ID d'événement Windows 4779 – Microsoft-Windows-Security-Auditing : Session utilisateur déconnectée

Commencez par examiner les détails spécifiques de l'événement 4779 pour comprendre le contexte de la déconnexion et recueillir des informations médico-légales.

1. Ouvrez Observateur d'événements → Journaux Windows → Sécurité

2. Filtrez pour l'ID d'événement 4779 en utilisant l'option de filtre ou la fonctionnalité de recherche

3. Double-cliquez sur l'événement pour voir des informations détaillées, y compris :

• ID de sécurité du sujet et nom du compte
• ID de connexion (correspond aux événements de connexion)
• Nom de session et adresse réseau source
• Onglet Détails supplémentaires pour des informations étendues

4. Notez l'horodatage et comparez avec des événements connexes comme 4778 (session reconnectée) ou 4634 (déconnexion)

Utilisez PowerShell pour extraire et analyser les événements 4779 pour les motifs, la fréquence et la corrélation avec d'autres événements de sécurité.

1. Interroger les événements de déconnexion récents :

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4779} -MaxEvents 50 | Select-Object TimeCreated, Id, @{Name='User';Expression={$_.Properties[1].Value}}, @{Name='SourceIP';Expression={$_.Properties[5].Value}}

2. Analyser les motifs de déconnexion pour des utilisateurs spécifiques :

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4779} | Where-Object {$_.Properties[1].Value -like '*username*'} | Group-Object @{Expression={$_.Properties[5].Value}} | Sort-Object Count -Descending

3. Corréler avec les événements de connexion pour calculer la durée de session :

$logons = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4624}
$disconnects = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4779}
$correlatedSessions = $disconnects | ForEach-Object {
    $logonId = $_.Properties[2].Value
    $matchingLogon = $logons | Where-Object {$_.Properties[7].Value -eq $logonId}
    if ($matchingLogon) {
        [PSCustomObject]@{
            User = $_.Properties[1].Value
            LogonTime = $matchingLogon.TimeCreated
            DisconnectTime = $_.TimeCreated
            Duration = $_.TimeCreated - $matchingLogon.TimeCreated
            SourceIP = $_.Properties[5].Value
        }
    }
}

Améliorez la collecte et l'analyse des événements 4779 grâce à la configuration avancée de la stratégie d'audit et à la configuration de la journalisation centralisée.

1. Vérifiez les paramètres de la stratégie d'audit à l'aide de la stratégie de groupe ou de la stratégie de sécurité locale :

Accédez à Configuration de l'ordinateur → Paramètres Windows → Paramètres de sécurité → Configuration avancée de la stratégie d'audit → Ouverture/Fermeture de session

2. Activez l'audit détaillé des ouvertures de session :

auditpol /set /subcategory:"Logoff" /success:enable /failure:enable
auditpol /set /subcategory:"Other Logon/Logoff Events" /success:enable /failure:enable

3. Configurez le transfert des événements Windows pour une collecte centralisée :

# Sur le serveur collecteur
wecutil qc
# Créez un abonnement pour les événements de sécurité
wecutil cs subscription.xml

4. Configurez la taille et la rétention du journal des événements personnalisés :

wevtutil sl Security /ms:1073741824
wevtutil sl Security /rt:false

5. Créez une tâche planifiée pour l'analyse automatisée des 4779 :

$action = New-ScheduledTaskAction -Execute 'PowerShell.exe' -Argument '-File C:\Scripts\Analyze4779Events.ps1'
$trigger = New-ScheduledTaskTrigger -Daily -At '06:00'
Register-ScheduledTask -TaskName 'Daily4779Analysis' -Action $action -Trigger $trigger

Effectuer une analyse médico-légale avancée pour identifier les menaces potentielles à la sécurité ou les violations de politique basées sur les modèles d'événements 4779.

1. Identifier les fréquences de déconnexion inhabituelles :

$timeframe = (Get-Date).AddDays(-7)
$events = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4779; StartTime=$timeframe}
$suspiciousUsers = $events | Group-Object @{Expression={$_.Properties[1].Value}} | Where-Object {$_.Count -gt 100} | Sort-Object Count -Descending

2. Analyser les modèles d'accès hors heures :

$offHoursEvents = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4779} | Where-Object {
    $hour = $_.TimeCreated.Hour
    $hour -lt 6 -or $hour -gt 22 -or $_.TimeCreated.DayOfWeek -in @('Saturday','Sunday')
}

3. Vérifier les modèles de reconnexion rapide (potentiel de force brute) :

$rapidReconnects = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=@(4778,4779)} | Sort-Object TimeCreated | Group-Object @{Expression={$_.Properties[1].Value}} | ForEach-Object {
    $userEvents = $_.Group | Sort-Object TimeCreated
    for ($i = 1; $i -lt $userEvents.Count; $i++) {
        $timeDiff = ($userEvents[$i].TimeCreated - $userEvents[$i-1].TimeCreated).TotalMinutes
        if ($timeDiff -lt 2) {
            [PSCustomObject]@{
                User = $_.Name
                Event1 = $userEvents[$i-1].Id
                Event2 = $userEvents[$i].Id
                TimeDifference = $timeDiff
                Timestamp = $userEvents[$i].TimeCreated
            }
        }
    }
}

4. Recouper avec les tentatives de connexion échouées :

$failedLogons = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625}
$disconnections = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4779}
$correlatedThreats = $disconnections | ForEach-Object {
    $disconnectTime = $_.TimeCreated
    $sourceIP = $_.Properties[5].Value
    $relatedFailures = $failedLogons | Where-Object {
        $_.Properties[19].Value -eq $sourceIP -and
        [Math]::Abs(($_.TimeCreated - $disconnectTime).TotalMinutes) -lt 30
    }
    if ($relatedFailures) {
        [PSCustomObject]@{
            SourceIP = $sourceIP
            DisconnectTime = $disconnectTime
            FailedAttempts = $relatedFailures.Count
            User = $_.Properties[1].Value
        }
    }
}

Déployer des mécanismes de surveillance et de réponse automatisés pour les modèles d'événements critiques 4779 qui peuvent indiquer des incidents de sécurité.

1. Créer un ensemble de collecteurs de données personnalisé avec Windows Performance Toolkit (WPT) :

$dataCollectorSet = New-Object -ComObject Pla.DataCollectorSet
$dataCollectorSet.DisplayName = "RDP Disconnection Monitor"
$dataCollectorSet.RootPath = "C:\PerfLogs\RDPMonitor"
$dataCollectorSet.Commit("RDPDisconnectMonitor", $null, 0x0003)

2. Configurer l'intégration SIEM en utilisant Windows Event Forwarding :

Créer un fichier d'abonnement XML personnalisé :

<Subscription xmlns="http://schemas.microsoft.com/2006/03/windows/events/subscription">
    <SubscriptionId>RDP-Disconnection-Monitor</SubscriptionId>
    <Query>
        <Select Path="Security">*[System[(EventID=4779)]]</Select>
    </Query>
    <Delivery Mode="Push">
        <Batching>
            <MaxItems>1</MaxItems>
            <MaxLatencyTime>1000</MaxLatencyTime>
        </Batching>
    </Delivery>
</Subscription>

3. Configurer un script d'alerte basé sur PowerShell :

# Register event subscription
Register-WmiEvent -Query "SELECT * FROM __InstanceCreationEvent WITHIN 5 WHERE TargetInstance ISA 'Win32_NTLogEvent' AND TargetInstance.EventCode = 4779" -Action {
    $event = $Event.SourceEventArgs.NewEvent.TargetInstance
    $user = ($event.InsertionStrings)[1]
    $sourceIP = ($event.InsertionStrings)[5]
    
    # Check for suspicious patterns
    if ($sourceIP -notmatch '^(10\.|192\.168\.|172\.(1[6-9]|2[0-9]|3[01])\.)') {
        Send-MailMessage -To "security@company.com" -From "alerts@company.com" -Subject "External RDP Disconnection Alert" -Body "User $user disconnected from external IP $sourceIP at $(Get-Date)" -SmtpServer "mail.company.com"
    }
}

4. Mettre en œuvre un canal de journal des événements Windows personnalisé pour une surveillance améliorée :

# Create custom event log
New-EventLog -LogName "RDPSecurity" -Source "RDPMonitor"

# Log custom security events
Write-EventLog -LogName "RDPSecurity" -Source "RDPMonitor" -EventId 1001 -EntryType Information -Message "Suspicious RDP disconnection pattern detected for user $user from IP $sourceIP"