ID d'événement Windows 4730 – Microsoft-Windows-Security-Auditing : Groupe universel activé pour la sécurité supprimé

Commencez par examiner les détails complets de l'événement pour comprendre quel groupe a été supprimé et par qui.

1. Ouvrez Observateur d'événements sur le contrôleur de domaine où l'événement s'est produit
2. Accédez à Journaux Windows → Sécurité
3. Filtrez pour l'ID d'événement 4730 en utilisant l'option de filtre
4. Double-cliquez sur l'événement pour voir les détails complets
5. Notez les champs ID de sécurité du sujet et Nom du compte pour identifier qui a effectué la suppression
6. Enregistrez le Nom du compte cible et le Domaine cible pour identifier le groupe supprimé
7. Vérifiez l'ID de connexion pour corréler avec d'autres événements de la même session

Utilisez PowerShell pour interroger plusieurs événements efficacement :

Get-WinEvent -FilterHashtable @{LogName='Security'; ID=4730} -MaxEvents 50 | Format-Table TimeCreated, Id, LevelDisplayName, Message -Wrap

Déterminez ce que contenait le groupe supprimé et ses attributions de permissions pour évaluer l'impact.

1. Vérifiez si le groupe avait encore des membres avant la suppression en examinant les événements récents ID 4729 (membre retiré du groupe)
2. Recherchez les entrées d'ID d'événement 4728 pour voir les ajouts historiques de membres au groupe
3. Utilisez PowerShell pour rechercher des événements liés au groupe :

# Rechercher tous les événements liés au groupe pour le groupe supprimé
$GroupName = "DeletedGroupName"
Get-WinEvent -FilterHashtable @{LogName='Security'; ID=4728,4729,4730} | Where-Object {$_.Message -like "*$GroupName*"} | Sort-Object TimeCreated

4. Vérifiez la Corbeille Active Directory si elle est activée pour voir les attributs du groupe avant la suppression :

Get-ADObject -Filter {Name -eq "DeletedGroupName"} -IncludeDeletedObjects -Properties *

5. Examinez les journaux du système de fichiers et des applications pour les erreurs d'accès refusé qui pourraient indiquer des problèmes de permissions causés par la suppression du groupe

Enquêtez sur la session administrative complète pour comprendre si la suppression faisait partie d'une maintenance légitime ou d'une activité potentiellement malveillante.

1. Utilisez l'ID de connexion de l'événement 4730 pour trouver l'événement de connexion initial :

# Remplacez LogonID par la valeur réelle de l'événement 4730
$LogonID = "0x12345678"
Get-WinEvent -FilterHashtable @{LogName='Security'; ID=4624} | Where-Object {$_.Message -like "*$LogonID*"}

2. Recherchez tous les événements pendant cette session de connexion pour voir d'autres activités :

# Trouvez tous les événements pour la session de connexion spécifique
Get-WinEvent -FilterHashtable @{LogName='Security'} | Where-Object {$_.Message -like "*$LogonID*"} | Sort-Object TimeCreated

3. Vérifiez les motifs suspects tels que plusieurs suppressions de groupes, des tentatives d'escalade de privilèges ou des heures de connexion inhabituelles
4. Vérifiez que l'adresse IP source et le nom de l'ordinateur de l'événement de connexion correspondent aux postes de travail administratifs attendus
5. Examinez l'ID d'événement 4634 (compte déconnecté) pour déterminer la durée de la session
6. Faites une référence croisée avec les tickets de gestion des changements ou les fenêtres de maintenance programmées

Configurez la surveillance pour détecter les suppressions de groupes non autorisées futures et établissez des contrôles de changement appropriés.

1. Créez un script PowerShell pour surveiller l'ID d'événement 4730 et envoyer des alertes :

# Surveiller les suppressions de groupes universels
$Query = @"

  
    *[System[EventID=4730]]
  

"@

Register-WmiEvent -Query "SELECT * FROM Win32_NTLogEvent WHERE LogFile='Security' AND EventCode=4730" -Action {
    $Event = $Event.SourceEventArgs.NewEvent
    Send-MailMessage -To "security@company.com" -From "dc-monitor@company.com" -Subject "Universal Group Deleted" -Body "Group deletion detected: $($Event.Message)" -SmtpServer "mail.company.com"
}

2. Configurez le transfert d'événements Windows pour centraliser les événements de sécurité de tous les contrôleurs de domaine
3. Configurez des règles SIEM pour corréler les suppressions de groupes avec d'autres activités suspectes
4. Mettez en œuvre une stratégie de groupe pour restreindre les autorisations de gestion de groupe à des comptes administratifs spécifiques
5. Activez la corbeille Active Directory pour les capacités de récupération de groupe :

Enable-ADOptionalFeature -Identity "Recycle Bin Feature" -Scope ForestOrConfigurationSet -Target (Get-ADForest).Name

5. Créez une tâche planifiée pour auditer régulièrement les appartenances aux groupes et détecter les changements non autorisés

Effectuer une analyse médico-légale complète et mettre en œuvre des procédures de récupération pour les suppressions de groupes critiques.

1. Exporter tous les événements de sécurité liés pour l'analyse médico-légale :

# Exporter les événements de sécurité liés à l'incident
$StartTime = (Get-Date).AddDays(-7)
$EndTime = Get-Date
Get-WinEvent -FilterHashtable @{LogName='Security'; StartTime=$StartTime; EndTime=$EndTime; ID=4728,4729,4730,4731,4732,4733} | Export-Csv -Path "C:\Forensics\GroupEvents.csv" -NoTypeInformation

2. Analyser les journaux de réplication du contrôleur de domaine pour déterminer si la suppression a été répliquée sur tous les DC :

# Vérifier l'état de la réplication
repadmin /showrepl /csv | ConvertFrom-Csv | Where-Object {$_.'Source DSA' -ne $null}

3. Si la Corbeille Active Directory est activée, restaurer le groupe supprimé :

# Restaurer le groupe universel supprimé
Get-ADObject -Filter {Name -eq "DeletedGroupName"} -IncludeDeletedObjects | Restore-ADObject

4. Si la Corbeille n'est pas disponible, restaurer à partir d'une sauvegarde autoritaire en utilisant ntdsutil ou Windows Server Backup
5. Documenter la chronologie de l'incident, les systèmes affectés et les actions de récupération entreprises
6. Revoir et mettre à jour les procédures de gestion des groupes pour éviter des incidents similaires
7. Envisager de mettre en œuvre des contrôles supplémentaires tels que des flux de travail d'approbation pour les suppressions de groupes