ID d'événement Windows 4780 – Microsoft-Windows-Security-Auditing : Mot de passe du compte d'ordinateur modifié

Commencez par examiner les détails spécifiques de l'événement 4780 pour comprendre le contexte et la portée du changement de mot de passe.

1. Ouvrez Observateur d'événements sur le contrôleur de domaine
2. Accédez à Journaux Windows → Sécurité
3. Filtrez pour l'ID d'événement 4780 en utilisant l'option de filtre
4. Double-cliquez sur l'événement pour voir les informations détaillées
5. Examinez la section Sujet pour identifier qui a initié le changement
6. Vérifiez la section Compte cible pour l'ordinateur affecté
7. Notez l'horodatage et la corrélation avec d'autres événements de sécurité

Champs clés à examiner :

• Nom du compte sujet : Indique qui a effectué le changement
• Nom du compte cible : Le compte d'ordinateur qui a été modifié
• Domaine cible : Domaine où réside le compte
• Privilèges : Privilèges de sécurité utilisés pour l'opération

Utilisez PowerShell pour interroger et analyser efficacement les événements 4780 sur plusieurs contrôleurs de domaine ou périodes.

1. Ouvrez PowerShell en tant qu'administrateur
2. Interrogez les événements récents 4780 :

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4780} -MaxEvents 50 | Select-Object TimeCreated, Id, LevelDisplayName, Message

3. Filtrez les événements pour des comptes d'ordinateur spécifiques :

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4780} | Where-Object {$_.Message -like "*COMPUTERNAME*"}

4. Exportez les événements vers un fichier CSV pour analyse :

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4780; StartTime=(Get-Date).AddDays(-7)} | Select-Object TimeCreated, Id, @{Name='ComputerAccount';Expression={($_.Message -split '\n' | Where-Object {$_ -like '*Account Name:*'})[1] -replace '.*Account Name:\s*',''}}, @{Name='Subject';Expression={($_.Message -split '\n' | Where-Object {$_ -like '*Subject:*' -and $_ -like '*Account Name:*'})[0] -replace '.*Account Name:\s*',''}} | Export-Csv -Path "C:\Temp\Event4780_Analysis.csv" -NoTypeInformation

5. Vérifiez les modèles inhabituels ou la fréquence des changements de mot de passe

Enquêter sur les paramètres de la stratégie de mot de passe de domaine qui contrôlent les changements automatiques de mot de passe des comptes d'ordinateur.

1. Vérifiez la stratégie de mot de passe de domaine actuelle :

Get-ADDefaultDomainPasswordPolicy

2. Examinez les paramètres de registre de l'âge du mot de passe du compte d'ordinateur sur les ordinateurs clients :

Get-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\Netlogon\Parameters" -Name "MaximumPasswordAge"

3. Vérifiez si les changements de mot de passe sont désactivés :

Get-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\Netlogon\Parameters" -Name "DisablePasswordChange"

4. Examinez les paramètres de stratégie de groupe affectant les mots de passe des comptes d'ordinateur :
5. Ouvrez Group Policy Management Console
6. Accédez à Configuration de l'ordinateur → Stratégies → Paramètres Windows → Paramètres de sécurité → Stratégies locales → Options de sécurité
7. Vérifiez Membre du domaine : Âge maximum du mot de passe du compte machine
8. Vérifiez que Membre du domaine : Désactiver les changements de mot de passe du compte machine n'est pas activé

Valeurs par défaut :

• MaximumPasswordAge : 30 jours (2592000 secondes)
• DisablePasswordChange : Devrait être 0 (désactivé) ou non présent

Lorsque les événements 4780 apparaissent fréquemment ou de manière inattendue, examinez les problèmes potentiels de canal sécurisé ou de relation de confiance.

1. Testez le canal sécurisé depuis l'ordinateur affecté :

Test-ComputerSecureChannel -Verbose

2. Si le test échoue, réparez le canal sécurisé :

Test-ComputerSecureChannel -Repair -Credential (Get-Credential)

3. Vérifiez l'état de la réplication du contrôleur de domaine :

repadmin /replsummary

4. Vérifiez l'état du compte d'ordinateur dans Active Directory :

Get-ADComputer -Identity "COMPUTERNAME" -Properties PasswordLastSet, LastLogonDate, Enabled

5. Examinez la résolution DNS pour les contrôleurs de domaine :

nslookup -type=SRV _ldap._tcp.dc._msdcs.yourdomain.com

6. Vérifiez la synchronisation de l'heure entre le client et les contrôleurs de domaine :

w32tm /query /status

Mettre en œuvre une surveillance et une analyse complètes de 4780 événements à des fins de sécurité et de conformité.

1. Créer un script PowerShell personnalisé pour une surveillance continue :

# Surveiller 4780 événements et alerter sur les anomalies
$Events = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4780; StartTime=(Get-Date).AddHours(-1)}
foreach ($Event in $Events) {
    $XML = [xml]$Event.ToXml()
    $SubjectAccount = $XML.Event.EventData.Data | Where-Object {$_.Name -eq 'SubjectUserName'} | Select-Object -ExpandProperty '#text'
    $TargetAccount = $XML.Event.EventData.Data | Where-Object {$_.Name -eq 'TargetUserName'} | Select-Object -ExpandProperty '#text'
    
    # Alerter si le changement de mot de passe est initié par un compte non-système
    if ($SubjectAccount -ne $TargetAccount -and $SubjectAccount -ne 'SYSTEM') {
        Write-Warning "Changement de mot de passe manuel détecté : $TargetAccount par $SubjectAccount à $($Event.TimeCreated)"
    }
}

2. Configurer le transfert d'événements Windows pour centraliser les événements 4780 :
3. Sur le serveur collecteur, activer le service Windows Event Collector :

wecutil qc

4. Créer un abonnement pour les événements 4780 :

<Subscription xmlns="http://schemas.microsoft.com/2006/03/windows/events/subscription">
    <SubscriptionId>ComputerPasswordChanges</SubscriptionId>
    <SubscriptionType>SourceInitiated</SubscriptionType>
    <Query>
        <![CDATA[
        <QueryList>
            <Query Id="0">
                <Select Path="Security">*[System[EventID=4780]]</Select>
            </Query>
        </QueryList>
        ]]>
    </Query>
</Subscription>

5. Configurer l'intégration SIEM pour une analyse automatisée :
6. Configurer le transfert de journaux vers votre solution SIEM
7. Créer des règles de corrélation pour détecter :

• Changements de mot de passe excessifs depuis des ordinateurs uniques
• Changements de mot de passe en dehors des fenêtres de maintenance
• Changements initiés par des comptes utilisateurs inattendus
• Modèles indiquant un potentiel compromis