ID d'événement Windows 4728 – Microsoft-Windows-Security-Auditing : Un membre a été ajouté à un groupe global activé pour la sécurité

Commencez par examiner les détails complets de l'événement pour comprendre qui a effectué le changement et quels comptes ont été affectés.

1. Ouvrez Observateur d'événements sur le contrôleur de domaine où l'événement s'est produit
2. Accédez à Journaux Windows → Sécurité
3. Filtrez pour l'ID d'événement 4728 en utilisant l'option de filtre ou la fonctionnalité de recherche
4. Double-cliquez sur l'événement pour voir les informations détaillées, y compris :
   • Sujet : Compte qui a effectué l'action
   • Membre : Compte qui a été ajouté au groupe
   • Groupe : Détails du groupe de sécurité cible
   • Informations supplémentaires : Privilèges utilisés et session de connexion
5. Notez l'horodatage, l'ordinateur source et la corrélation avec d'autres événements de sécurité
6. Recoupez le compte Sujet avec les activités administratives attendues

Utilisez PowerShell pour analyser plusieurs occurrences de l'ID d'événement 4728 et identifier des motifs ou des anomalies dans les changements d'appartenance à des groupes.

1. Ouvrez PowerShell en tant qu'administrateur sur un contrôleur de domaine ou une station de gestion
2. Interrogez les ajouts récents d'appartenance à des groupes :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4728} -MaxEvents 50 | Select-Object TimeCreated, Id, @{Name='Subject';Expression={($_.Message -split '\n' | Where-Object {$_ -like '*Subject:*'} | Select-Object -First 3) -join ' '}}, @{Name='Group';Expression={($_.Message -split '\n' | Where-Object {$_ -like '*Group:*'} | Select-Object -First 2) -join ' '}} | Format-Table -AutoSize

3. Filtrez pour des groupes spécifiques à haut privilège :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4728} | Where-Object {$_.Message -like '*Domain Admins*' -or $_.Message -like '*Enterprise Admins*' -or $_.Message -like '*Schema Admins*'} | Select-Object TimeCreated, Message

4. Analysez les événements par compte utilisateur spécifique :

   $TargetUser = "username"
   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4728} | Where-Object {$_.Message -like "*$TargetUser*"} | Select-Object TimeCreated, @{Name='Details';Expression={$_.Message}} | Format-List

5. Exportez les résultats pour une analyse plus approfondie :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4728; StartTime=(Get-Date).AddDays(-7)} | Export-Csv -Path "C:\Temp\GroupMembershipChanges.csv" -NoTypeInformation

Recoupez l'ID d'événement 4728 avec l'appartenance réelle au groupe Active Directory pour vérifier les changements légitimes et détecter les problèmes potentiels.

1. Identifiez le groupe affecté à partir des détails de l'événement
2. Vérifiez l'appartenance actuelle au groupe en utilisant Active Directory PowerShell :

   Import-Module ActiveDirectory
   $GroupName = "Domain Admins"  # Remplacez par le nom réel du groupe
   Get-ADGroupMember -Identity $GroupName | Select-Object Name, SamAccountName, ObjectClass, DistinguishedName

3. Examinez l'historique des modifications du groupe :

   Get-ADGroup -Identity $GroupName -Properties whenChanged, whenCreated, managedBy | Select-Object Name, whenCreated, whenChanged, managedBy

4. Vérifiez les changements récents d'appartenance au groupe sur plusieurs contrôleurs de domaine :

   $DCs = Get-ADDomainController -Filter *
   foreach ($DC in $DCs) {
       Write-Host "Checking $($DC.Name)..."
       Get-WinEvent -ComputerName $DC.Name -FilterHashtable @{LogName='Security'; Id=4728; StartTime=(Get-Date).AddHours(-24)} -ErrorAction SilentlyContinue | Select-Object TimeCreated, MachineName
   }

5. Validez que le changement a été autorisé en vérifiant les enregistrements de gestion des changements ou les tickets du service desk
6. Si non autorisé, examinez immédiatement les permissions actuelles et les activités récentes du compte ajouté

Configurez une surveillance proactive pour détecter et alerter sur les changements suspects d'appartenance à des groupes en temps réel.

1. Créez une tâche personnalisée dans le Visualiseur d'événements pour une notification immédiate:
   • Dans le Visualiseur d'événements, cliquez avec le bouton droit sur l'entrée de l'ID d'événement 4728
   • Sélectionnez Attacher une tâche à cet événement
   • Configurez des alertes par email ou l'exécution de scripts pour les changements de groupes à haut privilège
2. Configurez le transfert d'événements Windows (WEF) pour centraliser les événements:

   # Sur le serveur collecteur
   wecutil qc
   wecutil cs subscription.xml  # Créez d'abord le fichier d'abonnement

3. Configurez un script de surveillance basé sur PowerShell:

   # Enregistrez sous MonitorGroupChanges.ps1
   $HighPrivilegeGroups = @("Domain Admins", "Enterprise Admins", "Schema Admins", "Administrators")
   
   Register-WmiEvent -Query "SELECT * FROM __InstanceCreationEvent WITHIN 10 WHERE TargetInstance ISA 'Win32_NTLogEvent' AND TargetInstance.EventCode = 4728" -Action {
       $Event = $Event.SourceEventArgs.NewEvent.TargetInstance
       $Message = $Event.Message
       
       foreach ($Group in $HighPrivilegeGroups) {
           if ($Message -like "*$Group*") {
               Send-MailMessage -To "security@company.com" -From "monitoring@company.com" -Subject "ALERT: High-Privilege Group Modified" -Body $Message -SmtpServer "mail.company.com"
               break
           }
       }
   }

4. Configurez la stratégie de groupe pour activer les politiques d'audit avancées:
   • Accédez à Configuration de l'ordinateur\Stratégies\Paramètres Windows\Paramètres de sécurité\Configuration des stratégies d'audit avancées\Stratégies d'audit\Gestion des comptes
   • Activez Audit de la gestion des groupes de sécurité pour les événements de réussite
5. Implémentez l'intégration SIEM en utilisant le transfert de journal d'événements Windows ou des agents

Effectuez une analyse médico-légale approfondie lorsque l'ID d'événement 4728 indique des incidents de sécurité potentiels ou un accès non autorisé.

1. Préservez les preuves en exportant les journaux de sécurité pertinents :

   # Exporter les événements de sécurité autour de la période de l'incident
   $StartTime = (Get-Date "2026-03-18 14:00:00")
   $EndTime = (Get-Date "2026-03-18 16:00:00")
   Get-WinEvent -FilterHashtable @{LogName='Security'; StartTime=$StartTime; EndTime=$EndTime} | Export-Clixml -Path "C:\Forensics\SecurityEvents_$(Get-Date -Format 'yyyyMMdd_HHmmss').xml"

2. Analysez la session de connexion complète du compte sujet :

   # Trouver les événements de connexion pour le compte sujet
   $SubjectAccount = "DOMAIN\username"  # D'après les détails de l'ID d'événement 4728
   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4624,4625,4634} | Where-Object {$_.Message -like "*$SubjectAccount*"} | Select-Object TimeCreated, Id, Message

3. Vérifiez les événements d'escalade de privilèges précédant la modification du groupe :

   # Rechercher les événements d'utilisation de privilèges
   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4672,4673,4674} -MaxEvents 100 | Where-Object {$_.TimeCreated -ge $StartTime -and $_.TimeCreated -le $EndTime} | Format-Table TimeCreated, Id, Message -Wrap

4. Examinez les modifications associées à Active Directory :

   # Vérifier d'autres modifications AD
   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4727,4728,4729,4730,4731,4732,4733,4734,4735,4737,4754,4755,4756,4757,4758} | Where-Object {$_.TimeCreated -ge $StartTime.AddMinutes(-30) -and $_.TimeCreated -le $EndTime.AddMinutes(30)} | Sort-Object TimeCreated

5. Documentez les résultats et créez une chronologie de l'incident :
   • Enregistrez tous les ID d'événement pertinents, les horodatages et les comptes affectés
   • Identifiez le vecteur d'attaque et la portée potentielle de l'impact
   • Déterminez si des systèmes ou comptes supplémentaires ont été compromis
   • Mettez en œuvre des mesures de confinement si un accès non autorisé est confirmé
6. Examinez et mettez à jour les politiques de sécurité en fonction des résultats de l'enquête