ID d'événement Windows 4737 – Microsoft-Windows-Security-Auditing : Groupe global activé pour la sécurité modifié

Commencez par examiner les détails spécifiques de l'ID d'événement 4737 pour comprendre ce qui a été modifié et par qui.

1. Ouvrez Observateur d'événements sur le contrôleur de domaine où l'événement s'est produit
2. Accédez à Journaux Windows → Sécurité
3. Filtrez pour l'ID d'événement 4737 en utilisant l'option de filtre
4. Double-cliquez sur l'événement pour voir les informations détaillées
5. Examinez les champs clés suivants:
   • Sujet: Indique qui a effectué la modification (ID de sécurité, Nom du compte, Domaine)
   • Groupe: Affiche le SID, le nom et le domaine du groupe modifié
   • Attributs modifiés: Liste les attributs spécifiques qui ont été modifiés
   • Informations supplémentaires: Contient des informations sur les privilèges et les détails du processus

Utilisez PowerShell pour interroger plusieurs événements efficacement :

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4737} -MaxEvents 50 | Format-Table TimeCreated, Id, LevelDisplayName, Message -Wrap

Enquêter sur les événements connexes pour obtenir une image complète de l'activité administrative qui a déclenché la modification du groupe.

1. Rechercher les événements de connexion associés (4624) autour de la même période pour identifier la session
2. Chercher l'ID d'événement 4728 (membre ajouté) ou 4729 (membre supprimé) si des changements de membres ont eu lieu
3. Vérifier l'ID d'événement 4735 (groupe local activé pour la sécurité modifié) si des groupes locaux ont également été modifiés

Utilisez ce script PowerShell pour corréler les événements dans un délai spécifique :

# Obtenir l'événement 4737 et les événements connexes dans une fenêtre d'une heure
$StartTime = (Get-Date).AddHours(-1)
$Events = Get-WinEvent -FilterHashtable @{
    LogName='Security'
    Id=4737,4728,4729,4624
    StartTime=$StartTime
} | Sort-Object TimeCreated

$Events | Select-Object TimeCreated, Id, @{Name='User';Expression={($_.Message -split '\n' | Where-Object {$_ -match 'Account Name:'} | Select-Object -First 1) -replace '.*Account Name:\s*',''}}

Utilisez PowerShell pour extraire et analyser les modifications spécifiques apportées au groupe, y compris les valeurs avant et après.

1. Extraire des informations détaillées du message d'événement :

# Analyser les détails de l'événement 4737
$Event4737 = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4737} -MaxEvents 1
$EventXML = [xml]$Event4737.ToXml()

# Extraire les informations clés
$SubjectUserName = $EventXML.Event.EventData.Data | Where-Object {$_.Name -eq 'SubjectUserName'} | Select-Object -ExpandProperty '#text'
$TargetUserName = $EventXML.Event.EventData.Data | Where-Object {$_.Name -eq 'TargetUserName'} | Select-Object -ExpandProperty '#text'
$TargetSid = $EventXML.Event.EventData.Data | Where-Object {$_.Name -eq 'TargetSid'} | Select-Object -ExpandProperty '#text'

Write-Host "Modifié par : $SubjectUserName"
Write-Host "Groupe affecté : $TargetUserName"
Write-Host "SID du groupe : $TargetSid"

2. Comparer les propriétés actuelles du groupe avec les données historiques :

# Obtenir les propriétés actuelles du groupe
$GroupSID = "S-1-5-21-..."
$Group = Get-ADGroup -Identity $GroupSID -Properties *

# Afficher les propriétés clés qui pourraient avoir été modifiées
$Group | Select-Object Name, Description, GroupCategory, GroupScope, Created, Modified

3. Créer un script de surveillance pour le suivi continu des modifications de groupe

Configurez une surveillance proactive pour détecter et alerter sur les modifications de groupe suspectes en temps réel.

1. Créez une tâche planifiée pour surveiller l'ID d'événement 4737 :

# Créer un script de surveillance
$ScriptBlock = {
    $LastHour = (Get-Date).AddHours(-1)
    $Events = Get-WinEvent -FilterHashtable @{
        LogName='Security'
        Id=4737
        StartTime=$LastHour
    } -ErrorAction SilentlyContinue
    
    if ($Events) {
        $Events | ForEach-Object {
            $EventXML = [xml]$_.ToXml()
            $Subject = $EventXML.Event.EventData.Data | Where-Object {$_.Name -eq 'SubjectUserName'} | Select-Object -ExpandProperty '#text'
            $Target = $EventXML.Event.EventData.Data | Where-Object {$_.Name -eq 'TargetUserName'} | Select-Object -ExpandProperty '#text'
            
            Write-EventLog -LogName Application -Source "GroupMonitor" -EventId 1001 -Message "Group $Target modified by $Subject at $($_.TimeCreated)"
        }
    }
}

# Enregistrer la tâche planifiée
Register-ScheduledTask -TaskName "MonitorGroupChanges" -Trigger (New-ScheduledTaskTrigger -Once -At (Get-Date) -RepetitionInterval (New-TimeSpan -Hours 1)) -Action (New-ScheduledTaskAction -Execute "PowerShell.exe" -Argument "-Command $ScriptBlock")

2. Configurez le transfert d'événements Windows pour centraliser les événements de changement de groupe
3. Configurez des requêtes de journal d'événements personnalisées dans System Center Operations Manager ou des outils similaires
4. Mettez en œuvre des procédures de réponse automatisées pour les modifications de groupe critiques

Effectuer une analyse médico-légale complète des changements de groupe pour les enquêtes de sécurité et les rapports de conformité.

1. Exporter les données de l'ID d'événement 4737 pour une analyse détaillée :

# Exporter les événements vers CSV pour analyse
$StartDate = (Get-Date).AddDays(-30)
$Events = Get-WinEvent -FilterHashtable @{
    LogName='Security'
    Id=4737
    StartTime=$StartDate
}

$EventData = $Events | ForEach-Object {
    $EventXML = [xml]$_.ToXml()
    [PSCustomObject]@{
        TimeCreated = $_.TimeCreated
        SubjectUserName = $EventXML.Event.EventData.Data | Where-Object {$_.Name -eq 'SubjectUserName'} | Select-Object -ExpandProperty '#text'
        SubjectDomainName = $EventXML.Event.EventData.Data | Where-Object {$_.Name -eq 'SubjectDomainName'} | Select-Object -ExpandProperty '#text'
        TargetUserName = $EventXML.Event.EventData.Data | Where-Object {$_.Name -eq 'TargetUserName'} | Select-Object -ExpandProperty '#text'
        TargetSid = $EventXML.Event.EventData.Data | Where-Object {$_.Name -eq 'TargetSid'} | Select-Object -ExpandProperty '#text'
        PrivilegeList = $EventXML.Event.EventData.Data | Where-Object {$_.Name -eq 'PrivilegeList'} | Select-Object -ExpandProperty '#text'
    }
}

$EventData | Export-Csv -Path "C:\Temp\GroupChanges_4737.csv" -NoTypeInformation

2. Créer des rapports de conformité montrant les modèles de modification de groupe
3. Analyser les données pour des modèles inhabituels ou des changements non autorisés
4. Faire des références croisées avec les systèmes de gestion des changements pour vérifier les modifications autorisées
5. Générer des résumés exécutifs pour les équipes de sécurité et de conformité