ID d'événement Windows 4752 – Microsoft-Windows-Security-Auditing : Un membre a été ajouté à un groupe global désactivé pour la sécurité

Ouvrez le Visualiseur d'événements et accédez au journal de sécurité pour examiner les détails de l'événement :

1. Appuyez sur Windows + R, tapez eventvwr.msc, et appuyez sur Entrée
2. Accédez à Journaux Windows → Sécurité
3. Filtrez le journal en cliquant sur Filtrer le journal actuel dans le volet Actions
4. Entrez 4752 dans le champ ID d'événement et cliquez sur OK
5. Double-cliquez sur une entrée d'ID d'événement 4752 pour voir les détails
6. Examinez les champs clés suivants dans la description de l'événement :
   • Sujet : Compte qui a effectué le changement
   • Membre : Compte qui a été ajouté au groupe
   • Groupe : Nom du groupe cible et domaine
   • Informations supplémentaires : Privilèges utilisés pour l'opération

La vue XML de l'événement fournit des données structurées pour le traitement automatisé et contient des valeurs SID pour une identification précise.

Utilisez PowerShell pour interroger et analyser les occurrences de l'ID d'événement 4752 sur plusieurs contrôleurs de domaine :

# Interroger les événements récents 4752 à partir du journal de sécurité local
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4752} -MaxEvents 50 | 
  Select-Object TimeCreated, Id, LevelDisplayName, Message

# Extraire des détails spécifiques des messages d'événements
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4752} -MaxEvents 10 | 
  ForEach-Object {
    $xml = [xml]$_.ToXml()
    [PSCustomObject]@{
      TimeCreated = $_.TimeCreated
      SubjectUserName = $xml.Event.EventData.Data[1].'#text'
      SubjectDomainName = $xml.Event.EventData.Data[2].'#text'
      MemberName = $xml.Event.EventData.Data[6].'#text'
      GroupName = $xml.Event.EventData.Data[8].'#text'
      GroupDomain = $xml.Event.EventData.Data[9].'#text'
    }
  }

# Interroger les événements à partir du contrôleur de domaine distant
Get-WinEvent -ComputerName 'DC01.contoso.com' -FilterHashtable @{LogName='Security'; Id=4752; StartTime=(Get-Date).AddDays(-7)}

Cette approche permet la surveillance et le rapport automatisés des changements d'appartenance aux groupes dans votre infrastructure Active Directory.

Assurez-vous de configurer correctement la politique d'audit pour capturer l'ID d'événement 4752 de manière cohérente :

1. Ouvrez la Console de gestion des stratégies de groupe et modifiez la stratégie des contrôleurs de domaine par défaut
2. Accédez à Configuration de l'ordinateur → Stratégies → Paramètres Windows → Paramètres de sécurité → Configuration avancée de la stratégie d'audit
3. Développez Stratégies d'audit → Gestion des comptes
4. Double-cliquez sur Gestion des groupes de distribution
5. Cochez Configurer les événements d'audit suivants et sélectionnez Succès
6. Cliquez sur OK et exécutez gpupdate /force sur les contrôleurs de domaine

Vérifiez que la politique est appliquée correctement :

# Vérifiez les paramètres actuels de la politique d'audit
auditpol /get /subcategory:"Distribution Group Management"

# Définissez la politique d'audit via la ligne de commande si nécessaire
auditpol /set /subcategory:"Distribution Group Management" /success:enable

Cela garantit que tous les changements d'appartenance aux groupes de distribution génèrent des événements d'audit pour la conformité et la surveillance de la sécurité.

Corréler l'ID d'événement 4752 avec les événements connexes pour obtenir une image complète des modifications de groupe :

# Trouver tous les événements liés au groupe pour une période spécifique
$StartTime = (Get-Date).AddHours(-24)
$GroupEvents = Get-WinEvent -FilterHashtable @{
  LogName='Security'
  Id=4752,4753,4756,4757
  StartTime=$StartTime
} | Sort-Object TimeCreated

# Analyser les modèles dans les changements de groupe
$GroupEvents | Group-Object Id | Select-Object Name, Count

# Vérifier les modèles d'activité suspects
$GroupEvents | Where-Object {$_.Id -eq 4752} | 
  ForEach-Object {
    $xml = [xml]$_.ToXml()
    [PSCustomObject]@{
      Time = $_.TimeCreated
      User = $xml.Event.EventData.Data[1].'#text'
      AddedMember = $xml.Event.EventData.Data[6].'#text'
      Group = $xml.Event.EventData.Data[8].'#text'
    }
  } | Group-Object User | Where-Object Count -gt 10

Faire une référence croisée avec Active Directory pour vérifier l'appartenance actuelle au groupe :

# Vérifier l'appartenance actuelle au groupe
Get-ADGroupMember -Identity "GroupName" | Select-Object Name, SamAccountName, ObjectClass

# Vérifier les propriétés du groupe
Get-ADGroup -Identity "GroupName" -Properties *

Créer des solutions de surveillance automatisées pour suivre et alerter sur les occurrences de l'ID d'événement 4752 :

# Script PowerShell pour la surveillance continue
$Action = {
  $Event = $Event.SourceEventArgs.NewEvent
  $xml = [xml]$Event.ToXml()
  $GroupName = $xml.Event.EventData.Data[8].'#text'
  $AddedMember = $xml.Event.EventData.Data[6].'#text'
  $User = $xml.Event.EventData.Data[1].'#text'
  
  # Envoyer une alerte pour les groupes critiques
  if ($GroupName -match "Executive|Finance|HR") {
    Send-MailMessage -To "security@company.com" -From "monitoring@company.com" `
      -Subject "Alerte de Changement de Groupe Critique" `
      -Body "L'utilisateur $AddedMember a été ajouté à $GroupName par $User à $(Get-Date)"
  }
}

# Enregistrer le surveillant d'événements
Register-WmiEvent -Query "SELECT * FROM Win32_NTLogEvent WHERE LogFile='Security' AND EventCode=4752" -Action $Action

Configurer le transfert d'événements Windows pour la collecte centralisée :

1. Sur le serveur collecteur, exécutez wecutil qc pour configurer le collecteur d'événements Windows
2. Créer un fichier de configuration d'abonnement :

<Subscription xmlns="http://schemas.microsoft.com/2006/03/windows/events/subscription">
  <SubscriptionId>GroupChanges</SubscriptionId>
  <Query>
    <![CDATA[<QueryList><Query Id="0"><Select Path="Security">*[System[EventID=4752]]</Select></Query></QueryList>]]>
  </Query>
</Subscription>

Déployer l'abonnement : wecutil cs GroupChanges.xml