ID d'événement Windows 4741 – Microsoft-Windows-Security-Auditing : Compte d'ordinateur créé

Commencez par examiner les détails complets de l'événement pour comprendre le contexte de la création du compte d'ordinateur.

1. Ouvrez Observateur d'événements sur le contrôleur de domaine où l'événement a été enregistré
2. Accédez à Journaux Windows → Sécurité
3. Filtrez pour l'ID d'événement 4741 en utilisant l'option de filtre ou la fonctionnalité de recherche
4. Double-cliquez sur l'événement pour voir des informations détaillées, y compris :
   • Sujet : Montre qui a créé le compte (Nom du compte, Domaine du compte, ID de connexion)
   • Nouveau compte d'ordinateur : Affiche le nom du compte créé et le SID
   • Attributs : Liste les propriétés du compte d'ordinateur définies lors de la création
5. Notez l'horodatage pour le corréler avec d'autres activités de jonction de domaine ou actions administratives
6. Vérifiez si le compte utilisateur créateur dispose des autorisations appropriées pour la création de compte d'ordinateur

Utilisez PowerShell pour interroger et analyser efficacement les événements de création de comptes d'ordinateur sur plusieurs contrôleurs de domaine.

1. Ouvrez PowerShell en tant qu'administrateur sur un contrôleur de domaine ou un système avec RSAT installé
2. Interrogez les événements récents de création de comptes d'ordinateur :

   Get-WinEvent -FilterHashtable @{LogName='Security'; ID=4741} -MaxEvents 50 | Select-Object TimeCreated, Id, LevelDisplayName, Message

3. Filtrez les événements par plage de temps spécifique :

   $StartTime = (Get-Date).AddDays(-7)
   $EndTime = Get-Date
   Get-WinEvent -FilterHashtable @{LogName='Security'; ID=4741; StartTime=$StartTime; EndTime=$EndTime}

4. Extrayez des détails spécifiques des données de l'événement :

   Get-WinEvent -FilterHashtable @{LogName='Security'; ID=4741} -MaxEvents 20 | ForEach-Object {
       $Event = [xml]$_.ToXml()
       [PSCustomObject]@{
           TimeCreated = $_.TimeCreated
           ComputerAccount = $Event.Event.EventData.Data[0].'#text'
           CreatedBy = $Event.Event.EventData.Data[4].'#text'
           Domain = $Event.Event.EventData.Data[5].'#text'
       }
   }

5. Exportez les résultats pour une analyse plus approfondie :

   Get-WinEvent -FilterHashtable @{LogName='Security'; ID=4741} | Export-Csv -Path "C:\Temp\ComputerAccountCreation.csv" -NoTypeInformation

Recoupez l'ID d'événement 4741 avec les événements de jonction de domaine associés pour obtenir une vue complète des ajouts de système au domaine.

1. Interrogez les événements de jonction de domaine associés sur le même contrôleur de domaine :

   $ComputerName = "WORKSTATION01"
   Get-WinEvent -FilterHashtable @{LogName='Security'; ID=@(4741,4742,4743)} | Where-Object {$_.Message -like "*$ComputerName*"}

2. Vérifiez le journal Système pour les événements Netlogon correspondants :

   Get-WinEvent -FilterHashtable @{LogName='System'; ProviderName='Netlogon'} -MaxEvents 100 | Where-Object {$_.Message -like "*$ComputerName*"}

3. Examinez le journal du service d'annuaire pour un contexte supplémentaire :

   Get-WinEvent -FilterHashtable @{LogName='Directory Service'} -MaxEvents 50 | Where-Object {$_.TimeCreated -gt (Get-Date).AddHours(-1)}

4. Examinez les événements d'enregistrement DNS qui suivent généralement les jonctions de domaine :

   Get-WinEvent -FilterHashtable @{LogName='DNS Server'; ID=@(2,6527,6528)} | Where-Object {$_.Message -like "*$ComputerName*"}

5. Créez une chronologie des événements associés :

   $Events = @()
   $Events += Get-WinEvent -FilterHashtable @{LogName='Security'; ID=4741} -MaxEvents 10
   $Events += Get-WinEvent -FilterHashtable @{LogName='System'; ProviderName='Netlogon'} -MaxEvents 10
   $Events | Sort-Object TimeCreated | Select-Object TimeCreated, LogName, Id, Message

Lorsque l'ID d'événement 4741 apparaît de manière inattendue, enquêtez sur les implications potentielles en matière de sécurité et la création non autorisée de comptes.

1. Identifiez le compte utilisateur qui a créé le compte d'ordinateur :

   Get-WinEvent -FilterHashtable @{LogName='Security'; ID=4741} -MaxEvents 20 | ForEach-Object {
       $Event = [xml]$_.ToXml()
       $CreatedBy = $Event.Event.EventData.Data[4].'#text'
       $ComputerAccount = $Event.Event.EventData.Data[0].'#text'
       Write-Output "Ordinateur : $ComputerAccount créé par : $CreatedBy à $($_.TimeCreated)"
   }

2. Vérifiez les autorisations de l'utilisateur créateur dans Active Directory :

   Import-Module ActiveDirectory
   $UserAccount = "DOMAIN\username"
   Get-ADUser -Identity $UserAccount -Properties MemberOf | Select-Object Name, MemberOf

3. Vérifiez si le compte d'ordinateur existe toujours et son statut actuel :

   $ComputerName = "SUSPICIOUS-PC"
   Get-ADComputer -Identity $ComputerName -Properties Created, LastLogonDate, OperatingSystem

4. Examinez les événements de connexion récents pour le compte utilisateur créateur :

   Get-WinEvent -FilterHashtable @{LogName='Security'; ID=@(4624,4625)} | Where-Object {$_.Message -like "*username*"} | Select-Object TimeCreated, Id, Message

5. Examinez les paramètres de stratégie de groupe et de délégation :

   Get-ADOrganizationalUnit -Filter * -Properties gPLink | Where-Object {$_.gPLink -ne $null} | Select-Object Name, DistinguishedName

6. Si la création non autorisée est confirmée, désactivez immédiatement le compte d'ordinateur :

   Disable-ADAccount -Identity "SUSPICIOUS-PC"
   Set-ADComputer -Identity "SUSPICIOUS-PC" -Description "Désactivé en raison de création non autorisée - $(Get-Date)"

Configurez une surveillance proactive pour détecter et alerter sur les événements de création de comptes d'ordinateur à des fins de sécurité et de conformité.

1. Créez un abonnement personnalisé de transfert d'événements Windows pour centraliser l'ID d'événement 4741:

   <Subscription xmlns="http://schemas.microsoft.com/2006/03/windows/events/subscription">
       <SubscriptionId>ComputerAccountCreation</SubscriptionId>
       <SubscriptionType>SourceInitiated</SubscriptionType>
       <Description>Monitor computer account creation events</Description>
       <Query>
           <![CDATA[
           <QueryList>
               <Query Id="0">
                   <Select Path="Security">*[System[EventID=4741]]</Select>
               </Query>
           </QueryList>
           ]]>
       </Query>
   </Subscription>

2. Configurez une tâche planifiée pour exécuter le script de surveillance:

   $Action = New-ScheduledTaskAction -Execute "PowerShell.exe" -Argument "-File C:\Scripts\Monitor-ComputerAccountCreation.ps1"
   $Trigger = New-ScheduledTaskTrigger -Daily -At "09:00AM"
   Register-ScheduledTask -TaskName "Monitor Computer Account Creation" -Action $Action -Trigger $Trigger

3. Créez un script de surveillance PowerShell qui vérifie les nouveaux événements:

   # Monitor-ComputerAccountCreation.ps1
   $LastCheck = (Get-Date).AddDays(-1)
   $Events = Get-WinEvent -FilterHashtable @{LogName='Security'; ID=4741; StartTime=$LastCheck}
   
   foreach ($Event in $Events) {
       $EventXML = [xml]$Event.ToXml()
       $ComputerAccount = $EventXML.Event.EventData.Data[0].'#text'
       $CreatedBy = $EventXML.Event.EventData.Data[4].'#text'
       
       # Send alert email or write to monitoring system
       Write-EventLog -LogName Application -Source "ComputerAccountMonitor" -EventId 1001 -Message "Computer account $ComputerAccount created by $CreatedBy"
   }

4. Configurez des alertes du journal des événements Windows à l'aide du Planificateur de tâches:

   $TaskAction = New-ScheduledTaskAction -Execute "PowerShell.exe" -Argument "-Command Send-MailMessage -To 'admin@company.com' -From 'alerts@company.com' -Subject 'Computer Account Created' -Body 'Event ID 4741 detected' -SmtpServer 'mail.company.com'"
   $TaskTrigger = New-CimInstance -ClassName MSFT_TaskEventTrigger -Namespace Root/Microsoft/Windows/TaskScheduler -ClientOnly
   $TaskTrigger.Subscription = '<QueryList><Query Id="0" Path="Security"><Select Path="Security">*[System[EventID=4741]]</Select></Query></QueryList>'
   Register-ScheduledTask -TaskName "Alert on Computer Account Creation" -Action $TaskAction -Trigger $TaskTrigger

5. Configurez la politique d'audit pour garantir que l'ID d'événement 4741 est enregistré:

   auditpol /set /subcategory:"Computer Account Management" /success:enable /failure:enable