ID d'événement Windows 4759 – Microsoft-Windows-Security-Auditing : Compte utilisateur supprimé

Commencez par examiner les détails de l'événement pour comprendre le contexte de la suppression du compte.

1. Ouvrez Observateur d'événements en appuyant sur Win + R, en tapant eventvwr.msc, et en appuyant sur Entrée
2. Accédez à Journaux Windows → Sécurité
3. Filtrez le journal en cliquant sur Filtrer le journal actuel dans le volet Actions
4. Entrez 4759 dans le champ ID d'événements et cliquez sur OK
5. Double-cliquez sur un événement 4759 pour voir des informations détaillées
6. Examinez la section Sujet pour identifier qui a supprimé le compte
7. Vérifiez la section Compte cible pour voir quel compte a été supprimé
8. Notez l'horodatage et corrélez-le avec toute maintenance planifiée ou activité administrative

Utilisez PowerShell pour rechercher et analyser de manière programmatique les événements de suppression de compte sur plusieurs systèmes.

1. Ouvrez PowerShell en tant qu'administrateur
2. Interrogez les événements récents de suppression de compte :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4759} -MaxEvents 50 | Format-Table TimeCreated, Id, LevelDisplayName, Message -Wrap

3. Filtrez les événements par plage de temps spécifique :

   $StartTime = (Get-Date).AddDays(-7)
   $EndTime = Get-Date
   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4759; StartTime=$StartTime; EndTime=$EndTime}

4. Extrait des informations détaillées des événements :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4759} -MaxEvents 10 | ForEach-Object {
       $Event = [xml]$_.ToXml()
       [PSCustomObject]@{
           TimeCreated = $_.TimeCreated
           SubjectUserName = $Event.Event.EventData.Data[1].'#text'
           SubjectDomainName = $Event.Event.EventData.Data[2].'#text'
           TargetUserName = $Event.Event.EventData.Data[5].'#text'
           TargetDomainName = $Event.Event.EventData.Data[6].'#text'
       }
   }

5. Exportez les résultats au format CSV pour analyse :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4759} | Select-Object TimeCreated, Id, LevelDisplayName, Message | Export-Csv -Path "C:\Temp\AccountDeletions.csv" -NoTypeInformation

Enquêtez sur le contexte plus large en examinant les événements connexes qui se sont produits autour de la même période que la suppression du compte.

1. Identifiez l'ID de connexion à partir des détails de l'événement 4759
2. Recherchez des événements de connexion utilisant le même ID de connexion :

   $LogonId = "0x3e7"  # Remplacez par l'ID de connexion réel de l'événement 4759
   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4624} | Where-Object {$_.Message -like "*$LogonId*"}

3. Cherchez des événements d'escalade de privilèges (4672) associés à la session :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4672} | Where-Object {$_.Message -like "*$LogonId*"}

4. Vérifiez d'autres événements de gestion de compte dans la même période :

   $TimeWindow = (Get-Date).AddHours(-2)
   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4720,4722,4724,4726,4738,4740,4767,4781; StartTime=$TimeWindow}

5. Examinez les événements de création de processus (4688) pour identifier les outils utilisés :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4688; StartTime=$TimeWindow} | Where-Object {$_.Message -like "*net.exe*" -or $_.Message -like "*powershell*"}

Configurez une surveillance proactive pour détecter et alerter sur les activités suspectes de suppression de compte.

1. Créez une tâche planifiée pour surveiller l'ID d'événement 4759:

   $Action = New-ScheduledTaskAction -Execute "PowerShell.exe" -Argument "-File C:\Scripts\MonitorAccountDeletions.ps1"
   $Trigger = New-ScheduledTaskTrigger -Once -At (Get-Date) -RepetitionInterval (New-TimeSpan -Minutes 15) -RepetitionDuration (New-TimeSpan -Days 365)
   $Settings = New-ScheduledTaskSettingsSet -AllowStartIfOnBatteries -DontStopIfGoingOnBatteries -StartWhenAvailable
   Register-ScheduledTask -TaskName "Monitor Account Deletions" -Action $Action -Trigger $Trigger -Settings $Settings -User "SYSTEM"

2. Créez le script de surveillance à C:\Scripts\MonitorAccountDeletions.ps1:

   # Surveiller les suppressions de compte récentes
   $LastCheck = (Get-Date).AddMinutes(-20)
   $Events = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4759; StartTime=$LastCheck} -ErrorAction SilentlyContinue
   
   if ($Events) {
       foreach ($Event in $Events) {
           $EventXML = [xml]$Event.ToXml()
           $Subject = $EventXML.Event.EventData.Data[1].'#text'
           $DeletedAccount = $EventXML.Event.EventData.Data[5].'#text'
           
           # Envoyer une alerte (personnaliser si nécessaire)
           Write-EventLog -LogName Application -Source "Account Monitor" -EventId 1001 -EntryType Warning -Message "Suppression de compte détectée: $DeletedAccount supprimé par $Subject à $($Event.TimeCreated)"
       }
   }

3. Configurez le transfert d'événements Windows pour une surveillance centralisée:

   winrm quickconfig
   wecutil qc

4. Créez un fichier XML de souscription d'événements personnalisé pour la collecte de l'ID d'événement 4759
5. Configurez les notifications par email en utilisant PowerShell et SMTP pour les suppressions critiques

Effectuez une analyse médico-légale détaillée lorsque des suppressions de comptes non autorisées sont suspectées.

1. Exportez tous les événements de sécurité pour la période concernée :

   $StartTime = (Get-Date "2026-03-15 00:00:00")
   $EndTime = (Get-Date "2026-03-18 23:59:59")
   Get-WinEvent -FilterHashtable @{LogName='Security'; StartTime=$StartTime; EndTime=$EndTime} | Export-Clixml -Path "C:\Forensics\SecurityEvents_$(Get-Date -Format 'yyyyMMdd').xml"

2. Analysez la ruche du registre SAM pour les artefacts de comptes supprimés :

   # Vérifiez le registre SAM pour les restes de comptes
   Get-ChildItem "HKLM:\SAM\SAM\Domains\Account\Users" -ErrorAction SilentlyContinue

3. Examinez les systèmes de sauvegarde pour identifier quand le compte était présent pour la dernière fois :

   # Interrogez les métadonnées de sauvegarde si disponibles
   Get-WBBackupSet | Where-Object {$_.BackupTime -ge $StartTime}

4. Documentez la chronologie de l'incident en utilisant la corrélation des événements :

   # Créez la chronologie de l'incident
   $IncidentEvents = @(4624, 4625, 4648, 4672, 4720, 4726, 4759, 4688)
   $Timeline = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=$IncidentEvents; StartTime=$StartTime; EndTime=$EndTime} | Sort-Object TimeCreated
   $Timeline | Select-Object TimeCreated, Id, LevelDisplayName, @{Name='Summary';Expression={$_.Message.Split("`n")[0]}} | Export-Csv -Path "C:\Forensics\IncidentTimeline.csv"

5. Préparez les procédures de récupération de compte si la suppression était non autorisée :
   • Restaurez à partir de la corbeille Active Directory si joint au domaine
   • Recréez le compte avec les autorisations et appartenances aux groupes appropriées
   • Examinez et restaurez toutes les données de profil utilisateur associées à partir des sauvegardes
   • Mettez à jour les politiques de sécurité pour prévenir des incidents similaires