ID d'événement Windows 4727 – Microsoft-Windows-Security-Auditing : Groupe global activé pour la sécurité créé

Commencez par examiner les détails de l'événement directement dans le Visualiseur d'événements pour comprendre le contexte de la création du groupe.

1. Ouvrez Visualiseur d'événements sur le contrôleur de domaine où l'événement s'est produit
2. Accédez à Journaux Windows → Sécurité
3. Filtrez pour l'ID d'événement 4727 en utilisant l'option de filtre ou la fonctionnalité de recherche
4. Double-cliquez sur l'événement pour voir des informations détaillées incluant :
   • Sujet : Compte qui a créé le groupe
   • Nouveau Groupe : Détails du groupe créé
   • Attributs : Propriétés et paramètres initiaux du groupe
5. Notez l'horodatage, le poste de travail source et les détails de la session de connexion pour la corrélation avec d'autres événements
6. Vérifiez si la création du groupe est conforme aux activités administratives autorisées ou aux processus de gestion des changements

Utilisez PowerShell pour interroger et analyser efficacement l'ID d'événement 4727 sur plusieurs contrôleurs de domaine pour une surveillance complète.

1. Ouvrez PowerShell en tant qu'administrateur sur un contrôleur de domaine ou une station de gestion
2. Interrogez les événements récents de création de groupe :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4727} -MaxEvents 50 | Select-Object TimeCreated, Id, LevelDisplayName, Message

3. Filtrez les événements par plage de temps spécifique :

   $StartTime = (Get-Date).AddDays(-7)
   $EndTime = Get-Date
   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4727; StartTime=$StartTime; EndTime=$EndTime}

4. Extrayez des détails spécifiques des messages d'événement :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4727} -MaxEvents 10 | ForEach-Object {
       $Event = [xml]$_.ToXml()
       [PSCustomObject]@{
           TimeCreated = $_.TimeCreated
           SubjectUserName = $Event.Event.EventData.Data | Where-Object {$_.Name -eq 'SubjectUserName'} | Select-Object -ExpandProperty '#text'
           TargetUserName = $Event.Event.EventData.Data | Where-Object {$_.Name -eq 'TargetUserName'} | Select-Object -ExpandProperty '#text'
           TargetDomainName = $Event.Event.EventData.Data | Where-Object {$_.Name -eq 'TargetDomainName'} | Select-Object -ExpandProperty '#text'
       }
   }

5. Exportez les résultats pour une analyse plus approfondie :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4727} -MaxEvents 100 | Export-Csv -Path "C:\Temp\GroupCreationAudit.csv" -NoTypeInformation

Examinez l'état actuel et les autorisations du groupe créé pour vous assurer qu'il est conforme aux politiques de sécurité et à l'utilisation prévue.

1. Ouvrez Active Directory Users and Computers sur un contrôleur de domaine
2. Activez Advanced Features dans le menu Affichage pour voir tous les attributs
3. Localisez le groupe mentionné dans l'entrée Event ID 4727
4. Cliquez avec le bouton droit sur le groupe et sélectionnez Properties
5. Examinez l'onglet General pour obtenir des informations de base sur le groupe et sa description
6. Vérifiez l'onglet Members pour voir si des utilisateurs ont été immédiatement ajoutés au groupe
7. Examinez l'onglet Member Of pour identifier les groupes parents et les autorisations héritées
8. Examinez l'onglet Security pour vérifier les autorisations explicites attribuées au groupe
9. Utilisez PowerShell pour obtenir des informations détaillées sur le groupe :

   Get-ADGroup -Identity "GroupName" -Properties * | Select-Object Name, SamAccountName, GroupScope, GroupCategory, Created, CreatedBy, Description, Members

10. Vérifiez l'appartenance au groupe et les relations imbriquées :

    Get-ADGroupMember -Identity "GroupName" -Recursive | Select-Object Name, ObjectClass, SamAccountName

Analyser les événements de sécurité liés pour construire une chronologie complète des activités entourant la création du groupe et identifier les implications potentielles en matière de sécurité.

1. Rechercher des événements liés dans la même période en utilisant PowerShell :

   $GroupCreationTime = (Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4727} -MaxEvents 1).TimeCreated
   $StartTime = $GroupCreationTime.AddMinutes(-30)
   $EndTime = $GroupCreationTime.AddMinutes(30)
   
   # Rechercher les changements d'appartenance au groupe (4728, 4729, 4732, 4733)
   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4728,4729,4732,4733; StartTime=$StartTime; EndTime=$EndTime}

2. Vérifier les événements de connexion de l'utilisateur qui a créé le groupe :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4624,4625; StartTime=$StartTime; EndTime=$EndTime} | Where-Object {$_.Message -like "*SubjectUserName*"}

3. Rechercher les événements d'escalade de privilèges (4672) autour de la même période :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4672; StartTime=$StartTime; EndTime=$EndTime}

4. Rechercher les événements d'accès aux objets si le groupe a été utilisé immédiatement :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4656,4658,4663; StartTime=$StartTime; EndTime=$EndTime}

5. Créer un rapport de chronologie complet :

   $Events = @()
   $Events += Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4727,4728,4729,4732,4733,4624,4672; StartTime=$StartTime; EndTime=$EndTime}
   $Events | Sort-Object TimeCreated | Select-Object TimeCreated, Id, LevelDisplayName, @{Name='EventType';Expression={switch($_.Id){4727{'Group Created'};4728{'User Added to Group'};4729{'User Removed from Group'};4732{'User Added to Local Group'};4733{'User Removed from Local Group'};4624{'Logon'};4672{'Special Privileges'};default{'Other'}}}}, Message | Export-Csv -Path "C:\Temp\GroupCreationTimeline.csv"

Configurez une surveillance automatisée pour détecter et alerter en temps réel sur les activités de création de groupes non autorisées ou suspectes.

1. Créez une tâche planifiée pour surveiller l'ID d'événement 4727 en utilisant PowerShell :

   # Créer un script de surveillance
   $ScriptContent = @'
   $Events = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4727; StartTime=(Get-Date).AddHours(-1)} -ErrorAction SilentlyContinue
   if ($Events) {
       foreach ($Event in $Events) {
           $EventXML = [xml]$Event.ToXml()
           $Creator = $EventXML.Event.EventData.Data | Where-Object {$_.Name -eq 'SubjectUserName'} | Select-Object -ExpandProperty '#text'
           $GroupName = $EventXML.Event.EventData.Data | Where-Object {$_.Name -eq 'TargetUserName'} | Select-Object -ExpandProperty '#text'
           
           # Envoyer un email d'alerte ou enregistrer dans le SIEM
           Write-EventLog -LogName Application -Source "GroupMonitor" -EventId 1001 -Message "Nouveau groupe de sécurité créé : $GroupName par $Creator à $($Event.TimeCreated)"
       }
   }
   '@
   
   $ScriptContent | Out-File -FilePath "C:\Scripts\MonitorGroupCreation.ps1"

2. Enregistrez le script en tant que tâche planifiée :

   $Action = New-ScheduledTaskAction -Execute "PowerShell.exe" -Argument "-ExecutionPolicy Bypass -File C:\Scripts\MonitorGroupCreation.ps1"
   $Trigger = New-ScheduledTaskTrigger -Once -At (Get-Date) -RepetitionInterval (New-TimeSpan -Hours 1)
   $Settings = New-ScheduledTaskSettingsSet -AllowStartIfOnBatteries -DontStopIfGoingOnBatteries -StartWhenAvailable
   Register-ScheduledTask -TaskName "MonitorGroupCreation" -Action $Action -Trigger $Trigger -Settings $Settings -User "SYSTEM"

3. Configurez le transfert d'événements Windows pour centraliser la collecte de l'ID d'événement 4727 :
   • Sur le serveur collecteur, exécutez : wecutil qc
   • Créez un fichier de configuration d'abonnement pour l'ID d'événement 4727
   • Déployez la configuration WinRM aux contrôleurs de domaine source
4. Configurez des vues personnalisées dans le Visualiseur d'événements pour un accès rapide :
   • Ouvrez Visualiseur d'événements → Vues personnalisées
   • Créez une nouvelle vue personnalisée filtrant pour l'ID d'événement 4727
   • Enregistrez la vue sous "Surveillance de la création de groupe"
5. Intégrez avec des solutions SIEM en configurant le transfert de journaux :

   # Exemple : Transférer vers Splunk Universal Forwarder
   $SplunkConfig = @"
   [WinEventLog://Security]
   disabled = 0
   whitelist = 4727
   index = windows_security
   "@
   $SplunkConfig | Out-File -FilePath "C:\Program Files\SplunkUniversalForwarder\etc\system\local\inputs.conf" -Append