ID d'événement Windows 4768 – Microsoft-Windows-Security-Auditing : Ticket d'authentification Kerberos (TGT) demandé

Commencez par examiner les détails spécifiques de l'événement 4768 pour comprendre le contexte d'authentification et identifier les codes d'échec éventuels.

1. Ouvrez Observateur d'événements sur le contrôleur de domaine
2. Accédez à Journaux Windows → Sécurité
3. Filtrez pour l'ID d'événement 4768 en utilisant Filtrer le journal actuel
4. Double-cliquez sur un événement 4768 pour voir les informations détaillées
5. Examinez les champs clés:
   • Nom du compte: L'utilisateur ou le compte de service demandeur
   • Domaine du compte: Domaine du compte demandeur
   • Adresse du client: Adresse IP de la demande d'authentification
   • Code de résultat: Succès (0x0) ou code d'échec spécifique
   • Type de chiffrement du ticket: Méthode de chiffrement utilisée
   • Type de pré-authentification: Méthode d'authentification employée
6. Pour les tentatives échouées, notez les valeurs de Code d'échec et Sous-état
7. Recoupez l'horodatage avec les rapports des utilisateurs ou les événements système

Utilisez PowerShell pour interroger et analyser efficacement les événements 4768 sur plusieurs contrôleurs de domaine ou périodes.

1. Ouvrez PowerShell en tant qu'administrateur sur un contrôleur de domaine
2. Interrogez les événements récents 4768 :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4768} -MaxEvents 100 | Select-Object TimeCreated, Id, LevelDisplayName, Message

3. Filtrez les tentatives d'authentification échouées :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4768} | Where-Object {$_.Message -like '*0x*' -and $_.Message -notlike '*0x0*'} | Select-Object TimeCreated, Message

4. Recherchez l'activité d'un compte utilisateur spécifique :

   $Events = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4768; StartTime=(Get-Date).AddHours(-24)}
   $Events | Where-Object {$_.Message -like '*AccountName*username*'} | Format-Table TimeCreated, Message -Wrap

5. Analysez les modèles d'authentification par adresse IP :

   $Events = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4768; StartTime=(Get-Date).AddDays(-1)}
   $Events | ForEach-Object { if($_.Message -match 'Client Address:\s+::ffff:([0-9.]+)') { $matches[1] } } | Group-Object | Sort-Object Count -Descending

6. Exportez les résultats pour une analyse plus approfondie :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4768; StartTime=(Get-Date).AddDays(-7)} | Export-Csv -Path "C:\Temp\Kerberos_TGT_Events.csv" -NoTypeInformation

Optimisez la journalisation de l'authentification Kerberos en configurant des stratégies d'audit avancées pour capturer le bon niveau de détail sans surcharger le journal de sécurité.

1. Ouvrez la Console de gestion des stratégies de groupe sur un contrôleur de domaine
2. Modifiez la Stratégie des contrôleurs de domaine par défaut ou créez un nouveau GPO
3. Accédez à Configuration de l'ordinateur → Stratégies → Paramètres Windows → Paramètres de sécurité → Configuration avancée de la stratégie d'audit
4. Développez Ouverture de session de compte et configurez :
   • Audit du service d'authentification Kerberos : Activer Succès et Échec
   • Audit des opérations de ticket de service Kerberos : Activer selon les besoins
5. Utilisez PowerShell pour vérifier les paramètres d'audit actuels :

   auditpol /get /subcategory:"Kerberos Authentication Service"

6. Configurez la stratégie d'audit via la ligne de commande si nécessaire :

   auditpol /set /subcategory:"Kerberos Authentication Service" /success:enable /failure:enable

7. Surveillez la taille du journal de sécurité et configurez la rétention appropriée :

   Get-WinEvent -ListLog Security | Select-Object LogName, FileSize, MaximumSizeInBytes, RecordCount

8. Envisagez de mettre en œuvre le transfert de journaux vers un système SIEM pour une analyse centralisée

Diagnostiquer systématiquement et résoudre les problèmes d'authentification Kerberos courants identifiés par l'analyse des événements 4768.

1. Identifier le code d'échec spécifique à partir des détails de l'événement 4768
2. Vérifier la synchronisation temporelle entre le client et le contrôleur de domaine :

   w32tm /query /status
   w32tm /resync /rediscover

3. Vérifier le statut et les propriétés du compte :

   Get-ADUser -Identity username -Properties AccountLockoutTime, PasswordExpired, PasswordLastSet, LastLogonDate

4. Tester la fonctionnalité Kerberos depuis le client :

   klist purge
   klist tgt

5. Vérifier les types de chiffrement pris en charge :

   Get-ADUser -Identity username -Properties msDS-SupportedEncryptionTypes

6. Examiner les paramètres de la politique Kerberos :

   Get-ADDefaultDomainPasswordPolicy
   Get-ADDomainController | Get-ADObject -Properties msDS-KrbTgtLinkBl

7. Valider la résolution DNS pour le contrôleur de domaine :

   nslookup -type=SRV _kerberos._tcp.domain.com
   Test-NetConnection -ComputerName dc.domain.com -Port 88

8. Activer la journalisation Kerberos pour un dépannage détaillé :

   reg add "HKLM\SYSTEM\CurrentControlSet\Control\Lsa\Kerberos\Parameters" /v LogLevel /t REG_DWORD /d 1 /f

Établir une surveillance proactive des événements 4768 pour détecter les menaces de sécurité et les anomalies d'authentification en temps réel.

1. Créer un script PowerShell pour une surveillance continue :

   # Surveiller les modèles d'authentification suspects
   $StartTime = (Get-Date).AddMinutes(-5)
   $FailedEvents = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4768; StartTime=$StartTime} | Where-Object {$_.Message -notlike '*0x0*'}
   
   if ($FailedEvents.Count -gt 10) {
       # Alerte sur un taux d'échec élevé
       Write-EventLog -LogName Application -Source "Security Monitor" -EventId 1001 -Message "Taux d'échec Kerberos élevé détecté : $($FailedEvents.Count) échecs en 5 minutes"
   }

2. Configurer le Planificateur de tâches Windows pour exécuter le script de surveillance toutes les 5 minutes
3. Configurer des vues personnalisées dans le Visualiseur d'événements pour une analyse rapide :
   • Créer une vue personnalisée filtrant pour l'ID d'événement 4768 avec des codes d'échec
   • Enregistrer la vue sous "Échecs d'authentification Kerberos"
4. Mettre en œuvre le transfert de journaux en utilisant le Transfert d'événements Windows (WEF) :

   # Sur le serveur collecteur
   wecutil qc
   wecutil cs subscription.xml

5. Créer un XML d'abonnement pour les événements 4768 :

   <Subscription xmlns="http://schemas.microsoft.com/2006/03/windows/events/subscription">
     <SubscriptionId>KerberosAuth</SubscriptionId>
     <Query>
       <![CDATA[<QueryList><Query Id="0"><Select Path="Security">*[System[EventID=4768]]</Select></Query></QueryList>]]>
     </Query>
   </Subscription>

6. Surveiller les modèles d'attaque spécifiques :
   • Échecs multiples depuis des adresses IP uniques
   • Tentatives d'authentification pour des comptes désactivés
   • Authentification hors heures ouvrables pour des comptes privilégiés
   • Demandes de type de chiffrement inhabituelles
7. Intégrer avec des solutions SIEM pour une corrélation et une alerte avancées