ID d'événement Windows 4756 – Microsoft-Windows-Security-Auditing : Membre ajouté au groupe de sécurité universel

Commencez par examiner les détails de l'événement pour comprendre quel groupe a été modifié et par qui.

1. Ouvrez Observateur d'événements sur le contrôleur de domaine
2. Accédez à Journaux Windows → Sécurité
3. Filtrez pour l'ID d'événement 4756 en utilisant l'option de filtre
4. Double-cliquez sur l'événement pour voir les détails
5. Examinez la section Sujet pour identifier qui a effectué le changement
6. Vérifiez la section Groupe pour les détails du groupe universel cible
7. Examinez la section Membre pour voir quel compte a été ajouté
8. Notez l'horodatage et corrélez avec toute demande de changement approuvée

Champs clés à examiner :

• Nom du compte sujet : Qui a effectué l'action
• Nom du groupe : Quel groupe universel a été modifié
• Nom du membre : Quel compte a été ajouté
• SID du membre : Identifiant de sécurité du membre ajouté

Utilisez PowerShell pour interroger et analyser l'ID d'événement 4756 sur plusieurs contrôleurs de domaine.

1. Ouvrez PowerShell en tant qu'administrateur
2. Interrogez les ajouts récents de membres de groupe :

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4756} -MaxEvents 50 | Select-Object TimeCreated, @{Name='Subject';Expression={($_.Properties[1].Value)}}, @{Name='GroupName';Expression={($_.Properties[5].Value)}}, @{Name='MemberName';Expression={($_.Properties[8].Value)}}

3. Filtrer pour des groupes universels spécifiques :

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4756} | Where-Object {$_.Message -like '*Enterprise Admins*'} | Format-Table TimeCreated, Id, LevelDisplayName

4. Interroger sur plusieurs contrôleurs de domaine :

$DCs = Get-ADDomainController -Filter *
foreach ($DC in $DCs) {
    Write-Host "Checking $($DC.Name)"
    Get-WinEvent -ComputerName $DC.Name -FilterHashtable @{LogName='Security'; Id=4756; StartTime=(Get-Date).AddDays(-7)} -ErrorAction SilentlyContinue
}

5. Exporter les résultats pour analyse :

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4756; StartTime=(Get-Date).AddDays(-30)} | Export-Csv -Path "C:\Temp\GroupMembershipChanges.csv" -NoTypeInformation

Valider l'appartenance actuelle au groupe et évaluer l'impact de sécurité de l'ajout.

1. Vérifier l'appartenance actuelle au groupe universel :

Get-ADGroup -Identity "GroupName" -Properties Members | Select-Object -ExpandProperty Members | Get-ADObject

2. Vérifier les détails du compte ajouté :

Get-ADUser -Identity "AddedUserName" -Properties MemberOf, LastLogonDate, PasswordLastSet | Select-Object Name, SamAccountName, MemberOf, LastLogonDate, PasswordLastSet

3. Vérifier les permissions du groupe à travers la forêt :

$Group = Get-ADGroup -Identity "GroupName"
Get-ADObject -Filter {nTSecurityDescriptor -like "*$($Group.SID)*"} -Properties nTSecurityDescriptor

4. Examiner les appartenances aux groupes imbriqués :

Get-ADPrincipalGroupMembership -Identity "AddedUserName" | Where-Object {$_.GroupScope -eq "Universal"}

5. Valider par rapport aux listes d'accès approuvées :

• Comparer l'appartenance actuelle avec les utilisateurs autorisés documentés
• Vérifier si l'ajout suit les procédures de gestion des changements
• Vérifier la justification commerciale pour l'appartenance au groupe

Effectuer une analyse médico-légale détaillée lorsque des changements suspects d'appartenance à un groupe sont détectés.

1. Corréler avec les événements de connexion pour le compte sujet :

$SubjectSID = "S-1-5-21-..."
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4624,4625; StartTime=(Get-Date).AddHours(-2)} | Where-Object {$_.Message -like "*$SubjectSID*"}

2. Vérifier les événements de sécurité liés :

$TimeWindow = (Get-Date).AddMinutes(-30)
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4728,4729,4732,4733,4756,4757; StartTime=$TimeWindow} | Sort-Object TimeCreated

3. Examiner les journaux d'authentification sur le système source :

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4648} | Where-Object {$_.Properties[5].Value -eq "SubjectAccountName"}

4. Examiner les événements de création de processus si disponibles :

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4688} | Where-Object {$_.Message -like "*dsa.msc*" -or $_.Message -like "*powershell*"}

5. Vérifier les indicateurs d'escalade de privilèges :

• Vérifier si le compte sujet a récemment acquis des privilèges administratifs
• Vérifier les schémas d'accès normaux et les responsabilités du compte
• Vérifier les activités suspectes simultanées du même compte
• Valider l'adresse IP source et la méthode d'authentification utilisée

6. Documenter les résultats et prendre des mesures correctives :

• Retirer l'appartenance non autorisée au groupe si confirmée malveillante
• Réinitialiser les mots de passe des comptes compromis
• Mettre en place une surveillance supplémentaire pour les groupes affectés
• Mettre à jour les politiques de sécurité pour prévenir des incidents similaires

Configurez une surveillance proactive pour détecter et répondre aux changements d'appartenance aux groupes universels en temps réel.

1. Créez un script de surveillance PowerShell :

# Monitor-UniversalGroupChanges.ps1
$SensitiveGroups = @("Enterprise Admins", "Schema Admins", "Domain Admins")
$LastCheck = (Get-Date).AddMinutes(-5)

foreach ($Group in $SensitiveGroups) {
    $Events = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4756; StartTime=$LastCheck} | Where-Object {$_.Message -like "*$Group*"}
    if ($Events) {
        Send-MailMessage -To "security@company.com" -Subject "ALERT: $Group membership changed" -Body $Events.Message -SmtpServer "mail.company.com"
    }
}

2. Configurez le transfert d'événements Windows (WEF) :

• Configurez un collecteur de journaux central pour tous les contrôleurs de domaine
• Configurez l'abonnement pour transférer l'ID d'événement 4756
• Créez des vues personnalisées pour les changements de groupes universels

3. Implémentez l'intégration SIEM :

# Export events in JSON format for SIEM ingestion
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4756} -MaxEvents 100 | ConvertTo-Json | Out-File "C:\Logs\GroupChanges.json"

4. Configurez une tâche planifiée pour la surveillance :

$Action = New-ScheduledTaskAction -Execute "PowerShell.exe" -Argument "-File C:\Scripts\Monitor-UniversalGroupChanges.ps1"
$Trigger = New-ScheduledTaskTrigger -RepetitionInterval (New-TimeSpan -Minutes 5) -RepetitionDuration (New-TimeSpan -Days 365) -At (Get-Date)
Register-ScheduledTask -TaskName "MonitorUniversalGroups" -Action $Action -Trigger $Trigger -RunLevel Highest

5. Créez des vues personnalisées dans l'Observateur d'événements :

• Ouvrez l'Observateur d'événements et créez une vue personnalisée
• Filtrez pour l'ID d'événement 4756 à partir du journal de sécurité
• Enregistrez la vue sous "Universal Group Changes"
• Configurez les notifications par email via le Planificateur de tâches