ID d'événement Windows 4732 – Microsoft-Windows-Security-Auditing : Un membre a été ajouté à un groupe local activé pour la sécurité

Commencez par examiner les détails spécifiques de l'événement pour comprendre ce qui s'est passé :

1. Ouvrez Observateur d'événements en appuyant sur Win + R, en tapant eventvwr.msc, et en appuyant sur Entrée
2. Accédez à Journaux Windows → Sécurité
3. Filtrez pour l'ID d'événement 4732 en cliquant avec le bouton droit sur le journal Sécurité et en sélectionnant Filtrer le journal actuel
4. Entrez 4732 dans le champ ID d'événements et cliquez sur OK
5. Double-cliquez sur l'événement pour voir des informations détaillées, y compris :
   • Sujet : Qui a effectué l'action
   • Groupe : Quel groupe a été modifié
   • Membre : Quel compte a été ajouté
   • Informations sur le processus : Quel outil a été utilisé
6. Notez l'horodatage et corrélez-le avec d'autres activités administratives
7. Vérifiez si le changement a été autorisé en examinant les dossiers de gestion des changements

Utilisez PowerShell pour rechercher et analyser efficacement les occurrences de l'ID d'événement 4732 :

1. Ouvrez PowerShell en tant qu'administrateur
2. Interrogez les événements récents avec un filtrage de base :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4732} -MaxEvents 50 | Format-Table TimeCreated, Id, LevelDisplayName, Message -Wrap

3. Recherchez des ajouts de groupes spécifiques au cours des dernières 24 heures :

   $StartTime = (Get-Date).AddDays(-1)
   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4732; StartTime=$StartTime} | ForEach-Object {
       $Event = [xml]$_.ToXml()
       [PSCustomObject]@{
           TimeCreated = $_.TimeCreated
           Subject = $Event.Event.EventData.Data[1].'#text'
           Group = $Event.Event.EventData.Data[5].'#text'
           Member = $Event.Event.EventData.Data[8].'#text'
       }
   }

4. Filtrez pour les ajouts de groupes à privilèges élevés :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4732} | Where-Object {
       $_.Message -match "Administrators|Domain Admins|Enterprise Admins|Backup Operators"
   } | Select-Object TimeCreated, Message

5. Exportez les résultats pour une analyse plus approfondie :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4732} -MaxEvents 100 | Export-Csv -Path "C:\Temp\GroupAdditions.csv" -NoTypeInformation

Confirmez l'état actuel des appartenances aux groupes pour valider les modifications :

1. Vérifiez l'appartenance au groupe local en utilisant PowerShell :

   Get-LocalGroupMember -Group "Administrators" | Format-Table Name, ObjectClass, PrincipalSource

2. Pour les environnements de domaine, vérifiez l'appartenance au groupe de domaine :

   Get-ADGroupMember -Identity "Domain Admins" | Select-Object Name, SamAccountName, ObjectClass

3. Listez tous les groupes locaux et leurs membres :

   Get-LocalGroup | ForEach-Object {
       Write-Host "Group: $($_.Name)" -ForegroundColor Yellow
       Get-LocalGroupMember -Group $_.Name | Format-Table Name, ObjectClass -AutoSize
   }

4. Comparez avec l'appartenance au groupe de référence si disponible
5. Utilisez la console de gestion de l'ordinateur pour la vérification GUI :
   • Ouvrez compmgmt.msc
   • Accédez à Utilisateurs et groupes locaux → Groupes
   • Double-cliquez sur le groupe concerné pour voir les membres actuels
6. Documentez toute addition non autorisée pour un examen de sécurité

Configurez une surveillance complète pour les futurs changements d'appartenance à des groupes :

1. Activez la stratégie d'audit détaillée en utilisant la stratégie de groupe ou la stratégie locale :

   auditpol /set /subcategory:"Security Group Management" /success:enable /failure:enable

2. Configurez la stratégie d'audit via la gestion des stratégies de groupe :
   • Ouvrez gpmc.msc et modifiez le GPO approprié
   • Accédez à Configuration de l'ordinateur → Stratégies → Paramètres Windows → Paramètres de sécurité → Configuration avancée de la stratégie d'audit
   • Activez Audit de la gestion des groupes de sécurité pour Succès et Échec
3. Configurez un script de surveillance PowerShell pour des alertes en temps réel :

   Register-WmiEvent -Query "SELECT * FROM Win32_NTLogEvent WHERE LogFile='Security' AND EventCode=4732" -Action {
       $Event = $Event.SourceEventArgs.NewEvent
       Write-Host "Changement d'appartenance au groupe détecté à $($Event.TimeGenerated)" -ForegroundColor Red
       # Ajoutez ici la notification par email ou l'intégration SIEM
   }

4. Configurez le transfert d'événements Windows (WEF) pour la journalisation centralisée :
   • Créez des vues personnalisées dans le Visualiseur d'événements pour l'ID d'événement 4732
   • Configurez des abonnements pour transférer les événements vers un collecteur central
5. Mettez en œuvre l'intégration SIEM pour des alertes automatisées et la corrélation

Effectuer une analyse médico-légale détaillée lorsque des changements de groupe non autorisés sont suspectés :

1. Collecter des données d'événements complètes avec une analyse chronologique :

   $StartTime = (Get-Date).AddDays(-7)
   $Events = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4732,4733,4728,4729; StartTime=$StartTime}
   $Events | Sort-Object TimeCreated | Export-Csv -Path "C:\Forensics\GroupChanges.csv" -NoTypeInformation

2. Corréler avec les événements de connexion (4624, 4625) pour identifier la source :

   $LogonEvents = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4624; StartTime=$StartTime}
   # Cross-reference logon IDs with group change events

3. Examiner les événements de création de processus (4688) pour les détails de la ligne de commande :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4688; StartTime=$StartTime} | Where-Object {
       $_.Message -match "net.exe|powershell.exe|Add-LocalGroupMember"
   }

4. Vérifier les modifications du registre liées à l'appartenance à un groupe :
   • Examiner HKLM\SAM\SAM\Domains\Builtin\Aliases pour les modifications de groupes locaux
   • Utiliser des outils comme RegRipper pour une analyse détaillée du registre
5. Analyser les connexions réseau et les modèles d'accès aux fichiers :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=5156} | Where-Object {
       $_.TimeCreated -gt $SuspiciousTime -and $_.TimeCreated -lt $SuspiciousTime.AddMinutes(10)
   }

6. Documenter les résultats et créer une chronologie de réponse aux incidents
7. Mettre en œuvre des étapes de remédiation, y compris la réinitialisation des mots de passe et la révision des privilèges