ID d'événement Windows 4761 – Microsoft-Windows-Security-Auditing : Compte d'ordinateur créé

Commencez par examiner les détails de l'événement pour comprendre le contexte de la création du compte d'ordinateur.

1. Ouvrez Observateur d'événements sur le contrôleur de domaine
2. Accédez à Journaux Windows → Sécurité
3. Filtrez pour l'ID d'événement 4761 en utilisant l'option de filtre
4. Double-cliquez sur une entrée récente de l'ID d'événement 4761
5. Examinez les champs clés suivants dans les détails de l'événement:
   • Sujet: Indique qui a créé le compte (ID de sécurité, Nom du compte, Domaine)
   • Nouveau compte d'ordinateur: Affiche le nom de l'ordinateur créé et le domaine
   • Attributs: Liste le nom distingué et d'autres propriétés du compte
6. Vérifiez l'horodatage pour le corréler avec les activités système connues
7. Notez l'ID de connexion pour retracer les événements d'authentification associés

Utilisez PowerShell pour interroger et analyser efficacement les occurrences de l'ID d'événement 4761 sur vos contrôleurs de domaine.

1. Ouvrez PowerShell en tant qu'administrateur sur un contrôleur de domaine
2. Interrogez les événements récents de création de compte d'ordinateur :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4761} -MaxEvents 50 | Select-Object TimeCreated, Id, @{Name='Computer';Expression={($_.Message -split '\n' | Where-Object {$_ -like '*New Computer Account:*'} | Select-Object -First 1) -replace '.*Account Name:\s*(.*)','$1'}}, @{Name='Creator';Expression={($_.Message -split '\n' | Where-Object {$_ -like '*Subject:*'} -A 3 | Where-Object {$_ -like '*Account Name:*'}) -replace '.*Account Name:\s*(.*)','$1'}}

3. Filtrez les événements par plage de temps spécifique :

   $StartTime = (Get-Date).AddDays(-7)
   $Events = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4761; StartTime=$StartTime}
   $Events | Format-Table TimeCreated, Id, MachineName -AutoSize

4. Exportez les résultats pour analyse :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4761} -MaxEvents 100 | Export-Csv -Path "C:\Temp\ComputerAccountCreation.csv" -NoTypeInformation

5. Recherchez des modèles spécifiques de comptes d'ordinateur :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4761} | Where-Object {$_.Message -like '*WORKSTATION*'} | Select-Object TimeCreated, Message

Recoupez l'ID d'événement 4761 avec d'autres événements Active Directory pour obtenir une image complète des activités de gestion des comptes d'ordinateur.

1. Vérifiez les journaux du service d'annuaire pour un contexte supplémentaire :

   Get-WinEvent -FilterHashtable @{LogName='Directory Service'; StartTime=(Get-Date).AddHours(-24)} | Where-Object {$_.Message -like '*computer*'}

2. Cherchez des événements de sécurité liés autour de la même période :

   $TimeWindow = 5 # minutes
   $Event4761 = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4761} -MaxEvents 1
   $StartTime = $Event4761.TimeCreated.AddMinutes(-$TimeWindow)
   $EndTime = $Event4761.TimeCreated.AddMinutes($TimeWindow)
   Get-WinEvent -FilterHashtable @{LogName='Security'; StartTime=$StartTime; EndTime=$EndTime} | Where-Object {$_.Id -in @(4624,4625,4768,4769)} | Format-Table TimeCreated, Id, Message -Wrap

3. Interrogez les journaux DNS pour l'enregistrement de l'ordinateur :

   Get-WinEvent -FilterHashtable @{LogName='DNS Server'} | Where-Object {$_.Message -like '*computer_name*'}

4. Vérifiez les journaux de stratégie de groupe si des comptes d'ordinateur sont ajoutés à des UO spécifiques :

   Get-WinEvent -FilterHashtable @{LogName='System'} | Where-Object {$_.Id -eq 1006 -and $_.Message -like '*Group Policy*'}

5. Utilisez le module PowerShell Active Directory pour vérifier les détails du compte :

   Import-Module ActiveDirectory
   Get-ADComputer -Filter "Created -gt '$((Get-Date).AddDays(-1).ToString('yyyy-MM-dd'))'" -Properties Created, CreatedBy | Format-Table Name, Created, CreatedBy

Configurez une surveillance complète pour suivre les modèles de création de comptes d'ordinateur et détecter les anomalies.

1. Créez un abonnement personnalisé de transfert d'événements Windows :

   <Subscription xmlns="http://schemas.microsoft.com/2006/03/windows/events/subscription">
     <SubscriptionId>ComputerAccountCreation</SubscriptionId>
     <SubscriptionType>SourceInitiated</SubscriptionType>
     <Description>Surveiller les événements de création de comptes d'ordinateur</Description>
     <Enabled>true</Enabled>
     <Uri>http://schemas.microsoft.com/wbem/wsman/1/windows/EventLog</Uri>
     <Query><![CDATA[
       <QueryList>
         <Query Id="0">
           <Select Path="Security">*[System[EventID=4761]]</Select>
         </Query>
       </QueryList>
     ]]></Query>
   </Subscription>

2. Configurez un script d'alerte basé sur PowerShell :

   Register-WmiEvent -Query "SELECT * FROM __InstanceCreationEvent WITHIN 10 WHERE TargetInstance ISA 'Win32_NTLogEvent' AND TargetInstance.LogFile = 'Security' AND TargetInstance.EventCode = 4761" -Action {
       $Event = $Event.SourceEventArgs.NewEvent.TargetInstance
       $Message = "Compte d'ordinateur créé : $($Event.Message)"
       Write-EventLog -LogName Application -Source "CustomMonitoring" -EventId 1001 -Message $Message
       # Ajoutez ici la notification par email ou l'intégration SIEM
   }

3. Configurez une tâche planifiée pour analyser les modèles :

   $Action = New-ScheduledTaskAction -Execute "PowerShell.exe" -Argument "-File C:\Scripts\AnalyzeComputerCreation.ps1"
   $Trigger = New-ScheduledTaskTrigger -Daily -At "09:00AM"
   $Settings = New-ScheduledTaskSettingsSet -AllowStartIfOnBatteries -DontStopIfGoingOnBatteries
   Register-ScheduledTask -TaskName "ComputerAccountAnalysis" -Action $Action -Trigger $Trigger -Settings $Settings

4. Créez des métriques de référence pour les taux normaux de création de comptes d'ordinateur
5. Configurez l'intégration SIEM pour corréler avec d'autres événements de sécurité

Effectuer une analyse médico-légale détaillée lors de l'enquête sur des activités suspectes de création de comptes informatiques.

1. Extraire des informations détaillées sur les événements pour l'analyse médico-légale :

   $SuspiciousEvents = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4761; StartTime=(Get-Date).AddDays(-30)}
   $DetailedAnalysis = foreach ($Event in $SuspiciousEvents) {
       $EventXML = [xml]$Event.ToXml()
       [PSCustomObject]@{
           TimeCreated = $Event.TimeCreated
           SubjectUserSid = $EventXML.Event.EventData.Data | Where-Object {$_.Name -eq 'SubjectUserSid'} | Select-Object -ExpandProperty '#text'
           SubjectUserName = $EventXML.Event.EventData.Data | Where-Object {$_.Name -eq 'SubjectUserName'} | Select-Object -ExpandProperty '#text'
           TargetUserName = $EventXML.Event.EventData.Data | Where-Object {$_.Name -eq 'TargetUserName'} | Select-Object -ExpandProperty '#text'
           TargetDomainName = $EventXML.Event.EventData.Data | Where-Object {$_.Name -eq 'TargetDomainName'} | Select-Object -ExpandProperty '#text'
       }
   }
   $DetailedAnalysis | Export-Csv -Path "C:\Forensics\Event4761_Analysis.csv" -NoTypeInformation

2. Corréler avec les événements d'authentification pour retracer la chaîne d'attaque :

   $TimeRange = 30 # minutes avant et après
   foreach ($Event in $SuspiciousEvents) {
       $StartTime = $Event.TimeCreated.AddMinutes(-$TimeRange)
       $EndTime = $Event.TimeCreated.AddMinutes($TimeRange)
       $RelatedEvents = Get-WinEvent -FilterHashtable @{LogName='Security'; StartTime=$StartTime; EndTime=$EndTime; Id=@(4624,4625,4648,4672)}
       Write-Output "Événements autour de $($Event.TimeCreated) :"
       $RelatedEvents | Format-Table TimeCreated, Id, @{Name='User';Expression={($_.Message -split '\n' | Where-Object {$_ -like '*Account Name:*'} | Select-Object -First 1) -replace '.*Account Name:\s*(.*)','$1'}}
   }

3. Vérifier les indicateurs d'escalade de privilèges :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4672} | Where-Object {$_.TimeCreated -gt (Get-Date).AddDays(-7)} | Format-Table TimeCreated, @{Name='User';Expression={($_.Message -split '\n' | Where-Object {$_ -like '*Subject:*'} -A 3 | Where-Object {$_ -like '*Account Name:*'}) -replace '.*Account Name:\s*(.*)','$1'}}

4. Générer un rapport d'incident complet :

   $IncidentReport = @{
       'Investigation_Date' = Get-Date
       'Suspicious_Events' = $SuspiciousEvents.Count
       'Affected_Computers' = ($DetailedAnalysis | Select-Object -Unique TargetUserName).Count
       'Unique_Creators' = ($DetailedAnalysis | Select-Object -Unique SubjectUserName).Count
       'Time_Range' = "$($SuspiciousEvents | Measure-Object TimeCreated -Minimum | Select-Object -ExpandProperty Minimum) to $($SuspiciousEvents | Measure-Object TimeCreated -Maximum | Select-Object -ExpandProperty Maximum)"
   }
   $IncidentReport | ConvertTo-Json | Out-File "C:\Forensics\Event4761_IncidentReport.json"

5. Documenter les conclusions et préserver les preuves pour d'éventuelles procédures judiciaires