ID d'événement Windows 4876 – Sécurité : Privilèges spéciaux attribués à une nouvelle connexion

Commencez par examiner les détails spécifiques de l'ID d'événement 4876 pour comprendre quels privilèges ont été attribués et à quel compte.

1. Ouvrez Observateur d'événements en appuyant sur Win + R, en tapant eventvwr.msc, et en appuyant sur Entrée
2. Accédez à Journaux Windows → Sécurité
3. Filtrez pour l'ID d'événement 4876 en cliquant avec le bouton droit sur le journal Sécurité et en sélectionnant Filtrer le journal actuel
4. Entrez 4876 dans le champ ID d'événements et cliquez sur OK
5. Double-cliquez sur un événement 4876 pour voir les détails
6. Examinez l'onglet Général pour les informations sur le compte et les privilèges attribués
7. Vérifiez l'onglet Détails pour les données XML contenant les noms des privilèges

Utilisez PowerShell pour interroger et analyser efficacement les occurrences de l'ID d'événement 4876 sur votre système.

1. Ouvrez PowerShell en tant qu'administrateur
2. Exécutez la commande suivante pour récupérer les événements récents 4876 :

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4876} -MaxEvents 50 | Format-Table TimeCreated, Id, LevelDisplayName, Message -Wrap

3. Pour une analyse plus détaillée, extrayez des propriétés d'événement spécifiques :

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4876} -MaxEvents 20 | ForEach-Object {
    $xml = [xml]$_.ToXml()
    [PSCustomObject]@{
        TimeCreated = $_.TimeCreated
        SubjectUserName = $xml.Event.EventData.Data | Where-Object {$_.Name -eq 'SubjectUserName'} | Select-Object -ExpandProperty '#text'
        TargetUserName = $xml.Event.EventData.Data | Where-Object {$_.Name -eq 'TargetUserName'} | Select-Object -ExpandProperty '#text'
        PrivilegeList = $xml.Event.EventData.Data | Where-Object {$_.Name -eq 'PrivilegeList'} | Select-Object -ExpandProperty '#text'
    }
}

4. Pour rechercher des attributions de privilèges spécifiques, filtrez par nom de privilège :

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4876} | Where-Object {$_.Message -like '*SeDebugPrivilege*'}

Enquêter sur les modèles d'attribution de privilèges pour identifier le comportement normal par rapport aux préoccupations potentielles en matière de sécurité.

1. Créer un script PowerShell pour analyser la fréquence d'attribution des privilèges :

$events = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4876; StartTime=(Get-Date).AddDays(-7)}
$privilegeStats = @{}

foreach ($event in $events) {
    $xml = [xml]$event.ToXml()
    $privileges = $xml.Event.EventData.Data | Where-Object {$_.Name -eq 'PrivilegeList'} | Select-Object -ExpandProperty '#text'
    $user = $xml.Event.EventData.Data | Where-Object {$_.Name -eq 'TargetUserName'} | Select-Object -ExpandProperty '#text'
    
    if ($privileges) {
        $key = "$user - $privileges"
        if ($privilegeStats.ContainsKey($key)) {
            $privilegeStats[$key]++
        } else {
            $privilegeStats[$key] = 1
        }
    }
}

$privilegeStats.GetEnumerator() | Sort-Object Value -Descending | Format-Table Name, Value

2. Vérifier les attributions de privilèges inhabituelles en les comparant au comportement de référence
3. Examiner la politique d'attribution des droits utilisateur dans la console de gestion des stratégies de groupe
4. Accéder à Configuration de l'ordinateur → Stratégies → Paramètres Windows → Paramètres de sécurité → Politiques locales → Attribution des droits utilisateur
5. Vérifier que les attributions de privilèges sont conformes aux politiques de sécurité de l'organisation

Améliorez la surveillance des privilèges en configurant des politiques d'audit avancées pour une meilleure visibilité sur les attributions de privilèges.

1. Ouvrez Éditeur de stratégie de groupe locale en exécutant gpedit.msc
2. Accédez à Configuration de l'ordinateur → Paramètres Windows → Paramètres de sécurité → Configuration des politiques d'audit avancées → Politiques d'audit → Utilisation des privilèges
3. Activez Audit de l'utilisation des privilèges sensibles pour les succès et les échecs
4. Appliquez la politique en exécutant :

gpupdate /force

5. Pour les environnements de domaine, configurez la politique d'audit via la gestion des stratégies de groupe :

auditpol /set /subcategory:"Sensitive Privilege Use" /success:enable /failure:enable

6. Vérifiez la configuration de l'audit :

auditpol /get /subcategory:"Sensitive Privilege Use"

Configurez une surveillance automatisée pour détecter en temps réel les activités suspectes d'attribution de privilèges.

1. Créez une tâche planifiée pour surveiller les attributions de privilèges inhabituelles :

$action = New-ScheduledTaskAction -Execute 'PowerShell.exe' -Argument '-File C:\Scripts\Monitor-PrivilegeAssignments.ps1'
$trigger = New-ScheduledTaskTrigger -Once -At (Get-Date) -RepetitionInterval (New-TimeSpan -Minutes 15) -RepetitionDuration (New-TimeSpan -Days 365)
$principal = New-ScheduledTaskPrincipal -UserId "SYSTEM" -LogonType ServiceAccount
Register-ScheduledTask -TaskName "Monitor-Event4876" -Action $action -Trigger $trigger -Principal $principal

2. Créez le script de surveillance à C:\Scripts\Monitor-PrivilegeAssignments.ps1 :

# Monitor-PrivilegeAssignments.ps1
$lastCheck = (Get-Date).AddMinutes(-15)
$suspiciousPrivileges = @('SeDebugPrivilege', 'SeTakeOwnershipPrivilege', 'SeLoadDriverPrivilege')

$events = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4876; StartTime=$lastCheck} -ErrorAction SilentlyContinue

foreach ($event in $events) {
    $xml = [xml]$event.ToXml()
    $privileges = $xml.Event.EventData.Data | Where-Object {$_.Name -eq 'PrivilegeList'} | Select-Object -ExpandProperty '#text'
    $user = $xml.Event.EventData.Data | Where-Object {$_.Name -eq 'TargetUserName'} | Select-Object -ExpandProperty '#text'
    
    foreach ($suspiciousPriv in $suspiciousPrivileges) {
        if ($privileges -like "*$suspiciousPriv*") {
            Write-EventLog -LogName Application -Source "PrivilegeMonitor" -EventId 1001 -EntryType Warning -Message "Suspicious privilege assignment: $suspiciousPriv to user $user at $($event.TimeCreated)"
        }
    }
}

3. Enregistrez la source d'événements personnalisée :

New-EventLog -LogName Application -Source "PrivilegeMonitor"

4. Configurez le transfert d'événements Windows (WEF) pour centraliser la surveillance des privilèges sur plusieurs systèmes