ID d'événement Windows 4754 – Microsoft-Windows-Security-Auditing : Membre ajouté au groupe universel activé pour la sécurité

Commencez par examiner les détails spécifiques de l'événement pour comprendre ce qui s'est passé et qui était impliqué.

1. Ouvrez Observateur d'événements sur le contrôleur de domaine où l'événement s'est produit
2. Accédez à Journaux Windows → Sécurité
3. Filtrez pour l'ID d'événement 4754 en utilisant l'option de filtre dans le volet Actions
4. Double-cliquez sur l'événement pour voir des informations détaillées, y compris :
   • Sujet : Compte qui a effectué l'action
   • Groupe : Groupe universel qui a été modifié
   • Membre : Objet qui a été ajouté au groupe
   • Informations sur le processus : Application qui a initié le changement
5. Notez l'horodatage, la station de travail source et les détails de la session de connexion pour la corrélation avec d'autres événements
6. Vérifiez si le changement était attendu en le comparant aux enregistrements de gestion des changements

Utilisez PowerShell pour analyser plusieurs occurrences de l'ID d'événement 4754 et identifier des modèles ou des activités suspectes.

1. Ouvrez PowerShell en tant qu'administrateur sur un contrôleur de domaine ou une station de gestion
2. Interrogez les ajouts récents de membres de groupe :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4754} -MaxEvents 50 | ForEach-Object {
       $xml = [xml]$_.ToXml()
       [PSCustomObject]@{
           TimeCreated = $_.TimeCreated
           SubjectUserName = $xml.Event.EventData.Data[0].'#text'
           SubjectDomainName = $xml.Event.EventData.Data[1].'#text'
           GroupName = $xml.Event.EventData.Data[5].'#text'
           GroupDomain = $xml.Event.EventData.Data[6].'#text'
           MemberName = $xml.Event.EventData.Data[8].'#text'
           MemberSid = $xml.Event.EventData.Data[9].'#text'
       }
   } | Format-Table -AutoSize

3. Filtrez pour des groupes spécifiques d'intérêt :

   $TargetGroups = @('Domain Admins', 'Enterprise Admins', 'Schema Admins')
   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4754} -MaxEvents 100 | Where-Object {
       $xml = [xml]$_.ToXml()
       $groupName = $xml.Event.EventData.Data[5].'#text'
       $TargetGroups -contains $groupName
   }

4. Exportez les résultats pour une analyse ou un rapport ultérieur :

   $Results | Export-Csv -Path "C:\Temp\GroupMembershipChanges.csv" -NoTypeInformation

Enquêter sur les événements connexes pour obtenir une image complète de l'activité de changement d'appartenance au groupe.

1. Rechercher les événements de connexion correspondants autour de la même période :

   $StartTime = (Get-Date).AddHours(-2)
   $EndTime = Get-Date
   Get-WinEvent -FilterHashtable @{
       LogName='Security'
       Id=4624,4625,4648
       StartTime=$StartTime
       EndTime=$EndTime
   } | Where-Object {$_.Message -like '*SubjectUserName*'}

2. Vérifier l'ID d'événement 4728 (membre ajouté à un groupe global activé pour la sécurité) et l'ID d'événement 4732 (membre ajouté à un groupe local activé pour la sécurité) pour un suivi complet des changements de groupe
3. Rechercher l'ID d'événement 4756 (membre supprimé d'un groupe universel activé pour la sécurité) pour voir si cela faisait partie d'un transfert d'appartenance
4. Examiner l'ID d'événement 4672 (privilèges spéciaux attribués à une nouvelle connexion) pour identifier si des privilèges administratifs ont été utilisés
5. Faire une référence croisée avec l'ID d'événement 5136 (objet de service d'annuaire modifié) pour un contexte supplémentaire de changement Active Directory
6. Utiliser l'ID de connexion de l'événement 4754 pour corréler avec d'autres activités dans la même session :

   $LogonId = "0x3e7"  # Remplacer par l'ID de connexion réel de l'événement 4754
   Get-WinEvent -FilterHashtable @{LogName='Security'} | Where-Object {
       $_.Message -like "*$LogonId*"
   } | Select-Object TimeCreated, Id, LevelDisplayName, Message

Valider l'état actuel du groupe et évaluer les implications de sécurité de l'ajout de membres.

1. Vérifiez l'appartenance actuelle du groupe universel affecté :

   Get-ADGroupMember -Identity "GroupName" -Recursive | Select-Object Name, ObjectClass, SamAccountName, DistinguishedName

2. Vérifiez les autorisations et droits attribués au groupe universel :

   Get-ADGroup -Identity "GroupName" -Properties MemberOf | Select-Object -ExpandProperty MemberOf | ForEach-Object {
       Get-ADGroup -Identity $_ | Select-Object Name, GroupScope, GroupCategory
   }

3. Vérifiez si le groupe a des privilèges spéciaux ou est imbriqué dans des groupes privilégiés :

   $Group = Get-ADGroup -Identity "GroupName" -Properties MemberOf
   $PrivilegedGroups = @('Domain Admins', 'Enterprise Admins', 'Schema Admins', 'Administrators')
   $Group.MemberOf | ForEach-Object {
       $ParentGroup = Get-ADGroup -Identity $_
       if ($PrivilegedGroups -contains $ParentGroup.Name) {
           Write-Warning "Group $($Group.Name) is member of privileged group: $($ParentGroup.Name)"
       }
   }

4. Auditez les appartenances aux groupes existants du nouveau membre ajouté :

   Get-ADUser -Identity "NewMemberName" -Properties MemberOf | Select-Object -ExpandProperty MemberOf | ForEach-Object {
       Get-ADGroup -Identity $_ | Select-Object Name, GroupScope, GroupCategory
   }

5. Examinez tous les objets de stratégie de groupe qui pourraient être affectés par ce changement d'appartenance

Configurez une surveillance proactive pour détecter et alerter sur les futurs changements d'appartenance aux groupes universels.

1. Créez un abonnement personnalisé de transfert d'événements Windows pour centraliser l'ID d'événement 4754 de tous les contrôleurs de domaine
2. Configurez un script PowerShell pour la surveillance en temps réel:

   # Enregistrez sous Monitor-UniversalGroupChanges.ps1
   Register-WmiEvent -Query "SELECT * FROM __InstanceCreationEvent WITHIN 10 WHERE TargetInstance ISA 'Win32_NTLogEvent' AND TargetInstance.LogFile = 'Security' AND TargetInstance.EventCode = 4754" -Action {
       $Event = $Event.SourceEventArgs.NewEvent.TargetInstance
       $Message = "Membre ajouté au groupe universel : $($Event.Message)"
       Write-EventLog -LogName Application -Source "GroupMonitor" -EventId 1001 -Message $Message -EntryType Information
       # Ajoutez ici la notification par email ou l'intégration SIEM
   }

3. Configurez le Planificateur de tâches Windows pour exécuter les scripts de surveillance à intervalles réguliers
4. Créez des vues personnalisées dans l'Observateur d'événements pour les équipes de sécurité:
   • Filtre : ID d'événement 4754, 4756 (membre supprimé), 4728, 4732
   • Grouper par : Nom du groupe ou Nom de l'utilisateur sujet
   • Période : Dernières 24 heures ou 7 jours
5. Configurez l'intégration SIEM en utilisant le transfert d'événements Windows ou des agents d'expédition de journaux
6. Mettez en œuvre des procédures de réponse automatisées pour les changements de groupes à haut risque:

   # Exemple de réponse automatisée
   if ($GroupName -in @('Domain Admins', 'Enterprise Admins')) {
       Send-MailMessage -To "security@company.com" -Subject "ALERTE : Groupe privilégié modifié" -Body $AlertMessage
       # Désactiver éventuellement le compte en attente d'enquête
       # Disable-ADAccount -Identity $SubjectUserName
   }