ID d'événement Windows 4757 – Microsoft-Windows-Security-Auditing : Membre du groupe de sécurité universel supprimé

Ouvrez Observateur d'événements sur le contrôleur de domaine et accédez à Journaux Windows → Sécurité. Filtrez pour l'ID d'événement 4757 pour examiner les suppressions récentes d'appartenance à un groupe.

# Filtrer le journal de sécurité pour l'ID d'événement 4757
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4757} -MaxEvents 50 | Format-Table TimeCreated, Id, LevelDisplayName, Message -Wrap

Examinez les détails de l'événement pour identifier :

• Sujet : Qui a effectué la suppression (Nom du compte, Domaine du compte, ID de connexion)
• Membre : Quel compte a été supprimé (Nom du membre, SID du membre)
• Groupe : Groupe universel cible (Nom du groupe, Domaine du groupe, SID du groupe)
• Informations supplémentaires : Privilèges utilisés pour l'opération

Recoupez l'ID de connexion avec l'ID d'événement 4624 (connexion réussie) pour déterminer le poste de travail source et la méthode d'authentification utilisée par l'administrateur.

Les modifications de groupe universel peuvent se produire sur n'importe quel contrôleur de domaine dans la forêt. Interrogez tous les DCs pour construire une chronologie complète des modifications d'appartenance au groupe.

# Obtenez tous les contrôleurs de domaine dans la forêt
$DCs = (Get-ADForest).Domains | ForEach-Object { Get-ADDomainController -Filter * -Server $_ }

# Interrogez chaque DC pour l'ID d'événement 4757
$Results = @()
foreach ($DC in $DCs) {
    try {
        $Events = Get-WinEvent -ComputerName $DC.HostName -FilterHashtable @{LogName='Security'; Id=4757; StartTime=(Get-Date).AddDays(-7)} -ErrorAction SilentlyContinue
        $Results += $Events | Select-Object @{n='DomainController';e={$DC.HostName}}, TimeCreated, Id, Message
    }
    catch {
        Write-Warning "Impossible d'interroger $($DC.HostName): $($_.Exception.Message)"
    }
}

# Affichez les résultats triés par heure
$Results | Sort-Object TimeCreated -Descending | Format-Table DomainController, TimeCreated, Message -Wrap

Cet approche garantit que vous capturez toutes les suppressions d'appartenance aux groupes universels à travers l'ensemble de la forêt Active Directory, ce qui est crucial pour les enquêtes de sécurité.

Identifiez quels outils d'administration ont été utilisés pour supprimer des membres de groupe en corrélant l'ID d'événement 4757 avec les événements de création de processus et les journaux d'authentification.

# Trouver les événements d'authentification liés pour le même ID de connexion
$GroupEvent = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4757} -MaxEvents 1
$LogonId = ($GroupEvent.Message | Select-String 'Logon ID:\s+(\S+)').Matches[0].Groups[1].Value

# Trouver l'événement de connexion initial
$LogonEvent = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4624} | Where-Object {
    $_.Message -match "Logon ID:\s+$LogonId"
} | Select-Object -First 1

Write-Host "Détails de la modification du groupe :" -ForegroundColor Green
Write-Host "Heure : $($GroupEvent.TimeCreated)"
Write-Host "ID de connexion : $LogonId"

if ($LogonEvent) {
    Write-Host "\nDétails de l'authentification :" -ForegroundColor Green
    Write-Host "Heure de connexion : $($LogonEvent.TimeCreated)"
    Write-Host "Source : $($LogonEvent.Message | Select-String 'Source Network Address:\s+(\S+)' | ForEach-Object {$_.Matches[0].Groups[1].Value})"
    Write-Host "Processus : $($LogonEvent.Message | Select-String 'Process Name:\s+(.+)' | ForEach-Object {$_.Matches[0].Groups[1].Value})"
}

Vérifiez les événements concurrents d'ID d'événement 4688 (création de processus) pour identifier des outils d'administration spécifiques comme dsa.msc, powershell.exe, ou des applications de gestion tierces.

Créer un rapport d'audit complet montrant la chronologie des changements d'appartenance aux groupes universels pour des groupes ou utilisateurs spécifiques.

# Fonction pour analyser les changements d'appartenance aux groupes universels
function Get-UniversalGroupAudit {
    param(
        [string]$GroupName,
        [string]$MemberName,
        [int]$Days = 30
    )
    
    $StartTime = (Get-Date).AddDays(-$Days)
    $Events = @()
    
    # Obtenir les événements d'ajout (4756) et de suppression (4757)
    $EventIds = @(4756, 4757)
    
    foreach ($EventId in $EventIds) {
        $EventData = Get-WinEvent -FilterHashtable @{
            LogName = 'Security'
            Id = $EventId
            StartTime = $StartTime
        } -ErrorAction SilentlyContinue
        
        foreach ($Event in $EventData) {
            $Message = $Event.Message
            $GroupNameMatch = ($Message | Select-String 'Group Name:\s+(.+)').Matches[0].Groups[1].Value
            $MemberNameMatch = ($Message | Select-String 'Member Name:\s+(.+)').Matches[0].Groups[1].Value
            
            # Filtrer par groupe ou membre si spécifié
            if (($GroupName -and $GroupNameMatch -notlike "*$GroupName*") -or 
                ($MemberName -and $MemberNameMatch -notlike "*$MemberName*")) {
                continue
            }
            
            $Events += [PSCustomObject]@{
                Time = $Event.TimeCreated
                Action = if ($EventId -eq 4756) { "Ajouté" } else { "Supprimé" }
                Group = $GroupNameMatch
                Member = $MemberNameMatch
                Subject = ($Message | Select-String 'Account Name:\s+(.+)').Matches[0].Groups[1].Value
                EventId = $EventId
            }
        }
    }
    
    return $Events | Sort-Object Time -Descending
}

# Exemples d'utilisation
Get-UniversalGroupAudit -GroupName "Domain Admins" | Format-Table -AutoSize
Get-UniversalGroupAudit -MemberName "john.doe" | Format-Table -AutoSize

Ce script fournit une vue complète des changements d'appartenance aux groupes universels, aidant à identifier les modèles et les modifications non autorisées.

Configurez la surveillance proactive des changements critiques d'appartenance aux groupes universels en utilisant le transfert d'événements Windows et des scripts de surveillance PowerShell personnalisés.

# Créer une tâche planifiée pour surveiller les groupes universels critiques
$TaskName = "Monitor-CriticalUniversalGroups"
$ScriptPath = "C:\Scripts\Monitor-UniversalGroups.ps1"

# Créer le script de surveillance
$MonitorScript = @'
$CriticalGroups = @("Domain Admins", "Enterprise Admins", "Schema Admins")
$Events = Get-WinEvent -FilterHashtable @{LogName="Security"; Id=@(4756,4757); StartTime=(Get-Date).AddMinutes(-5)} -ErrorAction SilentlyContinue

foreach ($Event in $Events) {
    $GroupName = ($Event.Message | Select-String "Group Name:\s+(.+)").Matches[0].Groups[1].Value
    if ($CriticalGroups -contains $GroupName) {
        $Action = if ($Event.Id -eq 4756) { "ADDED TO" } else { "REMOVED FROM" }
        $Member = ($Event.Message | Select-String "Member Name:\s+(.+)").Matches[0].Groups[1].Value
        $Subject = ($Event.Message | Select-String "Account Name:\s+(.+)").Matches[0].Groups[1].Value
        
        $AlertMessage = "CRITICAL: $Member was $Action $GroupName by $Subject at $($Event.TimeCreated)"
        Write-EventLog -LogName Application -Source "UniversalGroupMonitor" -EventId 1001 -EntryType Warning -Message $AlertMessage
        
        # Envoyer une alerte par email (configurer les paramètres SMTP)
        # Send-MailMessage -To "admin@company.com" -Subject "Critical Group Change" -Body $AlertMessage -SmtpServer "smtp.company.com"
    }
}
'@

# Enregistrer le script
$MonitorScript | Out-File -FilePath $ScriptPath -Encoding UTF8

# Créer une source d'événements pour les alertes personnalisées
New-EventLog -LogName Application -Source "UniversalGroupMonitor" -ErrorAction SilentlyContinue

# Créer une tâche planifiée pour s'exécuter toutes les 5 minutes
$Action = New-ScheduledTaskAction -Execute "PowerShell.exe" -Argument "-ExecutionPolicy Bypass -File $ScriptPath"
$Trigger = New-ScheduledTaskTrigger -RepetitionInterval (New-TimeSpan -Minutes 5) -RepetitionDuration (New-TimeSpan -Days 365) -At (Get-Date)
$Settings = New-ScheduledTaskSettingsSet -AllowStartIfOnBatteries -DontStopIfGoingOnBatteries -StartWhenAvailable
$Principal = New-ScheduledTaskPrincipal -UserId "SYSTEM" -LogonType ServiceAccount

Register-ScheduledTask -TaskName $TaskName -Action $Action -Trigger $Trigger -Settings $Settings -Principal $Principal -Description "Monitor critical universal group membership changes"