ID d'événement Windows 4726 – Microsoft-Windows-Security-Auditing : Compte utilisateur supprimé

Commencez par examiner les détails complets de l'événement pour comprendre le contexte de la suppression :

1. Ouvrez Observateur d'événements en appuyant sur Win + R, en tapant eventvwr.msc, et en appuyant sur Entrée
2. Accédez à Journaux Windows → Sécurité
3. Filtrez pour l'ID d'événement 4726 en cliquant avec le bouton droit sur le journal Sécurité et en sélectionnant Filtrer le journal actuel
4. Entrez 4726 dans le champ ID d'événements et cliquez sur OK
5. Double-cliquez sur un événement 4726 pour voir des informations détaillées, y compris :
   • Sujet : Qui a supprimé le compte (Nom du compte, Domaine du compte, ID de connexion)
   • Compte cible : Quel compte a été supprimé (Nom du compte, Domaine du compte, ID de sécurité)
   • Informations supplémentaires : Privilèges utilisés pour l'opération
6. Notez l'horodatage et corrélez-le avec tout processus de gestion des changements ou activités administratives

Utilisez PowerShell pour extraire et analyser les événements de suppression de compte de manière programmatique :

1. Ouvrez PowerShell en tant qu'administrateur
2. Interrogez les événements récents de suppression de compte :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4726} -MaxEvents 50 | Select-Object TimeCreated, Id, @{Name='DeletedAccount';Expression={($_.Message -split '\n' | Where-Object {$_ -match 'Account Name:'} | Select-Object -First 1) -replace '.*Account Name:\s*', ''}}, @{Name='DeletedBy';Expression={($_.Message -split '\n' | Where-Object {$_ -match 'Subject:' -A 3} | Where-Object {$_ -match 'Account Name:'} | Select-Object -First 1) -replace '.*Account Name:\s*', ''}}

3. Exportez les événements vers un fichier CSV pour une analyse plus approfondie :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4726} | Select-Object TimeCreated, LevelDisplayName, @{Name='Message';Expression={$_.Message}} | Export-Csv -Path "C:\Temp\AccountDeletions.csv" -NoTypeInformation

4. Filtrez les événements par plage de temps spécifique :

   $StartTime = (Get-Date).AddDays(-7)
   $EndTime = Get-Date
   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4726; StartTime=$StartTime; EndTime=$EndTime}

5. Recherchez les suppressions par un administrateur spécifique :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4726} | Where-Object {$_.Message -match 'DOMAIN\\AdminUsername'}

Dans les environnements de domaine, corrélez l'ID d'événement 4726 avec d'autres événements Active Directory pour un contexte complet :

1. Vérifiez les événements liés sur les contrôleurs de domaine :

   Get-WinEvent -ComputerName DC01 -FilterHashtable @{LogName='Security'; Id=4726,4728,4729,4732,4733} -MaxEvents 100 | Sort-Object TimeCreated

2. Interrogez le journal du service d'annuaire pour un contexte supplémentaire :

   Get-WinEvent -FilterHashtable @{LogName='Directory Service'} | Where-Object {$_.TimeCreated -gt (Get-Date).AddHours(-1) -and $_.Message -match 'delete'}

3. Utilisez le module PowerShell Active Directory pour vérifier les objets récemment supprimés :

   Import-Module ActiveDirectory
   Get-ADObject -Filter {Deleted -eq $true} -IncludeDeletedObjects -Properties whenChanged,whenCreated,DisplayName | Where-Object {$_.whenChanged -gt (Get-Date).AddDays(-1)}

4. Vérifiez la Corbeille Active Directory si elle est activée :

   Get-ADObject -Filter {Deleted -eq $true -and ObjectClass -eq 'user'} -IncludeDeletedObjects -Properties DisplayName,whenChanged,LastKnownParent

5. Examinez les modifications de la stratégie de groupe qui pourraient déclencher des suppressions automatiques :

   Get-WinEvent -FilterHashtable @{LogName='System'; Id=1502,1503} | Where-Object {$_.TimeCreated -gt (Get-Date).AddDays(-1)}

Configurez une surveillance proactive pour détecter les suppressions de comptes non autorisées :

1. Créez une vue personnalisée dans l'Observateur d'événements pour les suppressions de comptes :
   • Dans l'Observateur d'événements, cliquez avec le bouton droit sur Vues personnalisées et sélectionnez Créer une vue personnalisée
   • Définissez le Niveau d'événement sur Information
   • Entrez 4726 dans ID d'événements
   • Sélectionnez Sécurité dans les journaux d'événements
   • Nommer la vue "Suppressions de comptes" et enregistrez
2. Configurez le transfert d'événements Windows (WEF) pour centraliser les événements :

   # Sur le serveur collecteur
   wecutil qc /q
   # Créer une souscription
   wecutil cs subscription.xml

3. Configurez un script de surveillance basé sur PowerShell :

   Register-WmiEvent -Query "SELECT * FROM __InstanceCreationEvent WITHIN 10 WHERE TargetInstance ISA 'Win32_NTLogEvent' AND TargetInstance.LogFile = 'Security' AND TargetInstance.EventCode = 4726" -Action {
       $Event = $Event.SourceEventArgs.NewEvent.TargetInstance
       Send-MailMessage -To "admin@company.com" -From "monitoring@company.com" -Subject "Account Deleted" -Body "Account deletion detected: $($Event.Message)" -SmtpServer "mail.company.com"
   }

4. Configurez le Planificateur de tâches pour exécuter les scripts de surveillance :

   $Action = New-ScheduledTaskAction -Execute "PowerShell.exe" -Argument "-File C:\Scripts\MonitorAccountDeletions.ps1"
   $Trigger = New-ScheduledTaskTrigger -AtStartup
   Register-ScheduledTask -TaskName "MonitorAccountDeletions" -Action $Action -Trigger $Trigger -RunLevel Highest

Effectuer une analyse médico-légale détaillée lorsque des suppressions non autorisées sont suspectées :

1. Préserver les preuves en exportant les événements pertinents :

   $Events = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4726; StartTime=(Get-Date).AddDays(-30)}
   $Events | Export-Csv -Path "C:\Forensics\AccountDeletions_$(Get-Date -Format 'yyyyMMdd').csv" -NoTypeInformation

2. Analyser les sessions de connexion associées aux suppressions :

   # Obtenir les événements de connexion pour la même session
   $LogonId = "0x3e7"  # Extraire de l'événement 4726
   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4624,4634} | Where-Object {$_.Message -match $LogonId}

3. Vérifier les événements d'escalade de privilèges :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4672,4673,4674} | Where-Object {$_.TimeCreated -gt (Get-Date).AddHours(-2) -and $_.TimeCreated -lt (Get-Date).AddMinutes(-5)}

4. Tenter de récupérer le compte depuis la corbeille Active Directory :

   # Trouver l'utilisateur supprimé par SID ou nom
   $DeletedUser = Get-ADObject -Filter {Deleted -eq $true -and SamAccountName -eq 'username'} -IncludeDeletedObjects
   # Restaurer le compte
   Restore-ADObject -Identity $DeletedUser

5. Générer un rapport médico-légal complet :

   $Report = @{
       DeletionEvents = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4726; StartTime=(Get-Date).AddDays(-7)}
       RelatedLogons = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4624,4634; StartTime=(Get-Date).AddDays(-7)}
       PrivilegeUse = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4672; StartTime=(Get-Date).AddDays(-7)}
   }
   $Report | ConvertTo-Json -Depth 3 | Out-File "C:\Forensics\DeletionInvestigation.json"