ID d'événement Windows 4729 – Microsoft-Windows-Security-Auditing : Un membre a été retiré d'un groupe global activé pour la sécurité

Commencez par examiner les détails de l'événement pour comprendre ce qui s'est passé et qui a initié le changement.

1. Ouvrez Observateur d'événements sur le contrôleur de domaine
2. Accédez à Journaux Windows → Sécurité
3. Filtrez pour l'ID d'événement 4729 en utilisant l'option de filtre
4. Double-cliquez sur l'événement pour voir les informations détaillées
5. Examinez les champs clés suivants :
   • Sujet : Compte qui a effectué la suppression
   • Membre : Compte qui a été retiré du groupe
   • Groupe : Nom du groupe cible et domaine
   • Informations supplémentaires : Privilèges utilisés pour l'opération

Utilisez cette commande PowerShell pour récupérer rapidement les événements récents 4729 :

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4729} -MaxEvents 20 | Format-Table TimeCreated, Id, LevelDisplayName, Message -Wrap

Utilisez PowerShell pour effectuer un filtrage avancé et une analyse des événements de suppression d'appartenance à un groupe.

1. Interroger les événements pour un groupe spécifique :

$Events = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4729} -MaxEvents 100
$Events | Where-Object {$_.Message -like '*GroupName*'} | Select-Object TimeCreated, @{Name='User';Expression={($_.Message -split '\n' | Where-Object {$_ -like '*Account Name:*'})[0] -replace '.*Account Name:\s*'}}, @{Name='Group';Expression={($_.Message -split '\n' | Where-Object {$_ -like '*Group Name:*'})[0] -replace '.*Group Name:\s*'}}

2. Rechercher des événements dans une plage de temps spécifique :

$StartTime = (Get-Date).AddDays(-7)
$EndTime = Get-Date
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4729; StartTime=$StartTime; EndTime=$EndTime} | Format-Table TimeCreated, Message -Wrap

3. Exporter les événements vers un fichier CSV pour une analyse plus approfondie :

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4729} -MaxEvents 500 | Select-Object TimeCreated, Id, LevelDisplayName, Message | Export-Csv -Path "C:\Temp\GroupRemovals.csv" -NoTypeInformation

Enquêter sur l'état actuel du groupe et vérifier que le changement de membre a été autorisé.

1. Vérifier l'appartenance actuelle au groupe en utilisant PowerShell :

Get-ADGroupMember -Identity "GroupName" | Select-Object Name, SamAccountName, ObjectClass

2. Examiner l'historique des modifications du groupe :

Get-ADGroup -Identity "GroupName" -Properties whenChanged, whenCreated, modifyTimeStamp | Select-Object Name, whenCreated, whenChanged, modifyTimeStamp

3. Vérifier les événements liés (4728 pour les ajouts, 4730 pour les suppressions) :

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4728,4729,4730} -MaxEvents 50 | Where-Object {$_.Message -like '*GroupName*'} | Sort-Object TimeCreated

4. Vérifier que l'utilisateur qui a effectué l'action dispose des autorisations appropriées :

Get-ADUser -Identity "AdminUsername" -Properties MemberOf | Select-Object Name, @{Name='Groups';Expression={$_.MemberOf -join '; '}}

Configurez une surveillance proactive pour suivre les changements d'appartenance aux groupes et détecter les modifications non autorisées.

1. Créez une tâche planifiée pour surveiller les changements critiques de groupe :

$Action = New-ScheduledTaskAction -Execute "PowerShell.exe" -Argument "-File C:\Scripts\MonitorGroupChanges.ps1"
$Trigger = New-ScheduledTaskTrigger -Daily -At "09:00AM"
Register-ScheduledTask -TaskName "Monitor Group Changes" -Action $Action -Trigger $Trigger -User "SYSTEM"

2. Créez le script de surveillance (C:\Scripts\MonitorGroupChanges.ps1) :

# Script de surveillance des changements de groupe
$Yesterday = (Get-Date).AddDays(-1)
$Events = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4729; StartTime=$Yesterday}

if ($Events) {
    $Report = $Events | ForEach-Object {
        $Message = $_.Message
        $TimeCreated = $_.TimeCreated
        # Analyser les détails de l'événement
        [PSCustomObject]@{
            Time = $TimeCreated
            Event = "Member Removed"
            Details = $Message
        }
    }
    $Report | Export-Csv -Path "C:\Logs\GroupChanges_$(Get-Date -Format 'yyyyMMdd').csv" -NoTypeInformation
}

3. Configurez le transfert des événements Windows pour une journalisation centralisée :

winrm quickconfig
wecutil cs subscription.xml

Effectuer une analyse médico-légale détaillée pour les incidents de sécurité ou les audits de conformité impliquant des changements d'appartenance à des groupes.

1. Générer un rapport d'audit complet :

$StartDate = Read-Host "Entrez la date de début (MM/JJ/AAAA)"
$EndDate = Read-Host "Entrez la date de fin (MM/JJ/AAAA)"
$Start = Get-Date $StartDate
$End = Get-Date $EndDate

$Events = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4729; StartTime=$Start; EndTime=$End}

$Report = $Events | ForEach-Object {
    $EventXML = [xml]$_.ToXml()
    $EventData = $EventXML.Event.EventData.Data
    
    [PSCustomObject]@{
        TimeCreated = $_.TimeCreated
        SubjectUserName = ($EventData | Where-Object {$_.Name -eq 'SubjectUserName'}).'#text'
        SubjectDomainName = ($EventData | Where-Object {$_.Name -eq 'SubjectDomainName'}).'#text'
        MemberName = ($EventData | Where-Object {$_.Name -eq 'MemberName'}).'#text'
        MemberSid = ($EventData | Where-Object {$_.Name -eq 'MemberSid'}).'#text'
        TargetUserName = ($EventData | Where-Object {$_.Name -eq 'TargetUserName'}).'#text'
        TargetDomainName = ($EventData | Where-Object {$_.Name -eq 'TargetDomainName'}).'#text'
    }
}

$Report | Export-Csv -Path "C:\Audit\GroupRemovalAudit_$(Get-Date -Format 'yyyyMMdd').csv" -NoTypeInformation

2. Recouper avec les journaux d'authentification :

$GroupEvents = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4729} -MaxEvents 100
$AuthEvents = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4624,4625} -MaxEvents 1000

# Corréler les événements par utilisateur et par temps
$Correlation = foreach ($GroupEvent in $GroupEvents) {
    $EventTime = $GroupEvent.TimeCreated
    $TimeWindow = $EventTime.AddMinutes(-30)..$EventTime.AddMinutes(30)
    
    $RelatedAuth = $AuthEvents | Where-Object {$_.TimeCreated -ge $TimeWindow[0] -and $_.TimeCreated -le $TimeWindow[1]}
    
    [PSCustomObject]@{
        GroupChangeTime = $EventTime
        GroupEvent = $GroupEvent.Message
        RelatedAuthentications = $RelatedAuth.Count
    }
}