ID d'événement Windows 4880 – Sécurité : Autorisations de sécurité du modèle de services de certificats modifiées

Commencez par examiner les détails spécifiques de l'ID d'événement 4880 pour comprendre quel modèle et quelles autorisations ont été modifiés.

1. Ouvrez Observateur d'événements → Journaux Windows → Sécurité
2. Filtrez pour l'ID d'événement 4880 en utilisant l'option de filtre
3. Double-cliquez sur l'événement pour voir les informations détaillées
4. Notez les champs clés suivants:
   • Sujet: Compte utilisateur qui a effectué le changement
   • Nom du modèle: Modèle de certificat qui a été modifié
   • Ancien descripteur de sécurité: Autorisations précédentes au format SDDL
   • Nouveau descripteur de sécurité: Autorisations mises à jour au format SDDL
5. Utilisez PowerShell pour interroger les événements récents:

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4880} -MaxEvents 50 | Format-Table TimeCreated, Id, LevelDisplayName, Message -Wrap

Enquêter sur l'état actuel des autorisations des modèles de certificats pour valider les modifications et s'assurer qu'elles sont conformes aux politiques de sécurité.

1. Ouvrir le composant logiciel enfichable Modèles de certificats MMC :

   certtmpl.msc

2. Localiser le modèle de certificat affecté à partir de l'événement
3. Cliquez avec le bouton droit sur le modèle → Propriétés → onglet Sécurité
4. Examiner les autorisations actuelles et les comparer avec votre base de référence de sécurité
5. Utiliser PowerShell pour exporter les autorisations actuelles du modèle :

   $template = Get-CATemplate -Name "YourTemplateName"
   $template | Select-Object Name, SecurityDescriptor | Export-Csv -Path "C:\Temp\TemplatePermissions.csv"

6. Interroger tous les modèles de certificats et leurs autorisations :

   Get-ADObject -Filter {objectClass -eq "pKICertificateTemplate"} -SearchBase "CN=Certificate Templates,CN=Public Key Services,CN=Services,CN=Configuration,$((Get-ADDomain).DistinguishedName)" -Properties nTSecurityDescriptor | Select-Object Name, nTSecurityDescriptor

Recoupez l'ID d'événement 4880 avec d'autres événements de sécurité pour obtenir une image complète de la session administrative et valider la légitimité.

1. Recherchez des événements de connexion liés autour de la même période :

   $startTime = (Get-Date).AddHours(-2)
   $endTime = Get-Date
   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4624,4625,4648; StartTime=$startTime; EndTime=$endTime} | Where-Object {$_.Message -like "*username_from_4880*"}

2. Cherchez l'ID d'événement 4719 (Modifications de la politique d'audit système) qui pourrait indiquer des modifications de sécurité plus larges
3. Vérifiez l'ID d'événement 4670 (Les autorisations sur un objet ont été modifiées) pour les modifications d'autorisations Active Directory liées
4. Examinez les journaux opérationnels des services de certificats :

   Get-WinEvent -LogName "Microsoft-Windows-CertificateServicesClient-Lifecycle-System/Operational" -MaxEvents 100

5. Interrogez les événements d'inscription de certificats (ID d'événement 4886, 4887) pour voir si les modifications d'autorisations ont affecté la délivrance de certificats
6. Vérifiez les journaux du contrôleur de domaine pour les événements de réplication Active Directory liés au conteneur des modèles de certificats

Effectuez une validation complète de votre configuration de sécurité PKI pour vous assurer que les modifications des autorisations de modèle maintiennent des limites de sécurité appropriées.

1. Auditez toutes les autorisations de modèle de certificat à l'aide de PowerShell :

   $configDN = "CN=Configuration," + (Get-ADDomain).DistinguishedName
   $templatesDN = "CN=Certificate Templates,CN=Public Key Services,CN=Services," + $configDN
   Get-ADObject -Filter {objectClass -eq "pKICertificateTemplate"} -SearchBase $templatesDN -Properties displayName, nTSecurityDescriptor | ForEach-Object {
       Write-Host "Template: $($_.displayName)"
       $_.nTSecurityDescriptor.Access | Format-Table IdentityReference, AccessControlType, ActiveDirectoryRights
   }

2. Vérifiez les autorisations de modèle surpriviliégiées qui pourraient permettre une inscription de certificat non autorisée
3. Validez que les modèles sensibles (comme la signature de code ou l'authentification administrateur) ont des restrictions appropriées
4. Examinez les paramètres de sécurité de l'Autorité de Certification :

   certlm.msc

   Accédez à Autorité de Certification → Propriétés → Sécurité
5. Générez un rapport de sécurité PKI :

   PKIView.msc

6. Testez l'inscription de certificat avec les modèles affectés pour vous assurer que la fonctionnalité n'a pas été rompue par les modifications d'autorisation

Établir une surveillance et une alerte complètes pour les changements de permissions des modèles de certificats afin de détecter rapidement les modifications non autorisées.

1. Créer un script PowerShell pour une surveillance continue :

   Register-WmiEvent -Query "SELECT * FROM __InstanceModificationEvent WITHIN 10 WHERE TargetInstance ISA 'Win32_NTLogEvent' AND TargetInstance.LogFile = 'Security' AND TargetInstance.EventCode = 4880" -Action {
       $event = $Event.SourceEventArgs.NewEvent.TargetInstance
       Send-MailMessage -To "admin@company.com" -From "pki-monitor@company.com" -Subject "Changement de permission de modèle PKI détecté" -Body $event.Message -SmtpServer "mail.company.com"
   }

2. Configurer le transfert d'événements Windows (WEF) pour centraliser les événements d'audit PKI de tous les contrôleurs de domaine et serveurs CA
3. Configurer des vues personnalisées dans le Visualiseur d'événements pour les événements liés au PKI :

   <QueryList>
     <Query Id="0" Path="Security">
       <Select Path="Security">*[System[(EventID=4880 or EventID=4886 or EventID=4887)]]</Select>
     </Query>
   </QueryList>

4. Mettre en œuvre l'intégration SIEM pour corréler les événements PKI avec d'autres activités de sécurité
5. Créer des flux de travail de réponse automatisés pour les modifications non autorisées des modèles
6. Établir une surveillance de référence à l'aide de la stratégie de groupe pour suivre les changements de permissions des modèles :
   Accédez à Configuration de l'ordinateur → Paramètres Windows → Paramètres de sécurité → Configuration avancée de la stratégie d'audit → Accès aux objets → Audit des services de certification