ID d'événement Windows 4734 – Microsoft-Windows-Security-Auditing : Membre de groupe local activé pour la sécurité supprimé

Commencez par examiner les détails spécifiques de l'occurrence de l'ID d'événement 4734 pour comprendre ce qui s'est passé.

1. Ouvrez Observateur d'événements en appuyant sur Win + R, en tapant eventvwr.msc, et en appuyant sur Entrée
2. Accédez à Journaux Windows → Sécurité
3. Filtrez le journal en cliquant sur Filtrer le journal actuel dans le volet de droite
4. Entrez 4734 dans le champ ID d'événements et cliquez sur OK
5. Double-cliquez sur une entrée récente de l'ID d'événement 4734 pour voir les détails
6. Examinez les champs clés suivants dans la description de l'événement:
   • Sujet: Qui a effectué la suppression (Nom du compte, Domaine du compte, ID de connexion)
   • Groupe: Quel groupe a été modifié (Nom du groupe, Domaine du groupe, SID du groupe)
   • Membre: Quel compte a été supprimé (Nom du membre, SID du membre)
7. Notez l'horodatage et corrélez avec toute activité administrative connue

Utilisez PowerShell pour interroger et analyser de manière programmatique les occurrences de l'ID d'événement 4734 sur plusieurs systèmes ou périodes.

1. Ouvrez PowerShell en tant qu'administrateur
2. Interrogez les entrées récentes de l'ID d'événement 4734 :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4734} -MaxEvents 50 | Format-Table TimeCreated, Id, LevelDisplayName, Message -Wrap

3. Pour une analyse plus détaillée, extrayez des champs spécifiques :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4734} -MaxEvents 20 | ForEach-Object {
       $xml = [xml]$_.ToXml()
       $eventData = $xml.Event.EventData.Data
       [PSCustomObject]@{
           TimeCreated = $_.TimeCreated
           SubjectUserName = ($eventData | Where-Object {$_.Name -eq 'SubjectUserName'}).'#text'
           GroupName = ($eventData | Where-Object {$_.Name -eq 'TargetUserName'}).'#text'
           MemberName = ($eventData | Where-Object {$_.Name -eq 'MemberName'}).'#text'
           MemberSid = ($eventData | Where-Object {$_.Name -eq 'MemberSid'}).'#text'
       }
   }

4. Filtrez les événements par plage de temps spécifique :

   $StartTime = (Get-Date).AddDays(-7)
   $EndTime = Get-Date
   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4734; StartTime=$StartTime; EndTime=$EndTime}

5. Exportez les résultats en CSV pour une analyse plus approfondie :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4734} -MaxEvents 100 | Export-Csv -Path "C:\Temp\GroupRemovals.csv" -NoTypeInformation

Vérifiez l'appartenance actuelle au groupe et examinez si la suppression était autorisée et attendue.

1. Vérifiez l'appartenance actuelle du groupe affecté en utilisant PowerShell :

   Get-LocalGroupMember -Group "GroupName"

2. Pour les groupes de domaine, utilisez les cmdlets Active Directory :

   Get-ADGroupMember -Identity "GroupName" | Select-Object Name, SamAccountName, ObjectClass

3. Examinez l'historique d'appartenance au groupe en interrogeant les événements connexes :

   # Recherchez à la fois les ajouts (4732) et les suppressions (4734)
   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4732,4734} -MaxEvents 100 | Where-Object {$_.Message -like "*GroupName*"} | Sort-Object TimeCreated

4. Vérifiez si la suppression faisait partie d'une action administrative plus large en examinant les événements autour de la même heure :

   $EventTime = (Get-Date "2026-03-18 10:30:00")
   $TimeWindow = 300 # 5 minutes
   Get-WinEvent -FilterHashtable @{LogName='Security'; StartTime=$EventTime.AddSeconds(-$TimeWindow); EndTime=$EventTime.AddSeconds($TimeWindow)} | Where-Object {$_.Id -in @(4732,4733,4734,4735)}

5. Vérifiez que le compte sujet qui a effectué la suppression dispose des autorisations appropriées
6. Documentez les résultats et déterminez si le changement était autorisé

Configurez une surveillance complète pour suivre les changements futurs d'appartenance aux groupes et établir des bases de référence pour une activité normale.

1. Vérifiez que l'audit de l'accès aux objets est activé via la stratégie de groupe:
   • Ouvrez Console de gestion des stratégies de groupe
   • Accédez à Configuration de l'ordinateur → Stratégies → Paramètres Windows → Paramètres de sécurité → Configuration avancée de la stratégie d'audit
   • Développez Gestion des comptes et assurez-vous que Audit de la gestion des groupes de sécurité est défini sur Succès et Échec
2. Configurez les paramètres d'audit avancés via la ligne de commande:

   auditpol /set /subcategory:"Security Group Management" /success:enable /failure:enable

3. Créez une tâche planifiée pour surveiller les changements de groupe suspects:

   # Créez un script PowerShell qui s'exécute toutes les 15 minutes
   $ScriptBlock = {
       $Events = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4734; StartTime=(Get-Date).AddMinutes(-15)} -ErrorAction SilentlyContinue
       if ($Events) {
           $Events | ForEach-Object {
               # Ajoutez votre logique d'alerte ici
               Write-EventLog -LogName Application -Source "GroupMonitor" -EventId 1001 -Message "Suppression de membre de groupe détectée: $($_.Message)"
           }
       }
   }
   # Enregistrez la tâche planifiée
   Register-ScheduledTask -TaskName "MonitorGroupRemovals" -Trigger (New-ScheduledTaskTrigger -RepetitionInterval (New-TimeSpan -Minutes 15) -Once -At (Get-Date)) -Action (New-ScheduledTaskAction -Execute "PowerShell.exe" -Argument "-WindowStyle Hidden -Command $ScriptBlock")

4. Configurez le transfert d'événements Windows (WEF) pour centraliser les journaux de sécurité de plusieurs systèmes
5. Configurez l'intégration SIEM si disponible pour corréler les changements de groupe avec d'autres événements de sécurité

Effectuez une analyse médico-légale détaillée lorsque l'ID d'événement 4734 indique des incidents de sécurité potentiels ou des modifications non autorisées.

1. Créez une chronologie médico-légale de tous les événements liés :

   # Collecter des données d'événements complètes
   $StartDate = (Get-Date).AddDays(-30)
   $Events = @()
   $Events += Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4624,4625,4648,4672,4732,4733,4734,4735; StartTime=$StartDate} -ErrorAction SilentlyContinue
   $Events += Get-WinEvent -FilterHashtable @{LogName='System'; Id=7034,7035,7036; StartTime=$StartDate} -ErrorAction SilentlyContinue
   $Events | Sort-Object TimeCreated | Export-Csv -Path "C:\Forensics\SecurityTimeline.csv" -NoTypeInformation

2. Analysez les sessions de connexion associées au compte sujet :

   # Trouver les événements de connexion pour le compte qui a effectué le changement
   $SubjectAccount = "DOMAIN\Username" # Remplacer par le compte réel
   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4624,4625} | Where-Object {$_.Message -like "*$SubjectAccount*"} | Select-Object TimeCreated, Id, Message

3. Vérifiez les événements d'escalade de privilèges (ID d'événement 4672) autour du moment des changements de groupe :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4672} | Where-Object {$_.TimeCreated -gt (Get-Date).AddHours(-24)} | Format-Table TimeCreated, Message -Wrap

4. Examinez les événements de création de processus si le suivi des processus est activé :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4688} | Where-Object {$_.Message -like "*net.exe*" -or $_.Message -like "*powershell*"} | Select-Object TimeCreated, Message

5. Documentez toutes les constatations et créez un rapport d'incident incluant :
   • Chronologie des événements menant au changement de groupe
   • Source du changement (utilisateur, processus, système)
   • Évaluation de l'impact du membre supprimé
   • Recommandations pour la remédiation ou les changements de politique
6. Si une activité malveillante est suspectée, préservez les preuves et envisagez d'isoler les systèmes affectés