ID d'événement Windows 4778 – Microsoft-Windows-Security-Auditing : Session reconnectée à une station de travail

Accédez à l'Observateur d'événements pour examiner les détails spécifiques des occurrences de l'ID d'événement 4778.

1. Appuyez sur Windows + R, tapez eventvwr.msc, et appuyez sur Entrée
2. Accédez à Journaux Windows → Sécurité
3. Filtrez le journal en cliquant sur Filtrer le journal actuel dans le volet Actions
4. Entrez 4778 dans le champ ID d'événements et cliquez sur OK
5. Double-cliquez sur n'importe quelle entrée d'ID d'événement 4778 pour voir les informations détaillées
6. Consultez l'onglet Général pour les informations sur le compte utilisateur, l'ID de session et la source
7. Vérifiez l'onglet Détails pour les données XML incluant le nom du client et l'adresse IP
8. Notez l'ID de connexion pour le corréler avec d'autres événements de connexion (4624, 4647, 4777)

Utilisez PowerShell pour interroger et analyser efficacement les occurrences de l'ID d'événement 4778 dans votre environnement.

1. Ouvrez PowerShell en tant qu'administrateur
2. Interrogez les entrées récentes de l'ID d'événement 4778 :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4778} -MaxEvents 50 | Select-Object TimeCreated, Id, LevelDisplayName, Message

3. Filtrez les événements par compte utilisateur spécifique :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4778} | Where-Object {$_.Message -like "*username*"} | Select-Object TimeCreated, Message

4. Exportez les événements vers un fichier CSV pour analyse :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4778} -MaxEvents 100 | Select-Object TimeCreated, Id, @{Name='User';Expression={([xml]$_.ToXml()).Event.EventData.Data | Where-Object {$_.Name -eq 'TargetUserName'} | Select-Object -ExpandProperty '#text'}}, @{Name='ClientName';Expression={([xml]$_.ToXml()).Event.EventData.Data | Where-Object {$_.Name -eq 'ClientName'} | Select-Object -ExpandProperty '#text'}} | Export-Csv -Path "C:\Temp\Event4778.csv" -NoTypeInformation

5. Interrogez les événements à partir d'ordinateurs distants :

   Get-WinEvent -ComputerName "RemotePC" -FilterHashtable @{LogName='Security'; Id=4778} -MaxEvents 25

Assurez-vous de configurer correctement la politique d'audit pour capturer l'ID d'événement 4778 et les événements de session associés.

1. Ouvrez la Console de gestion des stratégies de groupe ou exécutez gpedit.msc pour la politique locale
2. Accédez à Configuration de l'ordinateur → Paramètres Windows → Paramètres de sécurité → Configuration avancée de la politique d'audit
3. Développez Politiques d'audit → Ouverture/Fermeture de session
4. Double-cliquez sur Audit de l'ouverture de session et activez l'audit pour Succès et Échec
5. Activez également Audit des autres événements d'ouverture/fermeture de session pour un suivi complet des sessions
6. Appliquez la politique en utilisant :

   gpupdate /force

7. Vérifiez les paramètres d'audit avec :

   auditpol /get /category:"Logon/Logoff"

8. Pour une configuration locale immédiate sans stratégie de groupe :

   auditpol /set /subcategory:"Logon" /success:enable /failure:enable

Créer des solutions de surveillance pour suivre les modèles de reconnexion de session inhabituels qui pourraient indiquer des préoccupations de sécurité.

1. Créer un script de surveillance PowerShell:

   # SessionMonitor.ps1
   $StartTime = (Get-Date).AddHours(-24)
   $Events = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4778; StartTime=$StartTime}
   
   foreach ($Event in $Events) {
       $XML = [xml]$Event.ToXml()
       $EventData = $XML.Event.EventData.Data
       
       $UserName = ($EventData | Where-Object {$_.Name -eq 'TargetUserName'}).'#text'
       $ClientName = ($EventData | Where-Object {$_.Name -eq 'ClientName'}).'#text'
       $ClientAddress = ($EventData | Where-Object {$_.Name -eq 'ClientAddress'}).'#text'
       $SessionName = ($EventData | Where-Object {$_.Name -eq 'SessionName'}).'#text'
       
       Write-Output "Time: $($Event.TimeCreated) | User: $UserName | Client: $ClientName | IP: $ClientAddress | Session: $SessionName"
   }

2. Programmer le script pour s'exécuter toutes les heures:

   Register-ScheduledTask -TaskName "SessionMonitor" -Trigger (New-ScheduledTaskTrigger -Once -At (Get-Date) -RepetitionInterval (New-TimeSpan -Hours 1)) -Action (New-ScheduledTaskAction -Execute "PowerShell.exe" -Argument "-File C:\Scripts\SessionMonitor.ps1")

3. Créer des alertes pour les modèles suspects:

   # Alerte pour plusieurs reconnexions depuis différentes IPs
   $RecentEvents = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4778; StartTime=(Get-Date).AddMinutes(-30)}
   $UserConnections = $RecentEvents | Group-Object {([xml]$_.ToXml()).Event.EventData.Data | Where-Object {$_.Name -eq 'TargetUserName'} | Select-Object -ExpandProperty '#text'}
   
   foreach ($User in $UserConnections | Where-Object {$_.Count -gt 3}) {
       Write-Warning "User $($User.Name) has $($User.Count) reconnections in the last 30 minutes"
   }

Configurer le transfert et l'analyse de l'ID d'événement 4778 pour les plateformes de surveillance de la sécurité d'entreprise.

1. Configurer le transfert d'événements Windows (WEF) pour la collecte centralisée :

   # Sur le serveur collecteur
   wecutil cs subscription.xml

2. Créer un fichier XML d'abonnement pour l'ID d'événement 4778 :

   <?xml version="1.0" encoding="UTF-8"?>
   <Subscription xmlns="http://schemas.microsoft.com/2006/03/windows/events/subscription">
       <SubscriptionId>SessionReconnections</SubscriptionId>
       <SubscriptionType>SourceInitiated</SubscriptionType>
       <Description>Collecter l'ID d'événement 4778 des ordinateurs du domaine</Description>
       <Enabled>true</Enabled>
       <Uri>http://schemas.microsoft.com/wbem/wsman/1/windows/EventLog</Uri>
       <ConfigurationMode>Normal</ConfigurationMode>
       <Query>
           <![CDATA[
           <QueryList>
               <Query Id="0">
                   <Select Path="Security">*[System[EventID=4778]]</Select>
               </Query>
           </QueryList>
           ]]>
       </Query>
   </Subscription>

3. Configurer les ordinateurs sources pour le transfert d'événements :

   winrm quickconfig
   wecutil qc

4. Configurer inputs.conf du Splunk Universal Forwarder :

   [WinEventLog://Security]
   disabled = false
   start_from = oldest
   current_only = false
   whitelist = 4778
   index = windows_security

5. Créer des règles de détection pour les modèles de session anormaux dans votre plateforme SIEM