ID d'événement Windows 4749 – Microsoft-Windows-Security-Auditing : Groupe global activé pour la sécurité supprimé

Commencez par examiner les détails spécifiques de l'événement 4749 pour comprendre quel groupe a été supprimé et par qui.

1. Ouvrez Observateur d'événements sur le contrôleur de domaine où l'événement s'est produit
2. Accédez à Journaux Windows → Sécurité
3. Filtrez pour l'ID d'événement 4749 en utilisant l'option de filtre
4. Double-cliquez sur l'événement pour voir les informations détaillées, y compris :
   • Sujet : Compte qui a supprimé le groupe
   • Compte cible : Détails du groupe supprimé
   • Informations supplémentaires : Privilèges utilisés et informations sur le processus
5. Notez l'ID de connexion pour corréler avec d'autres événements de sécurité
6. Vérifiez le champ Nom du processus pour identifier l'outil utilisé pour la suppression

Utilisez PowerShell pour interroger plusieurs contrôleurs de domaine pour le même événement :

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4749} -ComputerName DC01,DC02,DC03 | Select-Object TimeCreated,MachineName,Message | Format-Table -AutoSize

Enquêtez sur le cycle de vie du groupe supprimé en examinant les événements d'audit associés pour comprendre le contexte complet.

1. Recherchez l'ID d'événement 4727 (groupe global créé) avec le même nom de groupe ou SID
2. Cherchez l'ID d'événement 4737 (groupe global modifié) pour voir les modifications récentes
3. Vérifiez l'ID d'événement 4728/4729 pour les ajouts/suppressions de membres avant la suppression

Utilisez PowerShell pour construire une chronologie des événements liés au groupe :

# Rechercher tous les événements liés à un SID de groupe spécifique
$GroupSID = "S-1-5-21-1234567890-1234567890-1234567890-1234"
$Events = @(4727,4728,4729,4737,4749)
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=$Events} | Where-Object {$_.Message -like "*$GroupSID*"} | Sort-Object TimeCreated | Select-Object TimeCreated,Id,Message

4. Examinez les champs Nom du processus et ID du processus à travers les événements pour identifier des motifs
5. Vérifiez si le même compte a effectué plusieurs opérations de groupe en séquence
6. Vérifiez si la suppression faisait partie d'une fenêtre de maintenance planifiée ou inattendue

Enquêter sur le compte qui a effectué la suppression pour s'assurer qu'il avait des raisons légitimes et une autorisation appropriée.

1. Identifier le compte supprimant dans la section Sujet de l'événement 4749
2. Vérifier les appartenances aux groupes et les privilèges attribués au compte :

# Vérifier les appartenances aux groupes pour le compte
$Username = "DOMAIN\AdminUser"
Get-ADUser -Identity $Username -Properties MemberOf | Select-Object -ExpandProperty MemberOf | Get-ADGroup | Select-Object Name,GroupScope

3. Examiner les événements de connexion récents (4624) pour le compte afin d'établir des modèles d'accès
4. Vérifier les événements d'escalade de privilèges (4672) autour de la même période
5. Examiner le Type de connexion et le Package d'authentification utilisés
6. Vérifier si le compte a accédé au système depuis des emplacements attendus :

# Trouver les connexions récentes pour le compte
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4624} | Where-Object {$_.Message -like "*AdminUser*"} | Select-Object TimeCreated,@{Name='SourceIP';Expression={([xml]$_.ToXml()).Event.EventData.Data | Where-Object {$_.Name -eq 'IpAddress'} | Select-Object -ExpandProperty '#text'}} | Sort-Object TimeCreated -Descending | Select-Object -First 10

Évaluer l'impact de la suppression du groupe et déterminer si une récupération est nécessaire.

1. Vérifiez si le groupe supprimé avait des autorisations attribuées en recherchant la stratégie de groupe et les ACL du système de fichiers
2. Utilisez PowerShell pour rechercher les SID orphelins dans l'environnement :

# Rechercher les SID orphelins dans la stratégie de groupe
Get-GPO -All | ForEach-Object {
    $GPOReport = Get-GPOReport -Guid $_.Id -ReportType Xml
    if ($GPOReport -match "S-1-5-21-.*-.*-.*-.*") {
        Write-Output "SID orphelin potentiel trouvé dans GPO : $($_.DisplayName)"
    }
}

3. Vérifiez la corbeille Active Directory si elle est activée (Windows Server 2008 R2 et versions ultérieures) :

# Vérifiez si la corbeille AD est activée
Get-ADOptionalFeature -Filter 'Name -like "Recycle Bin Feature"'

# Si activée, recherchez le groupe supprimé
Get-ADObject -Filter {isDeleted -eq $true -and ObjectClass -eq "group"} -IncludeDeletedObjects | Where-Object {$_.Name -like "*DeletedGroupName*"}

4. Si une récupération est nécessaire et que la corbeille est activée, restaurez le groupe :

# Restaurer le groupe supprimé (remplacer par le nom distingué réel)
Restore-ADObject -Identity "CN=DeletedGroup\0ADEL:12345678-1234-1234-1234-123456789012,CN=Deleted Objects,DC=domain,DC=com"

5. Documentez l'incident et mettez en place une surveillance supplémentaire si nécessaire

Configurez une surveillance et des contrôles améliorés pour prévenir les suppressions de groupes non autorisées à l'avenir.

1. Configurez la stratégie d'audit avancée pour garantir une journalisation complète :

# Activer l'audit détaillé de la gestion des comptes
auditpol /set /subcategory:"Security Group Management" /success:enable /failure:enable
auditpol /set /subcategory:"User Account Management" /success:enable /failure:enable

2. Créez un script de surveillance PowerShell qui alerte sur les suppressions de groupes :

# Surveiller l'ID d'événement 4749 et envoyer des alertes
Register-WmiEvent -Query "SELECT * FROM __InstanceCreationEvent WITHIN 10 WHERE TargetInstance ISA 'Win32_NTLogEvent' AND TargetInstance.LogFile = 'Security' AND TargetInstance.EventCode = 4749" -Action {
    $Event = $Event.SourceEventArgs.NewEvent.TargetInstance
    $Message = "ALERTE : Groupe de sécurité supprimé - ID d'événement 4749 détecté sur $($Event.ComputerName) à $($Event.TimeGenerated)"
    # Ajoutez votre logique de notification ici (email, SIEM, etc.)
    Write-EventLog -LogName Application -Source "GroupDeletionMonitor" -EventId 1001 -Message $Message
}

3. Implémentez des unités administratives ou une gestion des accès privilégiés (PAM) pour contrôler les autorisations de gestion des groupes
4. Configurez des règles de gestion des informations et des événements de sécurité (SIEM) pour corréler les événements de suppression de groupes avec d'autres activités suspectes
5. Mettez en place des examens réguliers des groupes de sécurité critiques et de leurs adhésions
6. Envisagez de mettre en œuvre des flux de travail d'approbation pour les suppressions de groupes à l'aide d'outils comme Microsoft Identity Manager ou des solutions tierces