ID d'événement Windows 4767 – Microsoft-Windows-Security-Auditing : Compte utilisateur déverrouillé

Commencez par examiner les détails spécifiques de l'entrée de l'ID d'événement 4767 pour comprendre le contexte de l'opération de déverrouillage du compte.

1. Ouvrez Observateur d'événements en appuyant sur Win + R, en tapant eventvwr.msc, et en appuyant sur Entrée
2. Accédez à Journaux Windows → Sécurité
3. Filtrez le journal pour l'ID d'événement 4767 en cliquant avec le bouton droit sur le journal Sécurité et en sélectionnant Filtrer le journal actuel
4. Entrez 4767 dans le champ ID d'événements et cliquez sur OK
5. Double-cliquez sur un événement 4767 pour voir des informations détaillées
6. Examinez la section Sujet pour identifier qui a effectué le déverrouillage
7. Vérifiez la section Compte cible pour voir quel compte a été déverrouillé
8. Notez le Nom de la station de travail pour identifier la source de l'opération de déverrouillage

Utilisez cette commande PowerShell pour récupérer rapidement les événements récents de déverrouillage :

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4767} -MaxEvents 50 | Format-Table TimeCreated, Id, LevelDisplayName, Message -Wrap

Enquêter sur la relation entre les événements de déverrouillage et les événements de verrouillage précédents pour comprendre la chronologie complète de la gestion des comptes.

1. Rechercher les entrées correspondantes de l'ID d'événement 4740 (Compte verrouillé) qui ont précédé le déverrouillage
2. Utiliser PowerShell pour corréler les événements de verrouillage et de déverrouillage pour des comptes spécifiques :

# Obtenir les événements de verrouillage et de déverrouillage pour l'analyse
$Events = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4740,4767} -MaxEvents 100
$Events | Sort-Object TimeCreated | Format-Table TimeCreated, Id, @{Name='Account';Expression={($_.Message -split '\n' | Where-Object {$_ -like '*Account Name:*'}).Split(':')[1].Trim()}} -AutoSize

3. Examiner les intervalles de temps entre les événements de verrouillage et de déverrouillage
4. Vérifier si les déverrouillages sont conformes à la politique de durée de verrouillage de votre organisation
5. Identifier les schémas de cycles répétés de verrouillage/déverrouillage pour les mêmes comptes
6. Faire une référence croisée avec l'ID d'événement 4625 (Échec de connexion) pour comprendre les causes de verrouillage

Examinez qui effectue des opérations de déverrouillage et à partir de quels systèmes pour valider l'activité administrative légitime.

1. Extraire les informations de l'administrateur à partir des événements de déverrouillage en utilisant PowerShell :

# Analyser qui déverrouille les comptes
$UnlockEvents = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4767} -MaxEvents 100
$UnlockEvents | ForEach-Object {
    $Event = [xml]$_.ToXml()
    [PSCustomObject]@{
        TimeCreated = $_.TimeCreated
        UnlockedBy = $Event.Event.EventData.Data[1].'#text'
        UnlockedAccount = $Event.Event.EventData.Data[5].'#text'
        WorkstationName = $Event.Event.EventData.Data[7].'#text'
    }
} | Format-Table -AutoSize

2. Vérifiez que les opérations de déverrouillage sont effectuées par des administrateurs autorisés
3. Vérifiez si les déverrouillages proviennent des postes de travail administratifs attendus
4. Examinez le moment des déverrouillages pour vous assurer qu'ils se produisent pendant les heures de bureau
5. Recoupez avec les dossiers de gestion des changements pour la maintenance programmée
6. Enquêtez sur tout déverrouillage effectué par des comptes de service ou des processus système

Établir une surveillance de base pour les modèles de déverrouillage de compte afin d'identifier les anomalies et les problèmes de sécurité potentiels.

1. Créer un script PowerShell pour suivre la fréquence de déverrouillage par compte :

# Surveiller les modèles de déverrouillage au fil du temps
$StartDate = (Get-Date).AddDays(-30)
$UnlockEvents = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4767; StartTime=$StartDate}

$UnlockStats = $UnlockEvents | ForEach-Object {
    $Event = [xml]$_.ToXml()
    [PSCustomObject]@{
        Date = $_.TimeCreated.Date
        Account = $Event.Event.EventData.Data[5].'#text'
        UnlockedBy = $Event.Event.EventData.Data[1].'#text'
    }
} | Group-Object Account | Select-Object Name, Count, @{Name='LastUnlock';Expression={($_.Group | Sort-Object Date -Descending)[0].Date}}

$UnlockStats | Sort-Object Count -Descending | Format-Table -AutoSize

2. Configurer des alertes automatisées pour les comptes avec une fréquence de déverrouillage excessive
3. Surveiller les déverrouillages se produisant en dehors des heures de bureau
4. Suivre les opérations de déverrouillage effectuées par des comptes non administratifs
5. Établir des seuils pour l'activité de déverrouillage normale vs suspecte
6. Créer des rapports pour l'examen de l'équipe de sécurité et l'audit de conformité

Effectuez une analyse médico-légale complète lorsque les événements de déverrouillage indiquent des incidents de sécurité potentiels ou des violations de politique.

1. Exportez des données détaillées sur les événements de déverrouillage pour une analyse médico-légale :

# Exporter des données complètes sur les événements de déverrouillage
$Events = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4767} -MaxEvents 1000
$DetailedEvents = $Events | ForEach-Object {
    $Event = [xml]$_.ToXml()
    [PSCustomObject]@{
        TimeCreated = $_.TimeCreated
        EventRecordID = $_.RecordId
        SubjectUserSid = $Event.Event.EventData.Data[0].'#text'
        SubjectUserName = $Event.Event.EventData.Data[1].'#text'
        SubjectDomainName = $Event.Event.EventData.Data[2].'#text'
        SubjectLogonId = $Event.Event.EventData.Data[3].'#text'
        TargetUserSid = $Event.Event.EventData.Data[4].'#text'
        TargetUserName = $Event.Event.EventData.Data[5].'#text'
        TargetDomainName = $Event.Event.EventData.Data[6].'#text'
        WorkstationName = $Event.Event.EventData.Data[7].'#text'
    }
}

$DetailedEvents | Export-Csv -Path "C:\Temp\UnlockEvents_$(Get-Date -Format 'yyyyMMdd').csv" -NoTypeInformation

2. Corrélez les événements de déverrouillage avec d'autres événements de sécurité (4624, 4625, 4648)
3. Examinez les journaux de réplication Active Directory si vous traitez des comptes de domaine
4. Vérifiez les événements correspondants sur d'autres contrôleurs de domaine
5. Analysez les journaux de trafic réseau pour la période des déverrouillages suspects
6. Documentez les résultats pour la réponse aux incidents et le rapport de conformité
7. Mettez en œuvre des contrôles de surveillance supplémentaires en fonction des résultats de l'enquête