ID d'événement Windows 4890 – Microsoft-Windows-Security-Auditing : Une poignée vers un objet a été demandée

Commencez par examiner les détails de l'événement pour comprendre le contexte et la portée de la demande d'accès à l'objet.

1. Ouvrez Observateur d'événements en appuyant sur Win + R, en tapant eventvwr.msc, et en appuyant sur Entrée
2. Accédez à Journaux Windows → Sécurité
3. Filtrez pour l'ID d'événement 4890 en cliquant avec le bouton droit sur le journal Sécurité et en sélectionnant Filtrer le journal actuel
4. Dans la boîte de dialogue de filtrage, entrez 4890 dans le champ ID d'événements
5. Double-cliquez sur un événement 4890 pour voir des informations détaillées, y compris :
   • Sujet : Compte utilisateur effectuant la demande
   • Objet : Chemin et type de l'objet cible
   • Informations sur le processus : Nom exécutable et ID de processus
   • Informations sur la demande d'accès : Droits d'accès demandés
6. Notez le champ Nom de l'objet pour identifier quelle ressource a été accédée
7. Vérifiez la valeur du Masque d'accès pour comprendre les permissions demandées

Utilisez PowerShell pour interroger et analyser efficacement les occurrences de l'ID d'événement 4890 sur des plages de temps et des critères spécifiques.

1. Ouvrez PowerShell en tant qu'administrateur
2. Interrogez les événements récents 4890 :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4890} -MaxEvents 50 | Select-Object TimeCreated, Id, LevelDisplayName, Message

3. Filtrez les événements par types d'objets spécifiques :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4890; StartTime=(Get-Date).AddHours(-24)} | Where-Object {$_.Message -like "*\Windows\System32\*"}

4. Extrayez les informations clés des événements :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4890} -MaxEvents 100 | ForEach-Object {
       $xml = [xml]$_.ToXml()
       [PSCustomObject]@{
           TimeCreated = $_.TimeCreated
           SubjectUserName = $xml.Event.EventData.Data[1].'#text'
           ObjectName = $xml.Event.EventData.Data[6].'#text'
           ProcessName = $xml.Event.EventData.Data[9].'#text'
           AccessMask = $xml.Event.EventData.Data[10].'#text'
       }
   }

5. Exportez les résultats pour une analyse plus approfondie :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4890; StartTime=(Get-Date).AddDays(-7)} | Export-Csv -Path "C:\Temp\Event4890_Analysis.csv" -NoTypeInformation

Configurez correctement les politiques d'audit pour contrôler quand l'ID d'événement 4890 est généré et assurez-vous de capturer le bon niveau de détail.

1. Ouvrez Group Policy Management Console ou Local Group Policy Editor (gpedit.msc)
2. Accédez à Configuration de l'ordinateur → Paramètres Windows → Paramètres de sécurité → Configuration avancée de la stratégie d'audit → Accès aux objets
3. Configurez les politiques suivantes en fonction de vos besoins de surveillance:
   • Audit du système de fichiers : Activer pour l'accès aux fichiers et dossiers
   • Audit du registre : Activer pour l'accès aux clés de registre
   • Audit de la manipulation des poignées : Activer pour les opérations de poignée
   • Audit des objets du noyau : Activer pour l'accès aux objets système
4. Définissez chaque politique sur Succès et Échec pour une surveillance complète
5. Appliquez la politique en utilisant:

   gpupdate /force

6. Vérifiez l'application de la politique:

   auditpol /get /category:"Object Access"

7. Pour l'audit spécifique des fichiers/dossiers, configurez la SACL (Liste de contrôle d'accès système):

   icacls "C:\Sensitive\" /grant "Everyone:(OI)(CI)F" /audit "Everyone:(OI)(CI)F"

Effectuer une analyse avancée pour identifier des schémas suspects, corréler avec d'autres événements de sécurité et construire des pistes d'audit complètes.

1. Créer un script PowerShell pour analyser les schémas d'accès :

   # Analyser les événements 4890 pour des schémas inhabituels
   $events = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4890; StartTime=(Get-Date).AddDays(-1)}
   
   $analysis = $events | ForEach-Object {
       $xml = [xml]$_.ToXml()
       [PSCustomObject]@{
           Time = $_.TimeCreated
           User = $xml.Event.EventData.Data[1].'#text'
           Object = $xml.Event.EventData.Data[6].'#text'
           Process = $xml.Event.EventData.Data[9].'#text'
           AccessMask = $xml.Event.EventData.Data[10].'#text'
       }
   }
   
   # Regrouper par utilisateur pour identifier les accès à haut volume
   $analysis | Group-Object User | Sort-Object Count -Descending | Select-Object Name, Count

2. Corréler avec les événements de connexion (4624) pour suivre les sessions utilisateur :

   $logons = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4624; StartTime=(Get-Date).AddHours(-2)}
   $objectAccess = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4890; StartTime=(Get-Date).AddHours(-2)}
   
   # Recouper les heures de connexion avec l'accès aux objets

3. Identifier l'accès à des emplacements sensibles :

   $sensitiveObjects = @("*\Windows\System32\config\*", "*\Users\*\Documents\*", "*\Program Files\*")
   $events | Where-Object {$_.Message -match ($sensitiveObjects -join "|")}

4. Mettre en place une surveillance automatisée avec des tâches planifiées :

   $action = New-ScheduledTaskAction -Execute "PowerShell.exe" -Argument "-File C:\Scripts\Monitor4890.ps1"
   $trigger = New-ScheduledTaskTrigger -Daily -At "09:00"
   Register-ScheduledTask -TaskName "Monitor4890Events" -Action $action -Trigger $trigger

5. Exporter les résultats vers une plateforme SIEM ou d'analyse de journaux pour une tendance à long terme

Déployez des solutions de surveillance de niveau entreprise pour gérer les événements 4890 à haut volume et mettre en œuvre des alertes intelligentes pour les incidents de sécurité.

1. Configurez Windows Event Forwarding (WEF) pour la collecte centralisée :

   # Sur le serveur collecteur
   wecutil cs subscription.xml
   
   # contenu de subscription.xml :
   <Subscription xmlns="http://schemas.microsoft.com/2006/03/windows/events/subscription">
       <SubscriptionId>Security4890Collection</SubscriptionId>
       <Query><![CDATA[
           <QueryList>
               <Query Id="0">
                   <Select Path="Security">*[System[EventID=4890]]</Select>
               </Query>
           </QueryList>
       ]]></Query>
   </Subscription>

2. Configurez des traces personnalisées Windows Performance Toolkit (WPT) pour une analyse détaillée :

   wpr -start GeneralProfile -start CPU -start FileIO

3. Configurez Microsoft Sentinel (si disponible) avec des requêtes KQL personnalisées :

   SecurityEvent
   | where EventID == 4890
   | where TimeGenerated > ago(1h)
   | summarize count() by Account, ObjectName
   | where count_ > 100

4. Mettez en œuvre une surveillance en temps réel basée sur PowerShell :

   # Surveillance des événements en temps réel
   Register-WmiEvent -Query "SELECT * FROM Win32_NTLogEvent WHERE LogFile='Security' AND EventCode=4890" -Action {
       $event = $Event.SourceEventArgs.NewEvent
       if ($event.Message -match "sensitive_pattern") {
           Send-MailMessage -To "security@company.com" -Subject "Suspicious 4890 Event" -Body $event.Message
       }
   }

5. Créez des vues personnalisées du journal des événements pour un triage rapide :
   • Ouvrez Observateur d'événements → Vues personnalisées → Créer une vue personnalisée
   • Filtrez par ID d'événement 4890 et critères spécifiques
   • Enregistrez sous "Accès aux objets critiques" pour un accès rapide
6. Intégrez avec des solutions SIEM tierces en utilisant le transfert syslog standard ou des connecteurs API