ID d'événement Windows 4747 – Sécurité : Mot de passe du compte d'ordinateur modifié

Commencez par examiner les détails spécifiques de l'occurrence de l'ID d'événement 4747 pour comprendre le contexte et la légitimité du changement de mot de passe.

1. Ouvrez Observateur d'événements sur le contrôleur de domaine où l'événement s'est produit
2. Accédez à Journaux Windows → Sécurité
3. Filtrez pour l'ID d'événement 4747 en utilisant l'option de filtre
4. Double-cliquez sur l'événement pour voir des informations détaillées
5. Examinez les champs clés suivants :
   • Sujet : Compte qui a initié le changement de mot de passe
   • Compte cible : Compte d'ordinateur qui a été modifié
   • ID de connexion : Identifiant de session pour la corrélation
   • Informations sur le processus : Application ou service qui a effectué le changement
6. Vérifiez l'horodatage pour le corréler avec des activités administratives connues ou des processus automatiques
7. Vérifiez si le compte initiateur dispose des autorisations appropriées pour la gestion des comptes d'ordinateur

Utilisez PowerShell pour interroger et analyser efficacement les occurrences de l'ID d'événement 4747 sur plusieurs contrôleurs de domaine pour une surveillance complète.

1. Ouvrez PowerShell en tant qu'administrateur sur un contrôleur de domaine ou une station de gestion
2. Interrogez les occurrences récentes de l'ID d'événement 4747 :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4747} -MaxEvents 50 | Select-Object TimeCreated, Id, LevelDisplayName, Message

3. Filtrez les événements pour des comptes d'ordinateur spécifiques :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4747} | Where-Object {$_.Message -like '*COMPUTERNAME*'} | Format-Table TimeCreated, Message -Wrap

4. Interrogez les événements de plusieurs contrôleurs de domaine :

   $DCs = Get-ADDomainController -Filter *
   foreach ($DC in $DCs) {
       Write-Host "Checking $($DC.Name)..."
       Get-WinEvent -ComputerName $DC.Name -FilterHashtable @{LogName='Security'; Id=4747; StartTime=(Get-Date).AddDays(-7)} -ErrorAction SilentlyContinue
   }

5. Exportez les résultats pour analyse :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4747; StartTime=(Get-Date).AddDays(-30)} | Export-Csv -Path "C:\Temp\Event4747_Analysis.csv" -NoTypeInformation

Enquêter sur le statut actuel du compte d'ordinateur affecté et la relation de confiance du domaine pour déterminer si le changement de mot de passe était légitime et réussi.

1. Ouvrir Active Directory Users and Computers sur un contrôleur de domaine
2. Accéder au conteneur Computers ou à l'OU appropriée
3. Localiser le compte d'ordinateur mentionné dans l'Event ID 4747
4. Cliquez avec le bouton droit sur le compte d'ordinateur et sélectionnez Properties
5. Vérifier l'onglet Account pour:
   • Options et restrictions du compte
   • Dernier horodatage de connexion
   • Paramètres d'expiration du compte
6. Vérifier la relation de confiance en utilisant PowerShell:

   Test-ComputerSecureChannel -Server DC01.domain.com -Verbose

7. Vérifier l'âge du mot de passe du compte d'ordinateur:

   Get-ADComputer -Identity "COMPUTERNAME" -Properties PasswordLastSet | Select-Object Name, PasswordLastSet

8. Si des problèmes de confiance existent, réinitialiser le compte d'ordinateur:

   Reset-ComputerMachinePassword -Server DC01.domain.com -Credential (Get-Credential)

Examinez la configuration de la stratégie d'audit et corrélez l'ID d'événement 4747 avec les événements de sécurité associés pour comprendre le contexte complet des modifications de compte d'ordinateur.

1. Vérifiez les paramètres de la stratégie d'audit sur les contrôleurs de domaine :

   auditpol /get /subcategory:"Computer Account Management"

2. Vérifiez la configuration de l'audit de la stratégie de groupe :
   • Ouvrez Group Policy Management Console
   • Accédez à Default Domain Controllers Policy
   • Allez à Computer Configuration → Policies → Windows Settings → Security Settings → Advanced Audit Policy Configuration
   • Vérifiez que Account Management → Audit Computer Account Management est activé
3. Interrogez les événements associés pour la corrélation :

   # Check for related computer account events
   $Events = @(4741, 4742, 4743, 4747)
   foreach ($EventID in $Events) {
       Write-Host "Event ID $EventID occurrences:"
       (Get-WinEvent -FilterHashtable @{LogName='Security'; Id=$EventID; StartTime=(Get-Date).AddHours(-24)} -ErrorAction SilentlyContinue).Count
   }

4. Créez un rapport d'audit complet :

   $StartTime = (Get-Date).AddDays(-7)
   $ComputerEvents = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=@(4741,4742,4743,4747); StartTime=$StartTime}
   $ComputerEvents | Group-Object Id | Select-Object Name, Count | Sort-Object Count -Descending

Configurez une surveillance et une alerte complètes pour l'ID d'événement 4747 afin de détecter de manière proactive des modèles inhabituels de changement de mot de passe de compte d'ordinateur et des problèmes de sécurité potentiels.

1. Créez une vue personnalisée dans le Visualiseur d'événements pour la surveillance des comptes d'ordinateur:
   • Ouvrez Visualiseur d'événements et cliquez avec le bouton droit sur Vues personnalisées
   • Sélectionnez Créer une vue personnalisée
   • Définissez le Niveau d'événement sur Information et les IDs d'événement sur 4741,4742,4743,4747
   • Nommer la vue "Gestion des comptes d'ordinateur"
2. Configurez le transfert d'événements Windows pour une surveillance centralisée:

   # Sur le serveur collecteur
   wecutil qc
   # Créer une souscription
   wecutil cs ComputerAccountEvents.xml

3. Configurez un script de surveillance basé sur PowerShell:

   # Surveiller la fréquence inhabituelle de changement de mot de passe
   $Threshold = 5 # Plus de 5 changements par heure
   $RecentEvents = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4747; StartTime=(Get-Date).AddHours(-1)}
   if ($RecentEvents.Count -gt $Threshold) {
       Send-MailMessage -To "admin@company.com" -Subject "Changements élevés de mot de passe de compte d'ordinateur" -Body "Détecté $($RecentEvents.Count) changements de mot de passe dans la dernière heure"
   }

4. Configurez les paramètres du registre pour une journalisation améliorée:

   # Activer la journalisation détaillée des comptes d'ordinateur
   Set-ItemProperty -Path "HKLM\SYSTEM\CurrentControlSet\Services\EventLog\Security" -Name "MaxSize" -Value 1073741824

5. Créez une tâche planifiée pour une surveillance régulière:

   $Action = New-ScheduledTaskAction -Execute "PowerShell.exe" -Argument "-File C:\Scripts\MonitorEvent4747.ps1"
   $Trigger = New-ScheduledTaskTrigger -Daily -At "09:00"
   Register-ScheduledTask -TaskName "Surveiller les changements de compte d'ordinateur" -Action $Action -Trigger $Trigger -RunLevel Highest