ID d'événement Windows 4753 – Microsoft-Windows-Security-Auditing : Membre de groupe global activé pour la sécurité supprimé

Commencez par examiner les détails spécifiques de l'ID d'événement 4753 pour comprendre quel changement d'appartenance au groupe a eu lieu.

1. Ouvrez Observateur d'événements sur le contrôleur de domaine où l'événement a été enregistré
2. Accédez à Journaux Windows → Sécurité
3. Filtrez le journal pour l'ID d'événement 4753 en utilisant Filtrer le journal actuel → IDs d'événements : 4753
4. Double-cliquez sur l'événement pour voir des informations détaillées, y compris :
   • Sujet : Compte qui a effectué la suppression
   • Membre : Compte qui a été retiré du groupe
   • Groupe : Informations sur le groupe de sécurité cible
   • Informations supplémentaires : Privilèges utilisés pour l'opération
5. Notez l'horodatage, la station de travail source et l'ID de connexion pour la corrélation avec d'autres événements

Utilisez PowerShell pour rechercher et analyser efficacement l'ID d'événement 4753 sur plusieurs contrôleurs de domaine ou périodes.

1. Ouvrez PowerShell en tant qu'administrateur sur un contrôleur de domaine ou une station de gestion
2. Interrogez les événements récents 4753 avec un filtrage de base :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4753} -MaxEvents 50 | Format-Table TimeCreated, Id, LevelDisplayName, Message -Wrap

3. Recherchez des suppressions spécifiques d'appartenance à un groupe :

   $Events = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4753; StartTime=(Get-Date).AddDays(-7)}
   $Events | ForEach-Object {
       $EventXML = [xml]$_.ToXml()
       $Subject = $EventXML.Event.EventData.Data | Where-Object {$_.Name -eq 'SubjectUserName'} | Select-Object -ExpandProperty '#text'
       $Member = $EventXML.Event.EventData.Data | Where-Object {$_.Name -eq 'MemberName'} | Select-Object -ExpandProperty '#text'
       $Group = $EventXML.Event.EventData.Data | Where-Object {$_.Name -eq 'TargetUserName'} | Select-Object -ExpandProperty '#text'
       [PSCustomObject]@{
           TimeCreated = $_.TimeCreated
           Subject = $Subject
           RemovedMember = $Member
           FromGroup = $Group
       }
   }

4. Exportez les résultats pour analyse :

   $Results | Export-Csv -Path "C:\Temp\GroupMembershipRemovals.csv" -NoTypeInformation

Enquêter sur l'ID d'événement 4753 dans le contexte des événements de sécurité connexes pour obtenir une image complète du changement d'appartenance au groupe.

1. Identifier la session de connexion qui a effectué la modification du groupe :

   $Event4753 = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4753} -MaxEvents 1
   $EventXML = [xml]$Event4753.ToXml()
   $LogonId = $EventXML.Event.EventData.Data | Where-Object {$_.Name -eq 'SubjectLogonId'} | Select-Object -ExpandProperty '#text'
   Write-Host "Logon ID: $LogonId"

2. Trouver l'événement de connexion correspondant (4624) pour la même session :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4624} | Where-Object {
       $LogonXML = [xml]$_.ToXml()
       $SessionLogonId = $LogonXML.Event.EventData.Data | Where-Object {$_.Name -eq 'TargetLogonId'} | Select-Object -ExpandProperty '#text'
       $SessionLogonId -eq $LogonId
   } | Select-Object TimeCreated, @{Name='LogonType';Expression={([xml]$_.ToXml()).Event.EventData.Data | Where-Object {$_.Name -eq 'LogonType'} | Select-Object -ExpandProperty '#text'}}, @{Name='WorkstationName';Expression={([xml]$_.ToXml()).Event.EventData.Data | Where-Object {$_.Name -eq 'WorkstationName'} | Select-Object -ExpandProperty '#text'}}

3. Vérifier d'autres modifications de groupe dans la même période :

   $TimeWindow = $Event4753.TimeCreated
   $StartTime = $TimeWindow.AddMinutes(-5)
   $EndTime = $TimeWindow.AddMinutes(5)
   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4728,4729,4732,4733,4756,4757; StartTime=$StartTime; EndTime=$EndTime} | Format-Table TimeCreated, Id, @{Name='EventType';Expression={switch($_.Id){4728{'User added to global group'};4729{'User removed from global group'};4732{'User added to local group'};4733{'User removed from local group'};4756{'User added to universal group'};4757{'User removed from universal group'}}}}

Lorsque l'ID d'événement 4753 indique une suppression potentielle non autorisée de l'appartenance à un groupe, effectuez une analyse médico-légale détaillée.

1. Vérifiez la légitimité du changement d'appartenance au groupe en vérifiant les demandes de changement récentes ou les tickets
2. Examinez le compte sujet qui a effectué la suppression :

   $Event4753 = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4753} -MaxEvents 1
   $EventXML = [xml]$Event4753.ToXml()
   $SubjectAccount = $EventXML.Event.EventData.Data | Where-Object {$_.Name -eq 'SubjectUserName'} | Select-Object -ExpandProperty '#text'
   $SubjectDomain = $EventXML.Event.EventData.Data | Where-Object {$_.Name -eq 'SubjectDomainName'} | Select-Object -ExpandProperty '#text'
   Get-ADUser -Identity $SubjectAccount -Server $SubjectDomain -Properties LastLogonDate, PasswordLastSet, MemberOf | Select-Object Name, LastLogonDate, PasswordLastSet, @{Name='Groups';Expression={$_.MemberOf -join '; '}}

3. Vérifiez si l'utilisateur supprimé existe toujours et examinez ses appartenances actuelles aux groupes :

   $RemovedMember = $EventXML.Event.EventData.Data | Where-Object {$_.Name -eq 'MemberName'} | Select-Object -ExpandProperty '#text'
   try {
       $User = Get-ADUser -Identity $RemovedMember -Properties MemberOf, LastLogonDate
       Write-Host "User still exists. Current groups: $($User.MemberOf -join '; ')"
       Write-Host "Last logon: $($User.LastLogonDate)"
   } catch {
       Write-Host "User account no longer exists or cannot be found"
   }

4. Auditez l'appartenance actuelle du groupe cible et les changements récents :

   $TargetGroup = $EventXML.Event.EventData.Data | Where-Object {$_.Name -eq 'TargetUserName'} | Select-Object -ExpandProperty '#text'
   $Group = Get-ADGroup -Identity $TargetGroup -Properties Members, Description
   Write-Host "Group: $($Group.Name)"
   Write-Host "Description: $($Group.Description)"
   Write-Host "Current member count: $($Group.Members.Count)"
   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4728,4753; StartTime=(Get-Date).AddDays(-30)} | Where-Object {
       $XML = [xml]$_.ToXml()
       $GroupName = $XML.Event.EventData.Data | Where-Object {$_.Name -eq 'TargetUserName'} | Select-Object -ExpandProperty '#text'
       $GroupName -eq $TargetGroup
   } | Select-Object TimeCreated, Id, @{Name='Action';Expression={if($_.Id -eq 4728){'Added'}else{'Removed'}}}

Configurez une surveillance proactive pour l'ID d'événement 4753 afin de détecter et de répondre aux changements d'appartenance à des groupes en temps réel.

1. Créez une vue personnalisée dans le Visualiseur d'événements pour la surveillance de l'appartenance à des groupes:
   • Ouvrez Visualiseur d'événements → Vues personnalisées → Créer une vue personnalisée
   • Définissez Niveau d'événement: Information
   • Définissez Journaux d'événements: Sécurité
   • Définissez IDs d'événements: 4728,4729,4732,4733,4753,4756,4757
   • Enregistrez sous "Changements d'appartenance à des groupes"
2. Configurez le transfert d'événements Windows pour centraliser les événements de changement de groupe:

   # Sur le serveur collecteur
   wecutil cs GroupMembershipSubscription.xml
   
   # Contenu XML d'abonnement exemple:
   <Subscription xmlns="http://schemas.microsoft.com/2006/03/windows/events/subscription">
       <SubscriptionId>GroupMembershipChanges</SubscriptionId>
       <SubscriptionType>SourceInitiated</SubscriptionType>
       <Description>Transférer les événements de changement d'appartenance à des groupes</Description>
       <Enabled>true</Enabled>
       <Uri>http://schemas.microsoft.com/wbem/wsman/1/windows/EventLog</Uri>
       <ConfigurationMode>Normal</ConfigurationMode>
       <Query>
           <![CDATA[
           <QueryList>
               <Query Id="0">
                   <Select Path="Security">*[System[(EventID=4728 or EventID=4729 or EventID=4732 or EventID=4733 or EventID=4753 or EventID=4756 or EventID=4757)]]</Select>
               </Query>
           </QueryList>
           ]]>
       </Query>
   </Subscription>

3. Créez un script de surveillance PowerShell pour les groupes critiques:

   # Monitor-CriticalGroups.ps1
   $CriticalGroups = @('Domain Admins', 'Enterprise Admins', 'Schema Admins')
   $LastCheck = (Get-Date).AddMinutes(-5)
   
   foreach ($Group in $CriticalGroups) {
       $Events = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4753; StartTime=$LastCheck} | Where-Object {
           $XML = [xml]$_.ToXml()
           $TargetGroup = $XML.Event.EventData.Data | Where-Object {$_.Name -eq 'TargetUserName'} | Select-Object -ExpandProperty '#text'
           $TargetGroup -like "*$Group*"
       }
       
       if ($Events) {
           foreach ($Event in $Events) {
               $XML = [xml]$Event.ToXml()
               $Subject = $XML.Event.EventData.Data | Where-Object {$_.Name -eq 'SubjectUserName'} | Select-Object -ExpandProperty '#text'
               $Member = $XML.Event.EventData.Data | Where-Object {$_.Name -eq 'MemberName'} | Select-Object -ExpandProperty '#text'
               
               # Envoyer une alerte (personnaliser si nécessaire)
               Write-Warning "CRITIQUE: Utilisateur $Member retiré de $Group par $Subject à $($Event.TimeCreated)"
               # Ajouter notification par email, intégration SIEM, etc.
           }
       }
   }

4. Planifiez le script de surveillance pour s'exécuter toutes les 5 minutes à l'aide du Planificateur de tâches