ID d'événement Windows 4816 – Audit de sécurité : Package d'authentification NTLM chargé

Commencez par examiner les détails spécifiques de l'ID d'événement 4816 pour comprendre le contexte et la source du chargement du package d'authentification.

1. Ouvrez Observateur d'événements en appuyant sur Win + R, en tapant eventvwr.msc, et en appuyant sur Entrée
2. Accédez à Journaux Windows → Sécurité
3. Filtrez pour l'ID d'événement 4816 en cliquant avec le bouton droit sur le journal Sécurité et en sélectionnant Filtrer le journal actuel
4. Entrez 4816 dans le champ ID d'événements et cliquez sur OK
5. Double-cliquez sur les entrées de l'ID d'événement 4816 pour voir des informations détaillées, y compris :
   • Nom et ID du processus qui a chargé le package
   • Nom du package d'authentification (généralement NTLM)
   • ID de connexion associé au processus de chargement
   • ID de sécurité du contexte de compte
6. Notez l'horodatage et la fréquence de ces événements pour identifier des modèles

Utilisez PowerShell pour interroger et analyser de manière programmatique les occurrences de l'ID d'événement 4816 pour une enquête et un rapport détaillés.

1. Ouvrez PowerShell en tant qu'administrateur
2. Interrogez les entrées récentes de l'ID d'événement 4816 :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4816} -MaxEvents 50 | Format-Table TimeCreated, Id, LevelDisplayName, Message -Wrap

3. Obtenez les propriétés détaillées de l'événement pour l'analyse :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4816} -MaxEvents 10 | ForEach-Object { $_.Properties }

4. Filtrez les événements par plage de temps spécifique :

   $StartTime = (Get-Date).AddDays(-7)
   $EndTime = Get-Date
   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4816; StartTime=$StartTime; EndTime=$EndTime}

5. Exportez les événements vers un fichier CSV pour une analyse plus approfondie :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4816} -MaxEvents 100 | Select-Object TimeCreated, Id, LevelDisplayName, Message | Export-Csv -Path "C:\Temp\Event4816.csv" -NoTypeInformation

Assurez-vous de configurer correctement la politique d'audit pour capturer l'ID d'événement 4816 et les événements de chargement de package d'authentification associés.

1. Ouvrez Éditeur de stratégie de groupe locale en exécutant gpedit.msc
2. Accédez à Configuration de l'ordinateur → Paramètres Windows → Paramètres de sécurité → Configuration avancée de la stratégie d'audit → Stratégies d'audit
3. Développez Accès aux objets et localisez Audit des modifications de la politique d'authentification
4. Double-cliquez sur la politique et configurez :
   • Activez Configurer les événements d'audit suivants
   • Cochez à la fois Succès et Échec si vous souhaitez une journalisation complète
5. Appliquez la politique en utilisant gpupdate /force
6. Vérifiez les paramètres d'audit en utilisant PowerShell :

   auditpol /get /subcategory:"Authentication Policy Change"

7. Pour les environnements de domaine, configurez la politique au niveau du domaine via la Console de gestion des stratégies de groupe

Enquêter sur les implications de sécurité du chargement du package NTLM et évaluer les opportunités de modernisation de l'authentification.

1. Vérifier les paramètres d'audit NTLM actuels dans le registre :

   Get-ItemProperty -Path "HKLM\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0" -Name "AuditReceivingNTLMTraffic" -ErrorAction SilentlyContinue

2. Activer l'audit NTLM pour suivre les modèles d'utilisation :
   • Ouvrir Stratégie de sécurité locale (secpol.msc)
   • Accéder à Stratégies locales → Options de sécurité
   • Configurer Sécurité réseau : Restreindre NTLM : Auditer l'authentification NTLM dans ce domaine
   • Définir sur Activer l'audit pour les comptes de domaine ou Activer l'audit pour tous les comptes
3. Surveiller les événements d'utilisation NTLM (ID d'événement 8004, 8005, 8006) avec 4816 :

   Get-WinEvent -FilterHashtable @{LogName='System'; Id=8004,8005,8006} -MaxEvents 20

4. Examiner les applications et services nécessitant NTLM :
   • Vérifier les paramètres d'authentification IIS dans %windir%\system32\inetsrv\config\applicationHost.config
   • Examiner la configuration d'authentification de SQL Server
   • Identifier les applications héritées dans les journaux d'événements d'application
5. Documenter les dépendances NTLM pour l'évaluation de la sécurité et la planification de la modernisation

Configurez une surveillance et une alerte complètes pour l'ID d'événement 4816 et les événements de package d'authentification associés pour les opérations de sécurité.

1. Créez un script de surveillance PowerShell:

   # Surveiller l'ID d'événement 4816 et envoyer des alertes
   $Events = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4816; StartTime=(Get-Date).AddMinutes(-15)} -ErrorAction SilentlyContinue
   if ($Events) {
       $EventCount = $Events.Count
       $LatestEvent = $Events[0]
       Write-Host "Trouvé $EventCount événements de chargement de package NTLM dans les 15 dernières minutes"
       # Ajoutez votre logique d'alerte ici (email, intégration SIEM, etc.)
   }

2. Configurez le transfert d'événements Windows pour une collecte centralisée:
   • Exécutez wecutil qc pour configurer le collecteur
   • Créez un abonnement pour les événements de sécurité incluant 4816
   • Configurez les ordinateurs sources en utilisant winrm quickconfig
3. Configurez des vues personnalisées dans le Visualiseur d'événements:
   • Cliquez avec le bouton droit sur Vues personnalisées et sélectionnez Créer une vue personnalisée
   • Filtrez pour l'ID d'événement 4816 et les événements d'authentification associés
   • Enregistrez la vue pour un accès rapide
4. Intégrez avec des solutions SIEM en utilisant le transfert de journal d'événements Windows:

   # Configurer le transfert de journal d'événements vers SIEM
   wevtutil sl Security /rt:false
   wevtutil sl Security /ab:true

5. Créez des tâches planifiées pour une surveillance régulière:
   • Utilisez Planificateur de tâches pour exécuter des scripts de surveillance
   • Configurez des déclencheurs basés sur la survenue d'événements ou des intervalles de temps
   • Configurez des notifications par email pour les événements d'authentification critiques