ID d'événement Windows 4745 – Microsoft-Windows-Security-Auditing : Compte d'ordinateur créé

Commencez par examiner les détails de l'événement pour comprendre qui a créé le compte d'ordinateur et quand.

1. Ouvrez Observateur d'événements sur le contrôleur de domaine
2. Accédez à Journaux Windows → Sécurité
3. Filtrez pour l'ID d'événement 4745 en utilisant l'option de filtre
4. Double-cliquez sur l'événement pour voir les détails, y compris :
   • Sujet : Compte utilisateur qui a créé l'ordinateur
   • Compte d'ordinateur : Nom et SID du nouvel ordinateur
   • Attributs : DN, nom de compte SAM et placement dans l'OU
5. Notez l'horodatage et corrélez-le avec toute maintenance ou activité de déploiement programmée

Utilisez PowerShell pour récupérer et analyser les événements de création de comptes d'ordinateur sur plusieurs contrôleurs de domaine.

1. Exécutez PowerShell en tant qu'administrateur sur un contrôleur de domaine ou une station de gestion
2. Interrogez les créations récentes de comptes d'ordinateur :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4745} -MaxEvents 50 | Select-Object TimeCreated, Id, @{Name='Computer';Expression={($_.Message -split '\n' | Where-Object {$_ -like '*Account Name:*'})[1] -replace '.*Account Name:\s*',''}}, @{Name='Creator';Expression={($_.Message -split '\n' | Where-Object {$_ -like '*Subject:*' -and $_ -like '*Account Name:*'})[0] -replace '.*Account Name:\s*',''}} | Format-Table -AutoSize

3. Filtrez les événements par plage de temps spécifique :

   $StartTime = (Get-Date).AddDays(-7)
   $Events = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4745; StartTime=$StartTime}
   $Events | ForEach-Object {
       $EventXML = [xml]$_.ToXml()
       [PSCustomObject]@{
           TimeCreated = $_.TimeCreated
           ComputerName = $EventXML.Event.EventData.Data[5].'#text'
           CreatedBy = $EventXML.Event.EventData.Data[1].'#text'
           OU = $EventXML.Event.EventData.Data[7].'#text'
       }
   } | Format-Table -AutoSize

4. Exportez les résultats pour une analyse plus approfondie :

   $Events | Export-Csv -Path "C:\Temp\ComputerAccountCreation.csv" -NoTypeInformation

Assurez-vous que les politiques d'audit appropriées sont configurées pour capturer les événements de gestion des comptes d'ordinateur.

1. Vérifiez les paramètres actuels de la politique d'audit :

   auditpol /get /subcategory:"Computer Account Management"

2. Si ce n'est pas activé, configurez la politique d'audit :

   auditpol /set /subcategory:"Computer Account Management" /success:enable /failure:enable

3. Vérifiez les paramètres de la stratégie de groupe dans la Console de gestion des stratégies de groupe :
4. Accédez à Configuration de l'ordinateur → Stratégies → Paramètres Windows → Paramètres de sécurité → Configuration avancée de la politique d'audit
5. Développez Gestion des comptes et vérifiez Audit de la gestion des comptes d'ordinateur
6. Assurez-vous que les succès et les échecs sont configurés
7. Forcez la mise à jour de la stratégie de groupe :

   gpupdate /force

Lorsque l'événement 4745 apparaît de manière inattendue, enquêtez sur les implications potentielles en matière de sécurité.

1. Identifiez la source de la création du compte d'ordinateur :

   $SuspiciousEvent = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4745} -MaxEvents 1
   $EventXML = [xml]$SuspiciousEvent.ToXml()
   $CreatorSID = $EventXML.Event.EventData.Data[0].'#text'
   $ComputerSID = $EventXML.Event.EventData.Data[4].'#text'

2. Vérifiez si le compte créateur dispose des autorisations appropriées :

   Get-ADUser -Identity $CreatorSID -Properties MemberOf | Select-Object Name, MemberOf

3. Vérifiez les détails du compte d'ordinateur :

   Get-ADComputer -Identity $ComputerSID -Properties Created, CreatedBy, DistinguishedName

4. Cherchez des événements d'authentification liés :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4624,4625; StartTime=(Get-Date).AddHours(-2)} | Where-Object {$_.Message -like "*$CreatorSID*"}

5. Vérifiez les modifications ultérieures du compte d'ordinateur :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4741,4743} | Where-Object {$_.Message -like "*$ComputerSID*"}

6. Examinez les événements de connexion réseau à partir du nouveau compte d'ordinateur

Configurez une surveillance proactive pour les événements de création de comptes d'ordinateur afin de détecter les anomalies.

1. Créez une tâche planifiée pour surveiller l'événement 4745:

   $Action = New-ScheduledTaskAction -Execute 'PowerShell.exe' -Argument '-File C:\Scripts\Monitor-ComputerAccounts.ps1'
   $Trigger = New-ScheduledTaskTrigger -Once -At (Get-Date) -RepetitionInterval (New-TimeSpan -Minutes 15) -RepetitionDuration (New-TimeSpan -Days 365)
   $Settings = New-ScheduledTaskSettingsSet -AllowStartIfOnBatteries -DontStopIfGoingOnBatteries -StartWhenAvailable
   Register-ScheduledTask -TaskName "Monitor Computer Account Creation" -Action $Action -Trigger $Trigger -Settings $Settings -User "SYSTEM"

2. Créez le script de surveillance à C:\Scripts\Monitor-ComputerAccounts.ps1:

   # Monitor-ComputerAccounts.ps1
   $LastCheck = (Get-Date).AddMinutes(-15)
   $Events = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4745; StartTime=$LastCheck} -ErrorAction SilentlyContinue
   
   if ($Events) {
       foreach ($Event in $Events) {
           $EventXML = [xml]$Event.ToXml()
           $ComputerName = $EventXML.Event.EventData.Data[5].'#text'
           $Creator = $EventXML.Event.EventData.Data[1].'#text'
           
           # Send alert email or log to SIEM
           Write-EventLog -LogName Application -Source "AD Monitor" -EventId 1001 -Message "Computer account $ComputerName created by $Creator"
       }
   }

3. Configurez le transfert des événements Windows pour centraliser les journaux:

   wecutil cs C:\Config\ComputerAccountSubscription.xml

4. Configurez des règles de corrélation SIEM pour détecter des modèles comme des créations rapides multiples de comptes d'ordinateur ou des créations en dehors des heures ouvrables
5. Mettez en place des alertes basées sur des seuils pour des volumes inhabituels d'événements de création de comptes d'ordinateur