ID d'événement Windows 4782 – Sécurité : Mot de passe du compte utilisateur modifié

Commencez par examiner les détails complets de l'événement pour comprendre le contexte du changement de mot de passe.

1. Ouvrez Observateur d'événements en appuyant sur Win + R, en tapant eventvwr.msc, et en appuyant sur Entrée
2. Accédez à Journaux Windows → Sécurité
3. Filtrez le journal en cliquant sur Filtrer le journal actuel dans le volet Actions
4. Entrez 4782 dans le champ ID d'événement et cliquez sur OK
5. Double-cliquez sur une entrée ID d'événement 4782 pour voir des informations détaillées
6. Examinez les champs clés suivants :
   • Sujet : Qui a effectué le changement de mot de passe
   • Compte cible : Quel compte a été modifié
   • Informations sur le processus : Quel outil a été utilisé
   • ID de connexion : Identifiant de session pour la corrélation
7. Vérifiez l'horodatage pour corréler avec d'autres événements de sécurité
8. Notez le nom de la station de travail si présent pour identifier le système source

Utilisez PowerShell pour extraire et analyser les entrées d'ID d'événement 4782 pour des motifs ou des comptes spécifiques.

1. Ouvrez PowerShell en tant qu'administrateur
2. Interrogez les événements récents de changement de mot de passe :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4782} -MaxEvents 50 | Select-Object TimeCreated, Id, LevelDisplayName, Message

3. Filtrez les événements pour un compte cible spécifique :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4782} | Where-Object {$_.Message -like "*TargetUserName*"} | Select-Object TimeCreated, Message

4. Extrayez des informations détaillées en utilisant l'analyse XML :

   $Events = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4782} -MaxEvents 20
   foreach ($Event in $Events) {
       $XML = [xml]$Event.ToXml()
       $EventData = $XML.Event.EventData.Data
       Write-Output "Time: $($Event.TimeCreated)"
       Write-Output "Subject: $($EventData | Where-Object {$_.Name -eq 'SubjectUserName'} | Select-Object -ExpandProperty '#text')"
       Write-Output "Target: $($EventData | Where-Object {$_.Name -eq 'TargetUserName'} | Select-Object -ExpandProperty '#text')"
       Write-Output "---"
   }

5. Exportez les résultats pour une analyse plus approfondie :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4782} | Export-Csv -Path "C:\Temp\PasswordChanges.csv" -NoTypeInformation

Enquêtez sur l'ID d'événement 4782 ainsi que sur les événements connexes pour obtenir une image complète de l'activité administrative.

1. Interrogez les événements de connexion qui correspondent au changement de mot de passe :

   $PasswordEvents = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4782} -MaxEvents 10
   foreach ($Event in $PasswordEvents) {
       $XML = [xml]$Event.ToXml()
       $LogonId = ($XML.Event.EventData.Data | Where-Object {$_.Name -eq 'SubjectLogonId'}).'#text'
       Write-Output "Changement de mot de passe à : $($Event.TimeCreated)"
       Write-Output "Recherche d'événements de connexion avec LogonId : $LogonId"
       Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4624,4625} | Where-Object {$_.Message -like "*$LogonId*"} | Select-Object TimeCreated, Id, Message
   }

2. Vérifiez les événements d'utilisation de privilèges (ID d'événement 4672) qui peuvent précéder les changements de mot de passe :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4672} | Where-Object {$_.TimeCreated -gt (Get-Date).AddHours(-1)} | Select-Object TimeCreated, Message

3. Cherchez les événements de création de processus (ID d'événement 4688) pour identifier les outils utilisés :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4688} | Where-Object {$_.Message -like "*dsa.msc*" -or $_.Message -like "*powershell*"} | Select-Object TimeCreated, Message

4. Créez une chronologie des événements connexes :

   $StartTime = (Get-Date).AddHours(-2)
   $Events = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4624,4672,4782,4688; StartTime=$StartTime} | Sort-Object TimeCreated
   $Events | Select-Object TimeCreated, Id, LevelDisplayName | Format-Table -AutoSize

Configurez une surveillance complète des événements de changement de mot de passe pour améliorer la posture de sécurité et le rapport de conformité.

1. Vérifiez les paramètres de la stratégie d'audit à l'aide de la stratégie de groupe ou de la stratégie locale :

   auditpol /get /subcategory:"User Account Management"

2. Activez l'audit détaillé si ce n'est pas déjà configuré :

   auditpol /set /subcategory:"User Account Management" /success:enable /failure:enable

3. Configurez le transfert d'événements Windows pour centraliser les journaux :
   • Ouvrez Gestion des stratégies de groupe
   • Accédez à Configuration de l'ordinateur → Modèles d'administration → Composants Windows → Transfert d'événements
   • Configurez Configurer le gestionnaire d'abonnement cible
4. Configurez le transfert de journaux d'événements personnalisés pour l'ID d'événement 4782 :

   <QueryList>
     <Query Id="0" Path="Security">
       <Select Path="Security">*[System[(EventID=4782)]]</Select>
     </Query>
   </QueryList>

5. Créez une tâche planifiée pour surveiller et alerter sur les modèles suspects :

   $Action = New-ScheduledTaskAction -Execute "PowerShell.exe" -Argument "-File C:\Scripts\MonitorPasswordChanges.ps1"
   $Trigger = New-ScheduledTaskTrigger -Once -At (Get-Date) -RepetitionInterval (New-TimeSpan -Minutes 15)
   Register-ScheduledTask -TaskName "Monitor Password Changes" -Action $Action -Trigger $Trigger -RunLevel Highest

6. Configurez la taille du journal de sécurité pour assurer une rétention adéquate :

   wevtutil sl Security /ms:1073741824

Déployez des capacités de surveillance avancées et de réponse automatisée pour l'ID d'événement 4782 dans les environnements d'entreprise.

1. Configurez le Windows Event Collector (WEC) pour la collecte centralisée :

   wecutil cs C:\Config\PasswordChangeSubscription.xml

2. Créez un script PowerShell pour la surveillance en temps réel et l'alerte :

   # Monitor-PasswordChanges.ps1
   Register-WmiEvent -Query "SELECT * FROM __InstanceCreationEvent WITHIN 5 WHERE TargetInstance ISA 'Win32_NTLogEvent' AND TargetInstance.LogFile = 'Security' AND TargetInstance.EventCode = 4782" -Action {
       $Event = $Event.SourceEventArgs.NewEvent.TargetInstance
       $Message = "Mot de passe changé pour le compte : $($Event.Message)"
       Write-EventLog -LogName Application -Source "PasswordMonitor" -EventId 1001 -Message $Message
       # Envoyer une notification au SIEM ou à l'équipe de sécurité
   }

3. Configurez des traces personnalisées avec Windows Performance Toolkit (WPT) pour une analyse détaillée :

   wpr -start GeneralProfile -start CPU -start DiskIO

4. Configurez l'intégration avec Microsoft Sentinel ou un SIEM tiers :
   • Installez et configurez l'agent Log Analytics
   • Créez des règles de collecte de journaux personnalisées pour l'ID d'événement 4782
   • Configurez des requêtes KQL pour la détection de modèles
5. Mettez en œuvre des workflows de réponse automatisée :

   # Exemple : Désactiver le compte si un modèle de changement de mot de passe suspect est détecté
   $SuspiciousEvents = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4782} | Where-Object {$_.TimeCreated -gt (Get-Date).AddMinutes(-5)}
   if ($SuspiciousEvents.Count -gt 10) {
       # Déclencher une réponse de sécurité
       Write-EventLog -LogName Application -Source "SecurityResponse" -EventId 2001 -Message "Activité suspecte de changement de mot de passe détectée"
   }

6. Créez des rapports de conformité en utilisant PowerShell :

   $Report = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4782; StartTime=(Get-Date).AddDays(-30)} | Group-Object {$_.TimeCreated.Date} | Select-Object Name, Count
   $Report | Export-Csv -Path "C:\Reports\MonthlyPasswordChanges.csv" -NoTypeInformation