ID d'événement Windows 4769 – Microsoft-Windows-Security-Auditing : Demande de ticket de service Kerberos

Commencez par examiner les détails spécifiques de l'événement 4769 pour comprendre le contexte d'authentification.

1. Ouvrez Observateur d'événements → Journaux Windows → Sécurité
2. Filtrez pour l'ID d'événement 4769 en utilisant Filtrer le journal actuel
3. Double-cliquez sur un événement 4769 récent pour voir les détails
4. Champs clés à examiner :
   • Nom du compte : Utilisateur ou compte de service effectuant la demande
   • Nom du service : Service cible étant accédé
   • Adresse client : IP source de la demande d'authentification
   • Code d'échec : 0x0 pour succès, d'autres codes indiquent des échecs spécifiques
   • Options de ticket : Indicateurs Kerberos et types de chiffrement
5. Notez l'horodatage et la fréquence des événements du même compte

Utilisez cette commande PowerShell pour extraire rapidement les événements 4769 récents :

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4769} -MaxEvents 50 | Select-Object TimeCreated, Id, @{Name='Account';Expression={$_.Properties[0].Value}}, @{Name='ServiceName';Expression={$_.Properties[1].Value}}

Utilisez PowerShell pour identifier des modèles d'authentification inhabituels ou des problèmes de sécurité potentiels.

1. Extraire et analyser les événements 4769 pour une activité suspecte :

# Obtenir les demandes de ticket de service Kerberos échouées
$FailedAuth = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4769} -MaxEvents 1000 | Where-Object {$_.Properties[8].Value -ne '0x0'}

# Regrouper par compte pour identifier les comptes avec des taux d'échec élevés
$FailedAuth | Group-Object {$_.Properties[0].Value} | Sort-Object Count -Descending | Select-Object Name, Count

# Vérifier les modèles d'accès aux services inhabituels
$ServiceTickets = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4769} -MaxEvents 500
$ServiceTickets | Group-Object {$_.Properties[1].Value} | Sort-Object Count -Descending | Select-Object Name, Count

2. Recherchez ces modèles suspects :
   • Volumes élevés de demandes échouées provenant de comptes uniques
   • Accès aux services inhabituel en dehors des heures de bureau normales
   • Demandes de tickets de service pour des services sensibles provenant de comptes inattendus
   • Tentatives d'authentification en rafale indiquant des attaques automatisées
3. Faire une référence croisée avec l'ID d'événement 4768 (demandes TGT) pour un flux d'authentification complet

Optimisez les paramètres d'audit Kerberos pour capturer les événements pertinents tout en gérant le volume des journaux.

1. Ouvrez Group Policy Management Console et accédez à l'OU du contrôleur de domaine
2. Modifiez la stratégie par défaut des contrôleurs de domaine
3. Accédez à Configuration de l'ordinateur → Stratégies → Paramètres Windows → Paramètres de sécurité → Configuration avancée de la stratégie d'audit
4. Configurez Audit des opérations de ticket de service Kerberos:
   • Succès : Activer pour le suivi normal de l'authentification
   • Échec : Activer pour la surveillance de la sécurité
5. Utilisez PowerShell pour configurer les paramètres d'audit par programmation :

# Activer l'audit des tickets de service Kerberos
auditpol /set /subcategory:"Kerberos Service Ticket Operations" /success:enable /failure:enable

# Vérifier les paramètres d'audit actuels
auditpol /get /subcategory:"Kerberos Service Ticket Operations"

6. Envisagez d'activer Audit du service d'authentification Kerberos pour une surveillance complète de Kerberos
7. Appliquez la stratégie et exécutez gpupdate /force sur les contrôleurs de domaine

Résoudre les échecs d'authentification liés aux SPN qui génèrent des événements d'erreur 4769.

1. Identifier les échecs liés aux SPN en vérifiant les codes d'échec dans les événements 4769
2. Codes d'échec SPN courants:
   • 0x7: KDC_ERR_S_PRINCIPAL_UNKNOWN (SPN non trouvé)
   • 0x25: KDC_ERR_INTEGRITY (échec de chiffrement/intégrité)
3. Utiliser setspn pour diagnostiquer les problèmes de SPN:

# Lister tous les SPN pour un compte de service
setspn -L DOMAIN\ServiceAccount

# Vérifier les SPN en double dans le domaine
setspn -X

# Trouver les SPN enregistrés pour un service spécifique
setspn -Q HTTP/webserver.domain.com

4. Résoudre les problèmes de SPN:
   • Enregistrer les SPN manquants: setspn -A HTTP/server.domain.com DOMAIN\ServiceAccount
   • Supprimer les SPN en double: setspn -D HTTP/server.domain.com DOMAIN\WrongAccount
5. Vérifier la résolution des SPN en utilisant:

# Tester l'authentification Kerberos pour un service spécifique
klist get HTTP/webserver.domain.com

# Vider le cache des tickets Kerberos si nécessaire
klist purge

Configurez la surveillance automatisée pour 4769 événements afin de détecter les menaces de sécurité et les problèmes d'authentification.

1. Créez des vues personnalisées dans l'Observateur d'événements pour la surveillance de la sécurité :
2. Dans l'Observateur d'événements, cliquez avec le bouton droit sur Vues personnalisées → Créer une vue personnalisée
3. Configurez les critères de filtrage :
   • Journaux d'événements : Sécurité
   • ID d'événements : 4769
   • Mots-clés : Échec d'audit (pour les échecs d'authentification)
4. Utilisez PowerShell pour créer des scripts de surveillance automatisée :

# Surveiller les tentatives de Kerberoasting (demandes de chiffrement RC4)
$KerberoastingEvents = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4769} -MaxEvents 100 | Where-Object {
    $_.Properties[7].Value -match '0x17' # Chiffrement RC4-HMAC
}

# Alerte sur les authentifications à haut volume depuis une source unique
$RecentEvents = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4769; StartTime=(Get-Date).AddHours(-1)}
$HighVolumeIPs = $RecentEvents | Group-Object {$_.Properties[6].Value} | Where-Object {$_.Count -gt 100}

if ($HighVolumeIPs) {
    Write-Warning "Demandes Kerberos à haut volume détectées depuis : $($HighVolumeIPs.Name -join ', ')"
}

5. Configurez le transfert d'événements Windows (WEF) pour centraliser les événements 4769 :
6. Sur le serveur collecteur, activez WinRM : winrm quickconfig
7. Créez un abonnement pour les événements 4769 des contrôleurs de domaine
8. Intégrez avec des solutions SIEM comme Microsoft Sentinel ou Splunk pour des analyses avancées