ID d'événement Windows 4762 – Sécurité : Compte utilisateur activé

Commencez par examiner les détails spécifiques de l'événement pour comprendre qui a activé le compte et d'où :

1. Ouvrez Observateur d'événements en appuyant sur Win + R, en tapant eventvwr.msc, et en appuyant sur Entrée
2. Accédez à Journaux Windows → Sécurité
3. Filtrez pour l'ID d'événement 4762 en cliquant avec le bouton droit sur le journal Sécurité et en sélectionnant Filtrer le journal actuel
4. Entrez 4762 dans le champ ID d'événements et cliquez sur OK
5. Double-cliquez sur l'événement pour voir des informations détaillées incluant :
   • Sujet : Administrateur qui a effectué l'action
   • Compte cible : Compte utilisateur qui a été activé
   • ID de connexion : Identifiant de session pour la corrélation
   • Nom de la station de travail : Ordinateur source pour l'opération

Utilisez PowerShell pour rechercher et analyser efficacement les occurrences de l'ID d'événement 4762 dans votre environnement :

1. Ouvrez PowerShell en tant qu'administrateur
2. Interrogez les événements récents d'activation de compte :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4762} -MaxEvents 50 | Select-Object TimeCreated, Id, LevelDisplayName, Message

3. Filtrez les événements pour des comptes d'utilisateur spécifiques :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4762} | Where-Object {$_.Message -like '*TargetUserName*'} | Format-Table TimeCreated, Message -Wrap

4. Exportez les événements pour analyse :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4762} | Export-Csv -Path "C:\Temp\AccountEnabled_Events.csv" -NoTypeInformation

5. Interrogez les contrôleurs de domaine distants :

   Invoke-Command -ComputerName DC01,DC02 -ScriptBlock {Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4762} -MaxEvents 10}

Vérifiez l'état actuel du compte et les modifications récentes à l'aide des outils d'administration Active Directory :

1. Ouvrez Utilisateurs et ordinateurs Active Directory depuis Outils d'administration
2. Accédez à l'unité organisationnelle contenant le compte utilisateur cible
3. Cliquez avec le bouton droit sur le compte utilisateur et sélectionnez Propriétés
4. Vérifiez l'onglet Compte pour vérifier l'état et les paramètres actuels du compte
5. Utilisez PowerShell pour interroger les détails du compte :

   Get-ADUser -Identity "username" -Properties Enabled, LastLogonDate, PasswordLastSet, WhenChanged | Format-List

6. Examinez l'historique des modifications du compte :

   Get-ADUser -Identity "username" -Properties * | Select-Object Name, Enabled, WhenCreated, WhenChanged, ModifiedCount

7. Vérifiez les changements récents de mot de passe qui pourraient correspondre à l'activation du compte :

   Search-ADAccount -AccountDisabled | Where-Object {$_.PasswordLastSet -gt (Get-Date).AddDays(-7)}

Implémentez une surveillance complète pour suivre les événements futurs d'activation de compte et établir des bases de sécurité :

1. Configurez la stratégie d'audit avancée à l'aide de la stratégie de groupe :
   • Ouvrez Group Policy Management Console
   • Modifiez le GPO approprié et accédez à Configuration de l'ordinateur → Stratégies → Paramètres Windows → Paramètres de sécurité → Configuration de la stratégie d'audit avancée
   • Activez Audit de la gestion des comptes d'utilisateur pour les réussites et les échecs
2. Configurez le script de surveillance PowerShell :

   # Créer un script de surveillance pour l'ID d'événement 4762
   $Action = {
       $Event = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4762} -MaxEvents 1
       $Message = "Compte activé : " + $Event.Message
       Write-EventLog -LogName Application -Source "Security Monitor" -EventId 1001 -Message $Message
   }
   Register-WMIEvent -Query "SELECT * FROM Win32_NTLogEvent WHERE LogFile='Security' AND EventCode=4762" -Action $Action

3. Configurez le transfert d'événements Windows (WEF) pour la collecte centralisée :

   winrm quickconfig
   wecutil cs subscription.xml

4. Créez un fichier d'abonnement XML personnalisé pour la collecte de l'ID d'événement 4762 ciblant les contrôleurs de domaine et les serveurs critiques

Établir une surveillance et une alerte au niveau de l'entreprise pour l'ID d'événement 4762 via l'intégration SIEM :

1. Configurer le service de collecte d'événements Windows sur les serveurs collecteurs :

   Start-Service Wecsvc
   Set-Service Wecsvc -StartupType Automatic

2. Créer des règles de détection personnalisées dans votre plateforme SIEM pour les modèles d'ID d'événement 4762 :
   • Activations multiples de comptes à partir d'une seule session administrateur
   • Activation de compte en dehors des heures de bureau
   • Activation de compte privilégié par du personnel non autorisé
   • Opérations d'activation de compte en masse
3. Configurer la corrélation automatisée avec d'autres événements de sécurité :

   # Script PowerShell pour la corrélation d'événements
   $EnableEvents = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4762; StartTime=(Get-Date).AddHours(-1)}
   $LogonEvents = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4624; StartTime=(Get-Date).AddHours(-1)}
   # Corréler les événements par LogonId pour une analyse complète de la session

4. Configurer les seuils d'alerte et les canaux de notification pour la réponse de l'équipe de sécurité
5. Mettre en œuvre des flux de travail de réponse automatisée pour les scénarios à haut risque comme l'activation de comptes privilégiés
6. Créer des rapports de conformité combinant l'ID d'événement 4762 avec des événements de gestion de compte connexes (4720, 4722, 4725, 4767)