements d'escalade de privilèges :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4672} | Where-Object {$_.TimeCreated -gt (Get-Date).AddHours(-1)}

4. Examiner les journaux d'événements système pour les activités connexes :

   Get-WinEvent -FilterHashtable @{LogName='System'; Level=2,3; StartTime=(Get-Date).AddHours(-2)}

5. Générer un rapport médico-légal complet :

   # Créer une chronologie médico-légale détaillée
   $Report = @()
   $Events = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4725; StartTime=(Get-Date).AddDays(-7)}
   $Events | ForEach-Object {
       $EventXML = [xml]$_.ToXml()
       $Report += [PSCustomObject]@{
           Timestamp = $_.TimeCreated
           EventID = $_.Id
           Subject = $EventXML.Event.EventData.Data[1].'#text'
           TargetAccount = $EventXML.Event.EventData.Data[5].'#text'
           Computer = $_.MachineName
       }
   }
   $Report | Export-Csv -Path "C:\Forensics\AccountDisablingReport.csv" -NoTypeInformation