ID d'événement Windows 4781 – Sécurité : Nom de compte modifié

Commencez par examiner les détails spécifiques de l'Événement 4781 pour comprendre le contexte du changement de compte.

1. Ouvrez Observateur d'événements → Journaux Windows → Sécurité
2. Filtrez pour l'ID d'événement 4781 en utilisant l'option de filtre dans le volet Actions
3. Double-cliquez sur l'événement pour voir les informations détaillées, y compris :
   • Ancien nom de compte : sAMAccountName original
   • Nouveau nom de compte : sAMAccountName modifié
   • Domaine de compte : Nom de domaine ou d'ordinateur
   • Sujet : Utilisateur qui a effectué le changement
   • ID de connexion : Identifiant de session pour la corrélation
4. Notez l'horodatage et corrélez avec les fenêtres de maintenance programmées
5. Vérifiez si le changement est conforme aux procédures administratives documentées

Utilisez PowerShell pour rechercher et analyser efficacement les occurrences de l'événement 4781 sur plusieurs systèmes.

1. Interroger les changements récents de nom de compte sur le système local :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4781} -MaxEvents 50 | Select-Object TimeCreated, @{Name='OldName';Expression={($_.Message -split '\n' | Where-Object {$_ -match 'Old Account Name:'}) -replace '.*Old Account Name:\s*',''}}, @{Name='NewName';Expression={($_.Message -split '\n' | Where-Object {$_ -match 'New Account Name:'}) -replace '.*New Account Name:\s*',''}}

2. Rechercher des changements spécifiques de nom de compte :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4781} | Where-Object {$_.Message -match 'testuser'} | Format-Table TimeCreated, Id, LevelDisplayName

3. Interroger les contrôleurs de domaine pour les changements de compte AD :

   $DCs = Get-ADDomainController -Filter *
   foreach ($DC in $DCs) {
       Invoke-Command -ComputerName $DC.HostName -ScriptBlock {
           Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4781} -MaxEvents 10
       }
   }

4. Exporter les résultats pour une analyse plus approfondie :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4781} | Export-Csv -Path "C:\Temp\AccountNameChanges.csv" -NoTypeInformation

Analyser les modèles de changements de nom de compte pour identifier les problèmes de sécurité potentiels ou les tendances administratives.

1. Vérifier les modèles de timing suspects :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4781} | Group-Object @{Expression={$_.TimeCreated.Hour}} | Sort-Object Count -Descending

2. Identifier les utilisateurs changeant fréquemment de nom de compte :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4781} | ForEach-Object {
       $Subject = ($_.Message -split '\n' | Where-Object {$_ -match 'Subject:'} | Select-Object -First 1) -replace '.*Account Name:\s*',''
       [PSCustomObject]@{
           TimeCreated = $_.TimeCreated
           ChangedBy = $Subject
           Message = $_.Message
       }
   } | Group-Object ChangedBy | Sort-Object Count -Descending

3. Faire une référence croisée avec les événements de connexion (4624) pour vérifier les sessions légitimes :

   $LogonEvents = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4624}
   $NameChangeEvents = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4781}
   # Corréler par ID de connexion et horodatage

4. Vérifier Active Directory pour des modifications de compte supplémentaires :

   Get-ADUser -Filter * -Properties whenChanged, whenCreated | Where-Object {$_.whenChanged -gt (Get-Date).AddDays(-7)} | Select-Object Name, SamAccountName, whenChanged

Configurez une surveillance complète pour les changements de nom de compte afin d'améliorer la posture de sécurité et la conformité.

1. Vérifiez la configuration de la politique d'audit :

   auditpol /get /subcategory:"User Account Management"

2. Activez l'audit détaillé si ce n'est pas déjà configuré :

   auditpol /set /subcategory:"User Account Management" /success:enable /failure:enable

3. Créez une tâche planifiée pour surveiller l'événement 4781 :

   $Action = New-ScheduledTaskAction -Execute "PowerShell.exe" -Argument "-Command Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4781} -MaxEvents 1 | Send-MailMessage -To 'admin@company.com' -From 'monitoring@company.com' -Subject 'Account Name Changed' -SmtpServer 'mail.company.com'"
   $Trigger = New-ScheduledTaskTrigger -AtStartup
   $Settings = New-ScheduledTaskSettingsSet -AllowStartIfOnBatteries
   Register-ScheduledTask -TaskName "Monitor-AccountNameChanges" -Action $Action -Trigger $Trigger -Settings $Settings

4. Configurez le transfert d'événements Windows pour une collecte centralisée :
   • Sur le serveur collecteur : wecutil qc
   • Créez un abonnement : wecutil cs subscription.xml
   • Configurez les ordinateurs sources pour transférer les événements de sécurité
5. Configurez l'intégration SIEM en utilisant le transfert de journal d'événements Windows ou des agents

Effectuez une analyse médico-légale approfondie lorsque des changements suspects de nom de compte sont détectés.

1. Préservez les preuves en exportant les journaux d'événements pertinents :

   wevtutil epl Security C:\Forensics\Security_$(Get-Date -Format 'yyyyMMdd_HHmmss').evtx

2. Analysez la chronologie complète autour du changement de compte :

   $StartTime = (Get-Date).AddHours(-2)
   $EndTime = (Get-Date).AddHours(2)
   Get-WinEvent -FilterHashtable @{LogName='Security'; StartTime=$StartTime; EndTime=$EndTime} | Where-Object {$_.Id -in @(4624,4625,4648,4672,4781)} | Sort-Object TimeCreated

3. Vérifiez les modifications de registre associées :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4657} | Where-Object {$_.Message -match 'SAM\\SAM\\Domains'}

4. Examinez les événements de création de processus autour du moment du changement :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4688} | Where-Object {$_.TimeCreated -gt $StartTime -and $_.TimeCreated -lt $EndTime} | Select-Object TimeCreated, @{Name='Process';Expression={($_.Message -split '\n' | Where-Object {$_ -match 'New Process Name:'}) -replace '.*New Process Name:\s*',''}}

5. Documentez les résultats et mettez en œuvre des mesures de confinement si une activité malveillante est confirmée :
   • Réinitialisez les mots de passe des comptes affectés
   • Examinez et révoquez les privilèges administratifs inutiles
   • Mettez à jour les politiques de sécurité et les règles de surveillance
   • Effectuez des analyses supplémentaires du système pour détecter des indicateurs de compromission