ID d'événement Windows 4758 – Microsoft-Windows-Security-Auditing : Compte utilisateur activé

Commencez par examiner les détails spécifiques de l'ID d'événement 4758 pour comprendre le contexte de l'action d'activation du compte.

1. Ouvrez Observateur d'événements en appuyant sur Windows + R, en tapant eventvwr.msc, et en appuyant sur Entrée
2. Accédez à Journaux Windows → Sécurité
3. Filtrez le journal en cliquant sur Filtrer le journal actuel dans le volet Actions
4. Entrez 4758 dans le champ ID d'événements et cliquez sur OK
5. Double-cliquez sur un événement 4758 pour voir des informations détaillées
6. Examinez l'onglet Général pour obtenir des informations de base sur l'événement et l'horodatage
7. Cliquez sur l'onglet Détails et sélectionnez Vue XML pour des données structurées
8. Documentez les champs clés suivants :
   • Sujet : Le compte qui a effectué l'action d'activation
   • Compte cible : Le compte qui a été activé
   • ID de connexion : Identifiant de session pour la corrélation avec les événements de connexion
   • Informations sur le processus : L'outil ou le processus utilisé pour activer le compte

Utilisez PowerShell pour interroger et analyser efficacement les occurrences de l'ID d'événement 4758 dans votre environnement.

1. Ouvrez PowerShell en tant qu'administrateur
2. Interrogez les événements récents d'activation de compte :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4758} -MaxEvents 50 | Format-Table TimeCreated, Id, LevelDisplayName, Message -Wrap

3. Filtrez les événements par plage de temps spécifique :

   $StartTime = (Get-Date).AddDays(-7)
   $EndTime = Get-Date
   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4758; StartTime=$StartTime; EndTime=$EndTime}

4. Extrayez les propriétés détaillées de l'événement :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4758} -MaxEvents 10 | ForEach-Object {
       $Event = [xml]$_.ToXml()
       [PSCustomObject]@{
           TimeCreated = $_.TimeCreated
           SubjectUserName = $Event.Event.EventData.Data | Where-Object {$_.Name -eq 'SubjectUserName'} | Select-Object -ExpandProperty '#text'
           TargetUserName = $Event.Event.EventData.Data | Where-Object {$_.Name -eq 'TargetUserName'} | Select-Object -ExpandProperty '#text'
           TargetDomainName = $Event.Event.EventData.Data | Where-Object {$_.Name -eq 'TargetDomainName'} | Select-Object -ExpandProperty '#text'
       }
   }

5. Exportez les résultats pour analyse :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4758} | Export-Csv -Path "C:\Temp\AccountEnabled_Events.csv" -NoTypeInformation

Enquêter sur le contexte Active Directory et vérifier l'action d'activation du compte via les journaux des services d'annuaire.

1. Vérifiez le journal du service d'annuaire pour les événements liés :

   Get-WinEvent -FilterHashtable @{LogName='Directory Service'; StartTime=(Get-Date).AddHours(-1)} | Where-Object {$_.Message -like '*account*'}

2. Interroger Active Directory pour connaître l'état actuel du compte :

   Import-Module ActiveDirectory
   $TargetUser = "username_from_event"
   Get-ADUser -Identity $TargetUser -Properties Enabled, whenChanged, whenCreated, LastLogonDate | Format-List Name, Enabled, whenChanged, whenCreated, LastLogonDate

3. Examiner l'historique des modifications du compte :

   Get-ADUser -Identity $TargetUser -Properties * | Select-Object Name, whenChanged, modifyTimeStamp, uSNChanged

4. Vérifiez les changements récents de mot de passe qui pourraient être liés :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4724} | Where-Object {$_.Message -like "*$TargetUser*"} | Select-Object TimeCreated, Message

5. Vérifiez les changements d'appartenance à des groupes autour de la même période :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4728,4732,4756} | Where-Object {$_.Message -like "*$TargetUser*"} | Format-Table TimeCreated, Id, Message -Wrap

Configurez une surveillance proactive pour détecter et alerter sur les activités futures d'activation de compte pour la supervision de la sécurité.

1. Créez une vue personnalisée dans le Visualiseur d'événements pour une surveillance continue:
   • Dans le Visualiseur d'événements, cliquez avec le bouton droit sur Vues personnalisées et sélectionnez Créer une vue personnalisée
   • Sélectionnez Par journal et choisissez Sécurité
   • Entrez 4758 dans le champ ID d'événements
   • Nommer la vue "Événements d'activation de compte" et enregistrer
2. Configurez le transfert d'événements Windows (WEF) pour une collecte centralisée:

   # Sur le serveur collecteur
   wecutil qc /q
   # Créer une souscription
   wecutil cs AccountEnabledSubscription.xml

3. Configurez un script de surveillance basé sur PowerShell:

   # Script de surveillance à exécuter en tant que tâche planifiée
   $Events = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4758; StartTime=(Get-Date).AddMinutes(-5)}
   if ($Events) {
       $Events | ForEach-Object {
           $Event = [xml]$_.ToXml()
           $Subject = $Event.Event.EventData.Data | Where-Object {$_.Name -eq 'SubjectUserName'} | Select-Object -ExpandProperty '#text'
           $Target = $Event.Event.EventData.Data | Where-Object {$_.Name -eq 'TargetUserName'} | Select-Object -ExpandProperty '#text'
           Send-MailMessage -To "security@company.com" -Subject "Alerte d'activation de compte" -Body "L'utilisateur $Target a été activé par $Subject à $($_.TimeCreated)"
       }
   }

4. Configurez la stratégie d'audit pour garantir que les événements sont générés:

   # Activer l'audit de gestion des comptes
   auditpol /set /subcategory:"User Account Management" /success:enable /failure:enable

5. Créez une tâche planifiée pour une surveillance continue:

   $Action = New-ScheduledTaskAction -Execute "PowerShell.exe" -Argument "-File C:\Scripts\MonitorAccountEnabled.ps1"
   $Trigger = New-ScheduledTaskTrigger -RepetitionInterval (New-TimeSpan -Minutes 5) -RepetitionDuration (New-TimeSpan -Days 365) -At (Get-Date)
   Register-ScheduledTask -TaskName "Surveiller l'activation de compte" -Action $Action -Trigger $Trigger -RunLevel Highest

Effectuez une analyse médico-légale complète lorsque l'ID d'événement 4758 indique des incidents de sécurité potentiels ou des violations de politique.

1. Collectez un contexte d'événement complet en utilisant une analyse PowerShell avancée:

   # Script de corrélation d'événements avancé
   $TargetEvent = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4758} -MaxEvents 1
   $EventXML = [xml]$TargetEvent.ToXml()
   $LogonID = $EventXML.Event.EventData.Data | Where-Object {$_.Name -eq 'SubjectLogonId'} | Select-Object -ExpandProperty '#text'
   
   # Trouver des événements de connexion liés
   $RelatedLogons = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4624} | Where-Object {
       $LogonXML = [xml]$_.ToXml()
       $LogonXML.Event.EventData.Data | Where-Object {$_.Name -eq 'TargetLogonId' -and $_.'#text' -eq $LogonID}
   }
   
   $RelatedLogons | Format-Table TimeCreated, Id, @{Name='SourceIP';Expression={([xml]$_.ToXml()).Event.EventData.Data | Where-Object {$_.Name -eq 'IpAddress'} | Select-Object -ExpandProperty '#text'}}

2. Analysez le contexte d'exécution des processus:

   # Vérifiez les noms ou chemins de processus suspects
   $ProcessInfo = $EventXML.Event.EventData.Data | Where-Object {$_.Name -eq 'ProcessName'} | Select-Object -ExpandProperty '#text'
   Write-Host "Processus utilisé: $ProcessInfo"
   
   # Recouper avec les événements de création de processus
   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4688} | Where-Object {$_.Message -like "*$ProcessInfo*"} | Select-Object TimeCreated, Message

3. Enquêtez sur les schémas d'escalade de privilèges:

   # Vérifiez les événements d'utilisation de privilèges autour du même moment
   $TimeWindow = $TargetEvent.TimeCreated
   $StartTime = $TimeWindow.AddMinutes(-10)
   $EndTime = $TimeWindow.AddMinutes(10)
   
   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4672,4673,4674; StartTime=$StartTime; EndTime=$EndTime} | Format-Table TimeCreated, Id, Message -Wrap

4. Documentez les résultats et créez une chronologie de réponse à l'incident:

   # Générer un rapport d'incident complet
   $Report = @{
       EventTime = $TargetEvent.TimeCreated
       EventID = $TargetEvent.Id
       SubjectUser = $EventXML.Event.EventData.Data | Where-Object {$_.Name -eq 'SubjectUserName'} | Select-Object -ExpandProperty '#text'
       TargetUser = $EventXML.Event.EventData.Data | Where-Object {$_.Name -eq 'TargetUserName'} | Select-Object -ExpandProperty '#text'
       ProcessUsed = $ProcessInfo
       RelatedEvents = $RelatedLogons.Count
   }
   
   $Report | ConvertTo-Json | Out-File "C:\Temp\AccountEnabled_Investigation_$(Get-Date -Format 'yyyyMMdd_HHmmss').json"

5. Mettez en œuvre des actions de réponse immédiates si non autorisé:

   # Si l'enquête révèle un accès non autorisé
   $UnauthorizedUser = "suspicious_account"
   
   # Désactiver immédiatement le compte
   Disable-ADAccount -Identity $UnauthorizedUser
   
   # Forcer la réinitialisation du mot de passe
   Set-ADAccountPassword -Identity $UnauthorizedUser -Reset -NewPassword (ConvertTo-SecureString "TempPassword123!" -AsPlainText -Force)
   
   # Consigner l'action de réponse
   Write-EventLog -LogName Application -Source "Security Response" -EventId 1001 -Message "Compte $UnauthorizedUser désactivé en raison d'une activation non autorisée détectée lors de l'enquête sur l'ID d'événement 4758"