ID d'événement Windows 4763 – Microsoft-Windows-Security-Auditing : Compte utilisateur supprimé

Commencez par examiner les détails spécifiques de l'événement pour comprendre quel compte a été supprimé et par qui.

1. Ouvrez Observateur d'événements en appuyant sur Win + R, en tapant eventvwr.msc, et en appuyant sur Entrée
2. Accédez à Journaux Windows → Sécurité
3. Filtrez le journal en cliquant sur Filtrer le journal actuel dans le volet de droite
4. Entrez 4763 dans le champ ID d'événement et cliquez sur OK
5. Double-cliquez sur une entrée d'ID d'événement 4763 pour voir des informations détaillées
6. Examinez l'onglet Général pour les détails clés:
   • Nom du compte cible: Le compte utilisateur supprimé
   • Domaine cible: Nom du domaine ou de l'ordinateur
   • SID cible: Identifiant de sécurité du compte supprimé
   • Nom du compte sujet: Qui a effectué la suppression
   • Domaine du sujet: Domaine de l'utilisateur supprimant
7. Vérifiez l'horodatage pour corréler avec d'autres événements de sécurité
8. Notez l'ID de connexion pour suivre la session qui a effectué la suppression

Utilisez PowerShell pour rechercher et analyser de manière programmatique les occurrences de l'ID d'événement 4763 sur plusieurs systèmes.

1. Ouvrez PowerShell en tant qu'administrateur
2. Interrogez les événements récents de suppression de compte :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4763} -MaxEvents 50 | Select-Object TimeCreated, Id, LevelDisplayName, Message

3. Filtrez les événements par plage de temps spécifique :

   $StartTime = (Get-Date).AddDays(-7)
   $EndTime = Get-Date
   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4763; StartTime=$StartTime; EndTime=$EndTime}

4. Extrayez des informations détaillées des propriétés de l'événement :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4763} -MaxEvents 10 | ForEach-Object {
       $Event = [xml]$_.ToXml()
       [PSCustomObject]@{
           TimeCreated = $_.TimeCreated
           TargetUserName = $Event.Event.EventData.Data | Where-Object {$_.Name -eq 'TargetUserName'} | Select-Object -ExpandProperty '#text'
           TargetDomainName = $Event.Event.EventData.Data | Where-Object {$_.Name -eq 'TargetDomainName'} | Select-Object -ExpandProperty '#text'
           SubjectUserName = $Event.Event.EventData.Data | Where-Object {$_.Name -eq 'SubjectUserName'} | Select-Object -ExpandProperty '#text'
           SubjectDomainName = $Event.Event.EventData.Data | Where-Object {$_.Name -eq 'SubjectDomainName'} | Select-Object -ExpandProperty '#text'
       }
   }

5. Interrogez plusieurs contrôleurs de domaine simultanément :

   $DCs = Get-ADDomainController -Filter *
   foreach ($DC in $DCs) {
       Write-Host "Checking $($DC.Name)..."
       Invoke-Command -ComputerName $DC.Name -ScriptBlock {
           Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4763} -MaxEvents 10 -ErrorAction SilentlyContinue
       }
   }

Enquêter sur les événements connexes pour obtenir une image complète de l'activité de suppression de compte et identifier les préoccupations potentielles en matière de sécurité.

1. Rechercher des événements de connexion liés autour de la même heure :

   $DeletionTime = (Get-Date '2026-03-18 10:30:00')
   $TimeWindow = 30 # minutes
   $StartTime = $DeletionTime.AddMinutes(-$TimeWindow)
   $EndTime = $DeletionTime.AddMinutes($TimeWindow)
   
   # Rechercher des événements de connexion (4624) et de déconnexion (4634)
   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4624,4634; StartTime=$StartTime; EndTime=$EndTime}

2. Vérifier les événements d'utilisation de privilèges (4672, 4673) qui pourraient indiquer des opérations élevées :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4672,4673; StartTime=$StartTime; EndTime=$EndTime} | Where-Object {$_.Message -like '*SeSecurityPrivilege*' -or $_.Message -like '*SeTcbPrivilege*'}

3. Rechercher d'autres événements de gestion de compte dans le même laps de temps :

   # Événements de gestion de compte : 4720 (créé), 4722 (activé), 4725 (désactivé), 4726 (supprimé)
   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4720,4722,4725,4726,4763; StartTime=$StartTime; EndTime=$EndTime} | Sort-Object TimeCreated

4. Vérifier les événements de création de processus (4688) pour identifier les outils utilisés :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4688; StartTime=$StartTime; EndTime=$EndTime} | Where-Object {$_.Message -like '*dsa.msc*' -or $_.Message -like '*powershell*' -or $_.Message -like '*dsrm*'}

5. Examiner les modifications de la stratégie de groupe (4719) qui pourraient affecter les paramètres d'audit :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4719; StartTime=$StartTime; EndTime=$EndTime}

Assurez-vous que l'audit de gestion des comptes est correctement configuré pour capturer tous les événements pertinents de suppression de compte.

1. Vérifiez les paramètres actuels de la politique d'audit en utilisant auditpol:

   auditpol /get /category:"Account Management"

2. Vérifiez les paramètres de sous-catégorie spécifiques pour la gestion des comptes utilisateurs:

   auditpol /get /subcategory:"User Account Management"

3. Examinez les paramètres de la stratégie de groupe pour la configuration de l'audit:
   • Ouvrez Group Policy Management Console
   • Accédez au GPO pertinent (généralement Default Domain Controllers Policy)
   • Allez à Computer Configuration → Policies → Windows Settings → Security Settings → Advanced Audit Policy Configuration
   • Développez Account Management et vérifiez que Audit User Account Management est réglé sur Success and Failure
4. Vérifiez les paramètres du registre pour la configuration de l'audit:

   Get-ItemProperty -Path "HKLM\SYSTEM\CurrentControlSet\Services\EventLog\Security" -Name MaxSize, Retention

5. Vérifiez la taille du journal de sécurité et les paramètres de rétention:

   $LogConfig = Get-WinEvent -ListLog Security
   Write-Host "Maximum Size: $($LogConfig.MaximumSizeInBytes / 1MB) MB"
   Write-Host "Current Size: $($LogConfig.FileSize / 1MB) MB"
   Write-Host "Is Enabled: $($LogConfig.IsEnabled)"
   Write-Host "Log Mode: $($LogConfig.LogMode)"

6. Testez la politique d'audit en créant et supprimant un compte de test:

   # Create test user
   New-LocalUser -Name "TestAuditUser" -NoPassword -Description "Test account for audit verification"
   # Delete test user
   Remove-LocalUser -Name "TestAuditUser"
   # Verify events were generated
   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4720,4763} -MaxEvents 5

Configurez une surveillance automatisée pour détecter et alerter en temps réel sur les activités suspectes de suppression de compte.

1. Créez un script PowerShell pour une surveillance continue:

   # Enregistrez sous Monitor-AccountDeletions.ps1
   param(
       [int]$CheckIntervalMinutes = 5,
       [string]$AlertEmail = "admin@company.com",
       [string]$SMTPServer = "mail.company.com"
   )
   
   while ($true) {
       $StartTime = (Get-Date).AddMinutes(-$CheckIntervalMinutes)
       $Events = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4763; StartTime=$StartTime} -ErrorAction SilentlyContinue
       
       if ($Events) {
           foreach ($Event in $Events) {
               $EventXML = [xml]$Event.ToXml()
               $TargetUser = ($EventXML.Event.EventData.Data | Where-Object {$_.Name -eq 'TargetUserName'}).'#text'
               $SubjectUser = ($EventXML.Event.EventData.Data | Where-Object {$_.Name -eq 'SubjectUserName'}).'#text'
               
               $AlertMessage = "ALERT: User account '$TargetUser' was deleted by '$SubjectUser' at $($Event.TimeCreated)"
               Write-Warning $AlertMessage
               
               # Envoyer une alerte par email (configurer les paramètres SMTP)
               # Send-MailMessage -To $AlertEmail -Subject "Account Deletion Alert" -Body $AlertMessage -SmtpServer $SMTPServer
           }
       }
       
       Start-Sleep -Seconds ($CheckIntervalMinutes * 60)
   }

2. Créez une tâche planifiée pour exécuter le script de surveillance:

   $Action = New-ScheduledTaskAction -Execute "PowerShell.exe" -Argument "-File C:\Scripts\Monitor-AccountDeletions.ps1"
   $Trigger = New-ScheduledTaskTrigger -AtStartup
   $Principal = New-ScheduledTaskPrincipal -UserId "SYSTEM" -LogonType ServiceAccount
   $Settings = New-ScheduledTaskSettingsSet -AllowStartIfOnBatteries -DontStopIfGoingOnBatteries -StartWhenAvailable
   
   Register-ScheduledTask -TaskName "Monitor Account Deletions" -Action $Action -Trigger $Trigger -Principal $Principal -Settings $Settings

3. Configurez le transfert d'événements Windows pour une surveillance centralisée:
   • Sur le serveur collecteur, exécutez: wecutil qc
   • Créez le fichier de configuration de l'abonnement:

     <Subscription xmlns="http://schemas.microsoft.com/2006/03/windows/events/subscription">
         <SubscriptionId>AccountDeletions</SubscriptionId>
         <SubscriptionType>SourceInitiated</SubscriptionType>
         <Description>Account Deletion Events</Description>
         <Enabled>true</Enabled>
         <Uri>http://schemas.microsoft.com/wbem/wsman/1/windows/EventLog</Uri>
         <Query><![CDATA[
             <QueryList>
                 <Query Id="0">
                     <Select Path="Security">*[System[EventID=4763]]</Select>
                 </Query>
             </QueryList>
         ]]></Query>
     </Subscription>

   • Créez l'abonnement: wecutil cs AccountDeletions.xml
4. Configurez l'intégration SIEM en utilisant Windows Event Collector ou le transfert direct de journaux:

   # Configurez winlogbeat pour l'intégration Elastic Stack
   # Modifiez la configuration winlogbeat.yml
   event_logs:
     - name: Security
       event_id: 4763
       processors:
         - script:
             lang: javascript
             source: |
               function process(event) {
                   if (event.Get("winlog.event_id") === 4763) {
                       event.Put("event.category", ["iam"]);
                       event.Put("event.type", ["user", "deletion"]);
                   }
               }