ID d'événement Windows 4738 – Microsoft-Windows-Security-Auditing : Compte utilisateur modifié

Commencez par examiner les détails spécifiques de l'événement 4738 pour comprendre ce qui a changé et qui a initié la modification.

1. Ouvrez Observateur d'événements en appuyant sur Win + R, en tapant eventvwr.msc, et en appuyant sur Entrée
2. Accédez à Journaux Windows → Sécurité
3. Filtrez pour l'ID d'événement 4738 en cliquant avec le bouton droit sur le journal Sécurité et en sélectionnant Filtrer le journal actuel
4. Entrez 4738 dans le champ ID d'événements et cliquez sur OK
5. Double-cliquez sur un événement 4738 pour voir des informations détaillées, y compris :
   • Sujet : Compte qui a effectué le changement
   • Compte cible : Compte qui a été modifié
   • Attributs modifiés : Champs spécifiques qui ont été altérés
   • Informations supplémentaires : Détails du poste de travail et du processus

Utilisez PowerShell pour rechercher et analyser efficacement les événements 4738 sur plusieurs systèmes ou plages de temps.

1. Ouvrez PowerShell en tant qu'administrateur
2. Interrogez les événements récents 4738 avec un filtrage de base :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4738} -MaxEvents 50 | Format-Table TimeCreated, Id, LevelDisplayName, Message -Wrap

3. Recherchez des modifications spécifiques de comptes d'utilisateur :

   $Events = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4738; StartTime=(Get-Date).AddDays(-7)}
   $Events | Where-Object {$_.Message -like '*username*'} | Select-Object TimeCreated, Message

4. Extrayez des informations détaillées des propriétés de l'événement :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4738} -MaxEvents 10 | ForEach-Object {
       $Event = [xml]$_.ToXml()
       [PSCustomObject]@{
           TimeCreated = $_.TimeCreated
           SubjectUserName = $Event.Event.EventData.Data[1].'#text'
           TargetUserName = $Event.Event.EventData.Data[5].'#text'
           TargetDomain = $Event.Event.EventData.Data[6].'#text'
           WorkstationName = $Event.Event.EventData.Data[11].'#text'
       }
   }

Assurez-vous de configurer correctement la politique d'audit pour capturer tous les événements nécessaires de modification de compte.

1. Ouvrez Group Policy Management Console ou Local Group Policy Editor (gpedit.msc)
2. Accédez à Configuration de l'ordinateur → Paramètres Windows → Paramètres de sécurité → Configuration avancée de la politique d'audit
3. Développez Gestion des comptes et configurez ces politiques:
   • Audit de la gestion des comptes d'utilisateur: Réglez sur Succès et Échec
   • Audit de la gestion des groupes de sécurité: Réglez sur Succès et Échec
   • Audit de la gestion des groupes de distribution: Réglez sur Succès
4. Appliquez la politique en utilisant la ligne de commande:

   auditpol /set /subcategory:"User Account Management" /success:enable /failure:enable
   auditpol /set /subcategory:"Security Group Management" /success:enable /failure:enable

5. Vérifiez les paramètres d'audit actuels:

   auditpol /get /subcategory:"User Account Management"

6. Forcez la mise à jour de la politique de groupe si vous utilisez des politiques de domaine:

   gpupdate /force

Effectuez une analyse médico-légale détaillée lorsque les événements 4738 indiquent des incidents de sécurité potentiels.

1. Identifiez la source des modifications suspectes en examinant les champs Sujet dans l'événement :

   $SuspiciousEvents = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4738; StartTime=(Get-Date).AddHours(-24)}
   $SuspiciousEvents | Where-Object {$_.Message -match 'Administrator|SYSTEM'} | ForEach-Object {
       $Event = [xml]$_.ToXml()
       Write-Host "Time: $($_.TimeCreated)"
       Write-Host "Subject: $($Event.Event.EventData.Data[1].'#text')"
       Write-Host "Target: $($Event.Event.EventData.Data[5].'#text')"
       Write-Host "Workstation: $($Event.Event.EventData.Data[11].'#text')"
       Write-Host "---"
   }

2. Faites une référence croisée avec les événements de connexion (4624) pour vérifier l'accès légitime :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4624; StartTime=(Get-Date).AddHours(-2)} | Where-Object {$_.Message -like '*suspicious_username*'}

3. Vérifiez les événements d'escalade de privilèges associés (4672) :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4672; StartTime=(Get-Date).AddHours(-2)} | Format-Table TimeCreated, Message -Wrap

4. Examinez les événements de création de processus (4688) si disponibles :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4688; StartTime=(Get-Date).AddHours(-2)} | Where-Object {$_.Message -like '*net.exe*' -or $_.Message -like '*dsmod*'}

5. Documentez les résultats et corrélez-les avec d'autres événements de sécurité pour une analyse complète de l'incident

Configurez une surveillance proactive pour détecter et répondre aux modifications critiques de compte en temps réel.

1. Créez un script PowerShell pour une surveillance continue :

   # Monitor4738.ps1
   $LastCheck = (Get-Date).AddMinutes(-5)
   while ($true) {
       $NewEvents = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4738; StartTime=$LastCheck} -ErrorAction SilentlyContinue
       
       foreach ($Event in $NewEvents) {
           $EventXML = [xml]$Event.ToXml()
           $TargetUser = $EventXML.Event.EventData.Data[5].'#text'
           $SubjectUser = $EventXML.Event.EventData.Data[1].'#text'
           
           # Alerte sur les changements de compte privilégié
           if ($TargetUser -match 'admin|service|sql') {
               Write-Host "ALERTE : Compte privilégié $TargetUser modifié par $SubjectUser à $($Event.TimeCreated)" -ForegroundColor Red
               # Ajouter une notification par email ou une intégration SIEM ici
           }
       }
       
       $LastCheck = Get-Date
       Start-Sleep -Seconds 300
   }

2. Configurez le transfert d'événements Windows pour une collecte centralisée :

   # Sur le serveur collecteur
   wecutil qc /q
   wecutil cs subscription.xml

3. Créez une vue personnalisée dans le Visualiseur d'événements pour la surveillance 4738 :
   • Ouvrez Visualiseur d'événements → Vues personnalisées
   • Cliquez avec le bouton droit et sélectionnez Créer une vue personnalisée
   • Définissez les ID d'événement sur 4738 et configurez des filtres supplémentaires
   • Enregistrez sous "Surveillance des changements de compte utilisateur"
4. Configurez le Planificateur de tâches pour une réponse automatisée :

   $Action = New-ScheduledTaskAction -Execute 'PowerShell.exe' -Argument '-File C:\Scripts\Monitor4738.ps1'
   $Trigger = New-ScheduledTaskTrigger -AtStartup
   $Principal = New-ScheduledTaskPrincipal -UserID 'SYSTEM' -LogonType ServiceAccount
   Register-ScheduledTask -TaskName 'Monitor4738Events' -Action $Action -Trigger $Trigger -Principal $Principal