ID d'événement Windows 4744 – Microsoft-Windows-Security-Auditing : Compte d'ordinateur créé

Commencez par examiner les détails complets de l'événement pour comprendre le contexte de la création du compte d'ordinateur.

1. Ouvrez Observateur d'événements sur le contrôleur de domaine
2. Accédez à Journaux Windows → Sécurité
3. Filtrez pour l'ID d'événement 4744 en utilisant Filtrer le journal actuel
4. Double-cliquez sur l'événement pour voir les informations détaillées
5. Examinez la section Sujet pour identifier qui a créé le compte :
   • ID de sécurité : Le SID du compte qui a effectué l'action
   • Nom du compte : Le nom d'utilisateur qui a créé le compte d'ordinateur
   • Domaine du compte : Le domaine du compte créateur
   • ID de connexion : Identifiant de session pour la corrélation avec d'autres événements
6. Examinez la section Nouveau compte d'ordinateur :
   • ID de sécurité : Le SID attribué au nouveau compte d'ordinateur
   • Nom du compte : Le nom NetBIOS de l'ordinateur
   • Domaine du compte : Le domaine où le compte a été créé
7. Vérifiez les Informations supplémentaires pour les privilèges utilisés et la station de travail source

Utilisez PowerShell pour rechercher et analyser efficacement les événements de création de comptes d'ordinateur sur plusieurs contrôleurs de domaine.

1. Ouvrez PowerShell en tant qu'administrateur sur un contrôleur de domaine ou une station de gestion
2. Interrogez les événements récents de création de comptes d'ordinateur :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4744} -MaxEvents 50 | Select-Object TimeCreated, Id, LevelDisplayName, Message

3. Extrayez des détails spécifiques des événements :

   $Events = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4744} -MaxEvents 100
   foreach ($Event in $Events) {
       $XML = [xml]$Event.ToXml()
       $SubjectUserName = $XML.Event.EventData.Data | Where-Object {$_.Name -eq 'SubjectUserName'} | Select-Object -ExpandProperty '#text'
       $TargetUserName = $XML.Event.EventData.Data | Where-Object {$_.Name -eq 'TargetUserName'} | Select-Object -ExpandProperty '#text'
       $WorkstationName = $XML.Event.EventData.Data | Where-Object {$_.Name -eq 'WorkstationName'} | Select-Object -ExpandProperty '#text'
       
       Write-Output "Time: $($Event.TimeCreated) | Creator: $SubjectUserName | Computer: $TargetUserName | Workstation: $WorkstationName"
   }

4. Filtrez les événements par plage de temps spécifique :

   $StartTime = (Get-Date).AddDays(-7)
   $EndTime = Get-Date
   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4744; StartTime=$StartTime; EndTime=$EndTime}

5. Interrogez plusieurs contrôleurs de domaine simultanément :

   $DCs = Get-ADDomainController -Filter *
   foreach ($DC in $DCs) {
       Write-Host "Checking $($DC.Name)..."
       Invoke-Command -ComputerName $DC.Name -ScriptBlock {
           Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4744} -MaxEvents 10 -ErrorAction SilentlyContinue
       }
   }

Lorsque l'ID d'événement 4744 apparaît de manière inattendue, suivez ces étapes pour enquêter sur des incidents de sécurité potentiels.

1. Identifiez la source de la création du compte d'ordinateur en examinant les champs Sujet dans l'événement
2. Vérifiez si l'utilisateur créateur a des permissions légitimes :

   Get-ADUser -Identity "SuspiciousUser" -Properties MemberOf | Select-Object -ExpandProperty MemberOf

3. Vérifiez les détails du compte d'ordinateur dans Active Directory :

   Get-ADComputer -Identity "NewComputerName" -Properties Created, CreatedBy, LastLogonDate, OperatingSystem

4. Examinez les événements d'authentification liés autour de la même période :

   $TimeWindow = (Get-Date $Event.TimeCreated).AddMinutes(-30)
   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4624,4625; StartTime=$TimeWindow; EndTime=(Get-Date $Event.TimeCreated).AddMinutes(30)} | Where-Object {$_.Message -like "*$SubjectUserName*"}

5. Examinez la station de travail source mentionnée dans l'événement :
   • Vérifiez si la station de travail est une machine administrative connue
   • Recherchez des signes de compromission sur le système source
   • Examinez les journaux d'accès réseau pour une activité inhabituelle
6. Corrélez avec d'autres événements de sécurité :

   # Recherchez des événements d'escalade de privilèges
   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4672} | Where-Object {$_.TimeCreated -gt $TimeWindow -and $_.Message -like "*$SubjectUserName*"}

7. Si non autorisé, désactivez immédiatement le compte d'ordinateur :

   Disable-ADAccount -Identity "SuspiciousComputerName"

Configurez une surveillance proactive pour détecter et alerter sur les événements de création de comptes d'ordinateur en temps réel.

1. Configurez la stratégie d'audit avancée sur tous les contrôleurs de domaine :

   # Activer l'audit de gestion des comptes d'ordinateur
   auditpol /set /subcategory:"Computer Account Management" /success:enable /failure:enable

2. Vérifiez que la stratégie d'audit est appliquée :

   auditpol /get /subcategory:"Computer Account Management"

3. Créez un filtre personnalisé dans le Visualiseur d'événements pour la surveillance :
   • Ouvrez Visualiseur d'événements → Vues personnalisées
   • Cliquez avec le bouton droit et sélectionnez Créer une vue personnalisée
   • Définissez le Niveau d'événement sur Information
   • Entrez l'ID d'événement : 4744
   • Sélectionnez le journal Sécurité
   • Enregistrez sous "Surveillance de la création de comptes d'ordinateur"
4. Configurez un script d'alerte basé sur PowerShell :

   # Enregistrez sous Monitor-ComputerAccountCreation.ps1
   $Action = {
       $Event = $Event.SourceEventArgs.NewEvent
       $XML = [xml]$Event.ToXml()
       $ComputerName = $XML.Event.EventData.Data | Where-Object {$_.Name -eq 'TargetUserName'} | Select-Object -ExpandProperty '#text'
       $Creator = $XML.Event.EventData.Data | Where-Object {$_.Name -eq 'SubjectUserName'} | Select-Object -ExpandProperty '#text'
       
       # Envoyer une alerte par email ou enregistrer dans le SIEM
       Write-EventLog -LogName Application -Source "Security Monitor" -EventId 1001 -Message "Nouveau compte d'ordinateur créé : $ComputerName par $Creator"
   }
   
   Register-WmiEvent -Query "SELECT * FROM Win32_NTLogEvent WHERE LogFile='Security' AND EventCode=4744" -Action $Action

5. Configurez le transfert d'événements Windows (WEF) pour une collecte centralisée :
   • Créez un abonnement personnalisé sur le serveur collecteur
   • Configurez les ordinateurs sources pour transférer les événements de sécurité
   • Filtrez pour l'ID d'événement 4744 dans l'abonnement
6. Intégrez avec des solutions SIEM en configurant le transfert de journaux vers votre plateforme de sécurité

Effectuer une analyse complète des modèles de création de comptes informatiques pour les enquêtes de sécurité et les exigences de conformité.

1. Exporter les événements de création de comptes informatiques pour analyse :

   # Exporter les 30 derniers jours d'événements vers CSV
   $StartDate = (Get-Date).AddDays(-30)
   $Events = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4744; StartTime=$StartDate}
   $Results = @()
   
   foreach ($Event in $Events) {
       $XML = [xml]$Event.ToXml()
       $Results += [PSCustomObject]@{
           TimeCreated = $Event.TimeCreated
           Creator = ($XML.Event.EventData.Data | Where-Object {$_.Name -eq 'SubjectUserName'}).'#text'
           CreatorDomain = ($XML.Event.EventData.Data | Where-Object {$_.Name -eq 'SubjectDomainName'}).'#text'
           ComputerName = ($XML.Event.EventData.Data | Where-Object {$_.Name -eq 'TargetUserName'}).'#text'
           ComputerSID = ($XML.Event.EventData.Data | Where-Object {$_.Name -eq 'TargetSid'}).'#text'
           Workstation = ($XML.Event.EventData.Data | Where-Object {$_.Name -eq 'WorkstationName'}).'#text'
           LogonId = ($XML.Event.EventData.Data | Where-Object {$_.Name -eq 'SubjectLogonId'}).'#text'
       }
   }
   
   $Results | Export-Csv -Path "C:\Temp\ComputerAccountCreation.csv" -NoTypeInformation

2. Analyser les modèles et les anomalies :

   # Regrouper par créateur pour identifier les opérations en masse
   $Results | Group-Object Creator | Sort-Object Count -Descending | Select-Object Name, Count
   
   # Identifier les créations en dehors des heures de bureau
   $Results | Where-Object {$_.TimeCreated.Hour -lt 8 -or $_.TimeCreated.Hour -gt 18} | Format-Table
   
   # Trouver l'activité du week-end
   $Results | Where-Object {$_.TimeCreated.DayOfWeek -eq 'Saturday' -or $_.TimeCreated.DayOfWeek -eq 'Sunday'}

3. Recouper avec Active Directory pour vérifier le statut actuel :

   foreach ($Computer in $Results.ComputerName) {
       try {
           $ADComputer = Get-ADComputer -Identity $Computer -Properties LastLogonDate, Enabled
           Write-Output "$Computer - Enabled: $($ADComputer.Enabled) - Last Logon: $($ADComputer.LastLogonDate)"
       } catch {
           Write-Output "$Computer - Not found in AD (possibly deleted)"
       }
   }

4. Générer des rapports de conformité :

   # Créer un rapport sommaire mensuel
   $MonthlyReport = $Results | Group-Object {$_.TimeCreated.ToString("yyyy-MM")} | ForEach-Object {
       [PSCustomObject]@{
           Month = $_.Name
           TotalCreations = $_.Count
           UniqueCreators = ($_.Group.Creator | Sort-Object -Unique).Count
           AfterHours = ($_.Group | Where-Object {$_.TimeCreated.Hour -lt 8 -or $_.TimeCreated.Hour -gt 18}).Count
       }
   }
   
   $MonthlyReport | Format-Table -AutoSize

5. Documenter les résultats à des fins d'audit :
   • Créer un résumé exécutif des tendances de création de comptes informatiques
   • Identifier toute violation de politique ou préoccupation de sécurité
   • Recommander des améliorations aux contrôles d'accès ou à la surveillance
   • Archiver les fichiers de preuve avec une chaîne de garde appropriée