ID d'événement Windows 4750 – Microsoft-Windows-Security-Auditing : Mot de passe du compte d'ordinateur modifié

Ouvrez le Visualiseur d'événements et accédez au journal de sécurité pour examiner les détails de l'ID d'événement 4750 :

1. Appuyez sur Windows + R, tapez eventvwr.msc, et appuyez sur Entrée
2. Accédez à Journaux Windows → Sécurité
3. Dans le volet Actions, cliquez sur Filtrer le journal actuel
4. Entrez 4750 dans le champ ID d'événements et cliquez sur OK
5. Double-cliquez sur n'importe quelle entrée d'ID d'événement 4750 pour voir les détails
6. Examinez les champs clés suivants :
   • Nom du compte sujet : Qui a effectué le changement de mot de passe
   • Nom du compte cible : Quel compte d'ordinateur a été modifié
   • Domaine cible : Domaine contenant le compte d'ordinateur
   • ID de connexion : Identifiant de session pour la corrélation

Utilisez PowerShell pour interroger et analyser les occurrences de l'ID d'événement 4750 dans votre environnement :

# Obtenez les changements récents de mot de passe de compte d'ordinateur
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4750} -MaxEvents 50 | 
    Select-Object TimeCreated, @{Name='Computer';Expression={$_.Properties[0].Value}}, 
    @{Name='Subject';Expression={$_.Properties[1].Value}} | Format-Table -AutoSize

# Filtrer pour un compte d'ordinateur spécifique
$ComputerName = "WORKSTATION01$"
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4750} | 
    Where-Object {$_.Properties[0].Value -like "*$ComputerName*"} | 
    Select-Object TimeCreated, Message

# Vérifiez les changements de mot de passe manuels (sujets non comptes d'ordinateur)
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4750} -MaxEvents 100 | 
    Where-Object {$_.Properties[1].Value -notlike "*$"} | 
    Format-List TimeCreated, @{Name='Target';Expression={$_.Properties[0].Value}}, 
    @{Name='ChangedBy';Expression={$_.Properties[1].Value}}

Pour les contrôleurs de domaine, interrogez plusieurs serveurs simultanément :

$DomainControllers = @("DC01", "DC02", "DC03")
$Results = @()
foreach ($DC in $DomainControllers) {
    $Events = Get-WinEvent -ComputerName $DC -FilterHashtable @{LogName='Security'; Id=4750} -MaxEvents 20 -ErrorAction SilentlyContinue
    $Results += $Events | Select-Object @{Name='DC';Expression={$DC}}, TimeCreated, @{Name='Computer';Expression={$_.Properties[0].Value}}
}
$Results | Sort-Object TimeCreated -Descending | Format-Table -AutoSize

Vérifiez et ajustez les paramètres de la politique de mot de passe des comptes d'ordinateur qui contrôlent la fréquence de l'ID d'événement 4750 :

1. Vérifiez les paramètres actuels de la politique de domaine :

   # Interroger la politique de mot de passe du domaine
   Get-ADDefaultDomainPasswordPolicy | Select-Object MaxPasswordAge, MinPasswordAge
   
   # Vérifiez le paramètre d'âge du mot de passe du compte d'ordinateur
   $Domain = Get-ADDomain
   $DomainDN = $Domain.DistinguishedName
   Get-ADObject -Filter {objectClass -eq "domainDNS"} -SearchBase $DomainDN -Properties ms-DS-MachineAccountQuota, maxPwdAge

2. Examinez les paramètres du registre sur les contrôleurs de domaine :

   # Vérifiez l'âge maximum du mot de passe (par défaut 2592000 secondes = 30 jours)
   Get-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\Netlogon\Parameters" -Name MaximumPasswordAge -ErrorAction SilentlyContinue
   
   # Vérifiez le paramètre de désactivation du changement de mot de passe
   Get-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\Netlogon\Parameters" -Name DisablePasswordChange -ErrorAction SilentlyContinue

3. Pour des comptes d'ordinateur spécifiques, vérifiez le dernier changement de mot de passe :

   Get-ADComputer -Identity "WORKSTATION01" -Properties PasswordLastSet, whenChanged | 
       Select-Object Name, PasswordLastSet, whenChanged, @{Name='DaysOld';Expression={(Get-Date) - $_.PasswordLastSet | Select-Object -ExpandProperty Days}}

Corréler l'ID d'événement 4750 avec d'autres événements de sécurité pour identifier les problèmes de sécurité potentiels :

1. Rechercher des événements d'authentification liés :

   # Rechercher les échecs d'authentification de compte d'ordinateur autour des changements de mot de passe
   $StartTime = (Get-Date).AddDays(-7)
   $EndTime = Get-Date
   
   # Obtenir les changements de mot de passe de compte d'ordinateur
   $PasswordChanges = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4750; StartTime=$StartTime; EndTime=$EndTime}
   
   # Vérifier les échecs d'authentification (ID d'événement 4625) pour les mêmes comptes
   foreach ($Event in $PasswordChanges) {
       $ComputerAccount = $Event.Properties[0].Value
       $ChangeTime = $Event.TimeCreated
       
       $AuthFailures = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625; StartTime=$ChangeTime.AddHours(-2); EndTime=$ChangeTime.AddHours(2)} | 
           Where-Object {$_.Properties[5].Value -eq $ComputerAccount}
       
       if ($AuthFailures) {
           Write-Output "Problème potentiel avec $ComputerAccount à $ChangeTime"
           $AuthFailures | Select-Object TimeCreated, @{Name='FailureReason';Expression={$_.Properties[8].Value}}
       }
   }

2. Vérifier les modèles de changement de mot de passe inhabituels :

   # Identifier les ordinateurs avec des changements de mot de passe fréquents (problème de sécurité potentiel)
   $RecentChanges = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4750; StartTime=(Get-Date).AddDays(-30)}
   $ChangesByComputer = $RecentChanges | Group-Object {$_.Properties[0].Value} | 
       Where-Object {$_.Count -gt 5} | 
       Select-Object Name, Count, @{Name='LastChange';Expression={($_.Group | Sort-Object TimeCreated -Descending)[0].TimeCreated}}
   
   $ChangesByComputer | Format-Table -AutoSize

3. Vérifier les relations de confiance pour les ordinateurs affectés :

   # Tester le canal sécurisé pour les ordinateurs avec des changements de mot de passe récents
   $ComputerNames = $PasswordChanges | ForEach-Object {($_.Properties[0].Value -replace '\$$', '')}
   foreach ($Computer in $ComputerNames) {
       try {
           $TrustTest = Test-ComputerSecureChannel -ComputerName $Computer -ErrorAction Stop
           Write-Output "$Computer`: Confiance OK - $TrustTest"
       } catch {
           Write-Warning "$Computer`: Problème de confiance - $($_.Exception.Message)"
       }
   }

Configurez une surveillance complète pour l'ID d'événement 4750 afin de détecter les anomalies et les problèmes de sécurité :

1. Créez une vue personnalisée dans l'Observateur d'événements pour la surveillance des comptes d'ordinateur :
   • Ouvrez l'Observateur d'événements et cliquez avec le bouton droit sur Vues personnalisées
   • Sélectionnez Créer une vue personnalisée
   • Définissez le niveau d'événement sur Information
   • Entrez 4750,4740,4767 dans les ID d'événements (changement de mot de passe, compte verrouillé, échec de mot de passe)
   • Définissez les journaux d'événements sur Sécurité
   • Nommer la vue "Événements de sécurité des comptes d'ordinateur"
2. Configurez le script de surveillance basé sur PowerShell :

   # Script de surveillance avancée pour les changements de mot de passe des comptes d'ordinateur
   param(
       [int]$MaxEvents = 100,
       [int]$AlertThreshold = 3,
       [string]$SMTPServer = "mail.company.com",
       [string]$AlertEmail = "security@company.com"
   )
   
   $StartTime = (Get-Date).AddHours(-1)
   $Events = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4750; StartTime=$StartTime} -MaxEvents $MaxEvents -ErrorAction SilentlyContinue
   
   if ($Events) {
       # Regrouper par ordinateur et vérifier les changements excessifs
       $SuspiciousActivity = $Events | Group-Object {$_.Properties[0].Value} | 
           Where-Object {$_.Count -ge $AlertThreshold}
       
       if ($SuspiciousActivity) {
           $AlertBody = "Activité suspecte de mot de passe de compte d'ordinateur détectée :`n`n"
           foreach ($Activity in $SuspiciousActivity) {
               $AlertBody += "Ordinateur : $($Activity.Name) - $($Activity.Count) changements de mot de passe dans la dernière heure`n"
           }
           
           # Envoyer un e-mail d'alerte (configurer les paramètres SMTP si nécessaire)
           Send-MailMessage -To $AlertEmail -From "monitoring@company.com" -Subject "Alerte de sécurité du compte d'ordinateur" -Body $AlertBody -SmtpServer $SMTPServer
       }
       
       # Enregistrer le résumé dans le journal des événements Windows
       $EventCount = $Events.Count
       Write-EventLog -LogName Application -Source "Computer Account Monitor" -EventId 1001 -EntryType Information -Message "Traitement de $EventCount changements de mot de passe de compte d'ordinateur dans la dernière heure"
   }

3. Configurez le Planificateur de tâches Windows pour exécuter le script de surveillance :

   # Créer une tâche planifiée pour la surveillance
   $TaskName = "Surveillance du mot de passe du compte d'ordinateur"
   $ScriptPath = "C:\Scripts\ComputerAccountMonitor.ps1"
   
   $Action = New-ScheduledTaskAction -Execute "PowerShell.exe" -Argument "-ExecutionPolicy Bypass -File `"$ScriptPath`""
   $Trigger = New-ScheduledTaskTrigger -Once -At (Get-Date) -RepetitionInterval (New-TimeSpan -Hours 1)
   $Settings = New-ScheduledTaskSettingsSet -AllowStartIfOnBatteries -DontStopIfGoingOnBatteries -StartWhenAvailable
   
   Register-ScheduledTask -TaskName $TaskName -Action $Action -Trigger $Trigger -Settings $Settings -User "SYSTEM" -RunLevel Highest