ID d'événement Windows 4793 – Microsoft-Windows-Security-Auditing : Une tentative a été faite pour appeler un service privilégié

Commencez par examiner les détails spécifiques de l'ID d'événement 4793 pour comprendre le contexte et identifier le processus demandeur.

1. Ouvrez Observateur d'événements en appuyant sur Win + R, en tapant eventvwr.msc, et en appuyant sur Entrée
2. Accédez à Journaux Windows → Sécurité
3. Filtrez pour l'ID d'événement 4793 en cliquant avec le bouton droit sur le journal Sécurité et en sélectionnant Filtrer le journal actuel
4. Entrez 4793 dans le champ ID d'événements et cliquez sur OK
5. Double-cliquez sur un événement 4793 pour voir des informations détaillées incluant :
   • ID de sécurité du sujet et nom du compte
   • ID de processus et nom du processus
   • Nom du service et nom du privilège
   • Informations sur la demande de service
6. Notez l'horodatage, les détails du processus, et le privilège spécifique demandé
7. Recoupez l'ID de processus avec le Gestionnaire des tâches ou Process Monitor si le processus est toujours en cours d'exécution

Utilisez PowerShell pour analyser les modèles d'ID d'événement 4793 et identifier les tendances ou anomalies dans les appels de service privilégiés.

1. Ouvrez PowerShell en tant qu'administrateur
2. Interrogez les entrées récentes de l'ID d'événement 4793 :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4793} -MaxEvents 50 | Select-Object TimeCreated, Id, LevelDisplayName, Message

3. Filtrez les événements par plage horaire spécifique :

   $StartTime = (Get-Date).AddDays(-7)
   $EndTime = Get-Date
   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4793; StartTime=$StartTime; EndTime=$EndTime}

4. Extrayez et analysez les informations de processus :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4793} -MaxEvents 100 | ForEach-Object {
       $xml = [xml]$_.ToXml()
       [PSCustomObject]@{
           TimeCreated = $_.TimeCreated
           ProcessName = $xml.Event.EventData.Data | Where-Object {$_.Name -eq 'ProcessName'} | Select-Object -ExpandProperty '#text'
           ServiceName = $xml.Event.EventData.Data | Where-Object {$_.Name -eq 'ServiceName'} | Select-Object -ExpandProperty '#text'
           PrivilegeName = $xml.Event.EventData.Data | Where-Object {$_.Name -eq 'PrivilegeName'} | Select-Object -ExpandProperty '#text'
       }
   } | Group-Object ProcessName | Sort-Object Count -Descending

5. Exportez les résultats pour une analyse plus approfondie :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4793} -MaxEvents 1000 | Export-Csv -Path "C:\Temp\Event4793_Analysis.csv" -NoTypeInformation

Ajustez la configuration de la stratégie d'audit pour contrôler la génération de l'ID d'événement 4793 et garantir une couverture de surveillance de sécurité appropriée.

1. Ouvrez Stratégie de sécurité locale en exécutant secpol.msc en tant qu'administrateur
2. Accédez à Configuration avancée de la stratégie d'audit → Stratégies d'audit système → Utilisation des privilèges
3. Double-cliquez sur Audit de l'utilisation des privilèges et configurez :
   • Cochez Configurer les événements d'audit suivants
   • Sélectionnez Succès pour enregistrer l'utilisation réussie des privilèges
   • Sélectionnez Échec pour enregistrer les tentatives de privilèges échouées
4. Appliquez la stratégie et vérifiez la configuration avec PowerShell :

   auditpol /get /subcategory:"Privilege Use"

5. Pour les environnements de domaine, configurez via la stratégie de groupe :
   • Ouvrez Console de gestion des stratégies de groupe
   • Modifiez le GPO approprié
   • Accédez à Configuration de l'ordinateur → Stratégies → Paramètres Windows → Paramètres de sécurité → Configuration avancée de la stratégie d'audit
   • Configurez les mêmes paramètres d'utilisation des privilèges
6. Testez la configuration en effectuant une opération privilégiée et en vérifiant la génération de l'ID d'événement 4793
7. Surveillez la taille du journal de sécurité et configurez des stratégies de rétention appropriées :

   wevtutil gl Security

Enquêter sur le contexte plus large de l'ID d'événement 4793 en corrélant avec les événements système et l'activité des processus associés.

1. Identifier l'ID de processus à partir des détails de l'ID d'événement 4793
2. Rechercher des événements associés en utilisant le même ID de processus :

   $ProcessID = "1234"  # Remplacer par le PID réel de l'événement 4793
   Get-WinEvent -FilterHashtable @{LogName='Security'} | Where-Object {$_.Message -like "*Process ID: $ProcessID*"} | Select-Object TimeCreated, Id, Message

3. Vérifier le journal Système pour les événements liés aux services :

   Get-WinEvent -FilterHashtable @{LogName='System'; Id=7034,7035,7036,7040} -MaxEvents 100 | Where-Object {$_.TimeCreated -gt (Get-Date).AddHours(-1)}

4. Utiliser Process Monitor (ProcMon) pour capturer l'activité des processus en temps réel :
   • Télécharger et exécuter Process Monitor de Microsoft Sysinternals
   • Filtrer par le nom de processus identifié dans l'ID d'événement 4793
   • Surveiller l'activité des fichiers, du registre et du réseau lors des demandes de privilèges
5. Examiner les dépendances des services Windows :

   $ServiceName = "YourServiceName"  # De l'événement 4793
   Get-Service -Name $ServiceName | Select-Object -ExpandProperty ServicesDependedOn
   Get-Service -Name $ServiceName | Select-Object -ExpandProperty DependentServices

6. Examiner le journal des applications pour les erreurs ou avertissements associés :

   Get-WinEvent -FilterHashtable @{LogName='Application'; Level=2,3} -MaxEvents 50 | Where-Object {$_.TimeCreated -gt (Get-Date).AddMinutes(-30)}

7. Documenter les résultats et créer une chronologie des événements pour l'analyse de sécurité

Configurez la surveillance automatisée pour l'ID d'événement 4793 afin de détecter les appels de service privilégiés anormaux et les menaces de sécurité potentielles.

1. Créez un abonnement personnalisé de transfert d'événements Windows :

   <Subscription xmlns="http://schemas.microsoft.com/2006/03/windows/events/subscription">
       <SubscriptionId>Event4793Monitor</SubscriptionId>
       <SubscriptionType>SourceInitiated</SubscriptionType>
       <Query>
           <![CDATA[
           <QueryList>
               <Query Id="0">
                   <Select Path="Security">*[System[EventID=4793]]</Select>
               </Query>
           </QueryList>
           ]]>
       </Query>
   </Subscription>

2. Configurez l'abonnement en utilisant wecutil :

   wecutil cs Event4793Monitor.xml

3. Créez un script PowerShell pour l'analyse automatisée :

   # Event4793Monitor.ps1
   $Events = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4793; StartTime=(Get-Date).AddMinutes(-15)}
   foreach ($Event in $Events) {
       $xml = [xml]$Event.ToXml()
       $ProcessName = $xml.Event.EventData.Data | Where-Object {$_.Name -eq 'ProcessName'} | Select-Object -ExpandProperty '#text'
       $ServiceName = $xml.Event.EventData.Data | Where-Object {$_.Name -eq 'ServiceName'} | Select-Object -ExpandProperty '#text'
       
       # Définir les modèles suspects
       $SuspiciousProcesses = @('powershell.exe', 'cmd.exe', 'wscript.exe', 'cscript.exe')
       
       if ($ProcessName -in $SuspiciousProcesses) {
           Write-Warning "Appel de service privilégié suspect détecté : $ProcessName appelant $ServiceName"
           # Envoyer une alerte ou enregistrer dans le SIEM
       }
   }

4. Planifiez le script de surveillance à l'aide du Planificateur de tâches :

   $Action = New-ScheduledTaskAction -Execute 'PowerShell.exe' -Argument '-File C:\Scripts\Event4793Monitor.ps1'
   $Trigger = New-ScheduledTaskTrigger -Once -At (Get-Date) -RepetitionInterval (New-TimeSpan -Minutes 15) -RepetitionDuration (New-TimeSpan -Days 365)
   $Principal = New-ScheduledTaskPrincipal -UserId "SYSTEM" -LogonType ServiceAccount
   Register-ScheduledTask -TaskName "Event4793Monitor" -Action $Action -Trigger $Trigger -Principal $Principal

5. Configurez le transfert du journal des événements Windows vers le SIEM ou le système de journalisation central
6. Configurez des compteurs de performance personnalisés pour suivre la fréquence de l'ID d'événement 4793 :

   Get-Counter "\LogicalDisk(*)\% Free Space" -Continuous -SampleInterval 5

7. Testez le système de surveillance en générant des événements de test et en vérifiant la fonctionnalité d'alerte