ID d'événement Windows 4751 – Sécurité : Compte d'ordinateur ajouté à un groupe global activé pour la sécurité

Commencez par examiner les détails spécifiques de l'ID d'événement 4751 pour comprendre quel changement s'est produit et qui l'a initié.

1. Ouvrez Observateur d'événements sur le contrôleur de domaine où l'événement a été enregistré
2. Accédez à Journaux Windows → Sécurité
3. Filtrez pour l'ID d'événement 4751 ou recherchez les occurrences récentes
4. Double-cliquez sur l'événement pour voir des informations détaillées, y compris :
   • Sujet : Compte utilisateur qui a effectué le changement
   • Membre : Compte d'ordinateur qui a été ajouté
   • Groupe : Groupe de sécurité cible
   • Nom du processus appelant : Application qui a initié le changement
5. Notez l'horodatage et corrélez-le avec toute maintenance programmée ou activité administrative connue

Utilisez PowerShell pour rechercher et analyser efficacement les occurrences de l'ID d'événement 4751 sur vos contrôleurs de domaine.

1. Ouvrez PowerShell en tant qu'administrateur sur un contrôleur de domaine ou une station de gestion
2. Interrogez les entrées récentes de l'ID d'événement 4751 :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4751} -MaxEvents 50 | Select-Object TimeCreated, Id, LevelDisplayName, Message

3. Pour une analyse plus détaillée, extrayez des champs spécifiques :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4751} -MaxEvents 20 | ForEach-Object {
       $xml = [xml]$_.ToXml()
       [PSCustomObject]@{
           TimeCreated = $_.TimeCreated
           SubjectUserName = $xml.Event.EventData.Data[1].'#text'
           MemberName = $xml.Event.EventData.Data[6].'#text'
           GroupName = $xml.Event.EventData.Data[8].'#text'
           CallerProcessName = $xml.Event.EventData.Data[11].'#text'
       }
   }

4. Interrogez les événements de plusieurs contrôleurs de domaine :

   $DCs = Get-ADDomainController -Filter *
   foreach ($DC in $DCs) {
       Write-Host "Checking $($DC.Name)..."
       Invoke-Command -ComputerName $DC.Name -ScriptBlock {
           Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4751} -MaxEvents 10 -ErrorAction SilentlyContinue
       }
   }

Confirmez les changements réels d'appartenance au groupe et validez s'ils ont été autorisés.

1. Ouvrez Active Directory Users and Computers (dsa.msc)
2. Localisez le compte d'ordinateur mentionné dans l'événement :
   • Accédez à l'UO appropriée ou utilisez la fonction de recherche
   • Cliquez avec le bouton droit sur le compte d'ordinateur et sélectionnez Propriétés
   • Cliquez sur l'onglet Membre de pour voir les appartenances actuelles aux groupes
3. Vérifiez que le groupe mentionné dans l'événement est maintenant listé dans les appartenances de l'ordinateur
4. Vérifiez les propriétés du groupe pour voir quand l'ordinateur a été ajouté :
   • Accédez au groupe de sécurité mentionné dans l'événement
   • Cliquez avec le bouton droit et sélectionnez Propriétés
   • Cliquez sur l'onglet Membres pour confirmer que le compte d'ordinateur est présent
5. Utilisez PowerShell pour obtenir des informations détaillées sur l'appartenance :

   Get-ADComputer "ComputerName" -Properties MemberOf | Select-Object Name, @{Name="Groups";Expression={$_.MemberOf -replace '^CN=([^,]+),.*','$1'}}

Effectuez une analyse médico-légale plus approfondie en corrélant l'ID d'événement 4751 avec les événements de sécurité associés.

1. Activez l'audit avancé si ce n'est pas déjà configuré :

   auditpol /set /subcategory:"Security Group Management" /success:enable /failure:enable

2. Recherchez les événements connexes survenus à peu près au même moment :

   $StartTime = (Get-Date).AddHours(-2)
   $EndTime = Get-Date
   Get-WinEvent -FilterHashtable @{
       LogName='Security'
       Id=4624,4625,4648,4672,4751,4752,4756,4757
       StartTime=$StartTime
       EndTime=$EndTime
   } | Sort-Object TimeCreated

3. Vérifiez les événements de connexion (4624) de l'utilisateur concerné autour du moment du changement de groupe
4. Cherchez les événements d'utilisation de privilèges (4672) qui pourraient indiquer que des permissions élevées ont été utilisées
5. Examinez les tentatives échouées (4625) qui pourraient indiquer des tentatives d'accès non autorisées
6. Exportez les résultats pour une analyse plus approfondie :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4751} -MaxEvents 100 | Export-Csv -Path "C:\Temp\Event4751_Analysis.csv" -NoTypeInformation

Configurez une surveillance proactive pour détecter et alerter sur les futures occurrences de l'ID d'événement 4751, en particulier pour les groupes sensibles.

1. Créez une tâche planifiée pour surveiller l'ID d'événement 4751 :

   $Action = New-ScheduledTaskAction -Execute "PowerShell.exe" -Argument "-File C:\Scripts\Monitor-Event4751.ps1"
   $Trigger = New-ScheduledTaskTrigger -Once -At (Get-Date) -RepetitionInterval (New-TimeSpan -Minutes 15) -RepetitionDuration (New-TimeSpan -Days 365)
   $Settings = New-ScheduledTaskSettingsSet -AllowStartIfOnBatteries -DontStopIfGoingOnBatteries -StartWhenAvailable
   Register-ScheduledTask -TaskName "Monitor-Event4751" -Action $Action -Trigger $Trigger -Settings $Settings -User "SYSTEM"

2. Créez le script de surveillance (C:\Scripts\Monitor-Event4751.ps1) :

   # Monitor-Event4751.ps1
   $LastCheck = (Get-Date).AddMinutes(-15)
   $Events = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4751; StartTime=$LastCheck} -ErrorAction SilentlyContinue
   
   if ($Events) {
       foreach ($Event in $Events) {
           $xml = [xml]$Event.ToXml()
           $GroupName = $xml.Event.EventData.Data[8].'#text'
           $ComputerName = $xml.Event.EventData.Data[6].'#text'
           
           # Alerte pour les groupes sensibles
           $SensitiveGroups = @("Domain Admins", "Enterprise Admins", "Schema Admins")
           if ($GroupName -in $SensitiveGroups) {
               Send-MailMessage -To "admin@company.com" -From "security@company.com" -Subject "ALERTE : Ordinateur ajouté à un groupe privilégié" -Body "L'ordinateur $ComputerName a été ajouté à $GroupName à $($Event.TimeCreated)" -SmtpServer "mail.company.com"
           }
       }
   }

3. Configurez le transfert d'événements Windows (WEF) pour centraliser l'ID d'événement 4751 de tous les contrôleurs de domaine
4. Configurez l'intégration SIEM pour corréler l'ID d'événement 4751 avec d'autres événements de sécurité