ID d'événement Windows 4755 – Sécurité : Compte utilisateur activé

Commencez par examiner l'entrée spécifique de l'ID d'événement 4755 pour comprendre quel compte a été activé et par qui.

1. Ouvrez Observateur d'événements en appuyant sur Win + R, en tapant eventvwr.msc, et en cliquant sur OK
2. Accédez à Journaux Windows → Sécurité
3. Dans le volet Actions, cliquez sur Filtrer le journal actuel
4. Entrez 4755 dans le champ ID d'événements et cliquez sur OK
5. Double-cliquez sur l'entrée de l'ID d'événement 4755 pour voir les détails
6. Examinez les champs clés suivants :
   • Sujet : Indique qui a activé le compte (Nom du compte, Domaine du compte, ID de connexion)
   • Compte cible : Affiche les détails du compte activé (Nom du compte, Domaine du compte, ID de sécurité)
   • Informations supplémentaires : Contient les privilèges utilisés pour l'opération

La description de l'événement montrera exactement quel compte a été activé et fournira le contexte de sécurité de l'opération.

Utilisez PowerShell pour rechercher et analyser efficacement les occurrences de l'ID d'événement 4755 dans votre environnement.

1. Ouvrez PowerShell en tant qu'administrateur
2. Interrogez les événements récents d'activation de compte :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4755} -MaxEvents 50 | Format-Table TimeCreated, Id, LevelDisplayName, Message -Wrap

3. Filtrez les événements par plage de temps spécifique :

   $StartTime = (Get-Date).AddDays(-7)
   $EndTime = Get-Date
   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4755; StartTime=$StartTime; EndTime=$EndTime}

4. Extrayez des informations détaillées des propriétés de l'événement :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4755} -MaxEvents 10 | ForEach-Object {
       $Event = [xml]$_.ToXml()
       [PSCustomObject]@{
           TimeCreated = $_.TimeCreated
           SubjectUserName = $Event.Event.EventData.Data[1].'#text'
           SubjectDomainName = $Event.Event.EventData.Data[2].'#text'
           TargetUserName = $Event.Event.EventData.Data[4].'#text'
           TargetDomainName = $Event.Event.EventData.Data[5].'#text'
       }
   }

5. Exportez les résultats pour une analyse plus approfondie :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4755} | Export-Csv -Path "C:\Temp\AccountEnabled_Events.csv" -NoTypeInformation

Vérifiez l'état actuel du compte activé et examinez ses propriétés pour l'évaluation de la sécurité.

1. Ouvrez Active Directory Users and Computers à partir des Outils d'administration
2. Accédez à l'unité organisationnelle contenant le compte cible
3. Cliquez avec le bouton droit sur le compte utilisateur et sélectionnez Propriétés
4. Vérifiez l'onglet Compte pour vérifier l'état actuel du compte
5. Examinez les propriétés du compte pour des changements suspects:
   • Dernière heure de connexion et poste de travail
   • Paramètres d'expiration du compte
   • Appartenances aux groupes et permissions déléguées
   • Date de dernier changement de mot de passe
6. Utilisez PowerShell pour obtenir des détails complets sur le compte:

   Get-ADUser -Identity "username" -Properties * | Select-Object Name, Enabled, LastLogonDate, PasswordLastSet, MemberOf, AccountExpirationDate

7. Vérifiez les modifications récentes du compte:

   Get-ADUser -Identity "username" -Properties whenChanged, whenCreated | Select-Object Name, whenCreated, whenChanged

8. Examinez les changements d'appartenance aux groupes:

   Get-ADPrincipalGroupMembership -Identity "username" | Select-Object Name, GroupScope, GroupCategory

Analyser les schémas d'authentification après l'activation du compte pour détecter les tentatives d'accès non autorisées.

1. Rechercher les événements de connexion après l'activation du compte :

   $EnableTime = (Get-Date "2026-03-18 10:30:00")
   $SearchEnd = $EnableTime.AddHours(24)
   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4624; StartTime=$EnableTime; EndTime=$SearchEnd} | Where-Object {$_.Message -like "*username*"}

2. Vérifier les tentatives de connexion échouées avant l'activation :

   $SearchStart = $EnableTime.AddHours(-24)
   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625; StartTime=$SearchStart; EndTime=$EnableTime} | Where-Object {$_.Message -like "*username*"}

3. Examiner les types de connexion et les stations de travail source :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4624} | ForEach-Object {
       $Event = [xml]$_.ToXml()
       if ($Event.Event.EventData.Data[5].'#text' -eq "username") {
           [PSCustomObject]@{
               TimeCreated = $_.TimeCreated
               LogonType = $Event.Event.EventData.Data[8].'#text'
               WorkstationName = $Event.Event.EventData.Data[11].'#text'
               SourceIP = $Event.Event.EventData.Data[18].'#text'
           }
       }
   }

4. Générer un rapport chronologique :

   $Events = @()
   $Events += Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4755} | Where-Object {$_.Message -like "*username*"}
   $Events += Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4624} | Where-Object {$_.Message -like "*username*"}
   $Events | Sort-Object TimeCreated | Format-Table TimeCreated, Id, Message -Wrap

Configurez une surveillance proactive pour détecter les activités d'activation de compte non autorisées en temps réel.

1. Créez une vue personnalisée dans l'Observateur d'événements pour l'ID d'événement 4755:
   • Dans l'Observateur d'événements, cliquez avec le bouton droit sur Vues personnalisées et sélectionnez Créer une vue personnalisée
   • Sélectionnez Par journal et cochez Sécurité
   • Entrez 4755 dans le champ ID d'événements
   • Nommer la vue "Événements d'activation de compte" et enregistrez
2. Configurez le transfert d'événements Windows pour la journalisation centralisée:

   # Sur le serveur collecteur
   wecutil qc
   wecutil cs subscription.xml

3. Créez un script de surveillance PowerShell:

   # Monitor-AccountEnablement.ps1
   $LastCheck = (Get-Date).AddMinutes(-5)
   $NewEvents = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4755; StartTime=$LastCheck}
   
   foreach ($Event in $NewEvents) {
       $EventXML = [xml]$Event.ToXml()
       $TargetUser = $EventXML.Event.EventData.Data[4].'#text'
       $SubjectUser = $EventXML.Event.EventData.Data[1].'#text'
       
       # Envoyer une alerte pour les comptes à privilèges élevés
       if ($TargetUser -match "admin|service|sql") {
           Send-MailMessage -To "security@company.com" -Subject "Compte à privilèges élevés activé" -Body "Compte $TargetUser activé par $SubjectUser à $($Event.TimeCreated)"
       }
   }

4. Planifiez le script de surveillance:

   $Action = New-ScheduledTaskAction -Execute "PowerShell.exe" -Argument "-File C:\Scripts\Monitor-AccountEnablement.ps1"
   $Trigger = New-ScheduledTaskTrigger -RepetitionInterval (New-TimeSpan -Minutes 5) -RepetitionDuration (New-TimeSpan -Days 365) -At (Get-Date)
   Register-ScheduledTask -TaskName "MonitorAccountEnablement" -Action $Action -Trigger $Trigger

5. Configurez la stratégie d'audit pour garantir la génération de l'ID d'événement 4755:

   auditpol /set /subcategory:"User Account Management" /success:enable /failure:enable