ID d'événement Windows 4897 – Microsoft-Windows-Security-Auditing : Descripteur de sécurité du modèle de services de certificats modifié

Commencez par examiner les détails spécifiques de l'ID d'événement 4897 pour comprendre quel modèle a été modifié et par qui.

1. Ouvrez Observateur d'événements sur votre autorité de certification ou contrôleur de domaine
2. Accédez à Journaux Windows → Sécurité
3. Filtrez pour l'ID d'événement 4897 en utilisant l'option de filtre
4. Double-cliquez sur l'événement pour voir les informations détaillées, y compris :
   • Nom du modèle - quel modèle de certificat a été modifié
   • Sujet - le principal de sécurité qui a effectué le changement
   • Informations sur le processus - l'application ou le service qui a initié le changement
   • ID de connexion - identifiant de session pour la corrélation avec les événements de connexion
5. Notez l'horodatage et corrélez avec toute activité administrative PKI récente

Utilisez PowerShell pour interroger plusieurs événements efficacement :

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4897} -MaxEvents 50 | Select-Object TimeCreated, Id, LevelDisplayName, Message | Format-Table -Wrap

Examinez les autorisations actuelles du modèle de certificat pour comprendre l'impact du changement du descripteur de sécurité.

1. Ouvrez le composant logiciel enfichable Modèles de certificats MMC sur votre serveur CA
2. Cliquez avec le bouton droit sur le modèle affecté et sélectionnez Propriétés
3. Cliquez sur l'onglet Sécurité pour examiner les autorisations actuelles
4. Documentez les autorisations actuelles pour les comparer avec les bases de référence précédentes
5. Vérifiez la présence d'utilisateurs ou de groupes inattendus avec des autorisations d'inscription

Utilisez PowerShell pour auditer les autorisations des modèles de manière programmatique :

# Obtenir les informations de sécurité du modèle de certificat
Import-Module ActiveDirectory
$templateName = "WebServer" # Remplacez par le nom de votre modèle
$template = Get-ADObject -Filter "Name -eq '$templateName'" -SearchBase "CN=Certificate Templates,CN=Public Key Services,CN=Services,CN=Configuration,DC=yourdomain,DC=com" -Properties nTSecurityDescriptor
$template.nTSecurityDescriptor.Access | Format-Table IdentityReference, AccessControlType, ActiveDirectoryRights -AutoSize

Comparez les résultats avec votre base de référence de sécurité documentée pour identifier les changements non autorisés.

Recoupez l'ID d'événement 4897 avec d'autres événements de sécurité pour obtenir une image complète de la session administrative.

1. Identifiez l'ID de connexion à partir des détails de l'événement 4897
2. Recherchez l'ID d'événement 4624 (connexion réussie) avec le même ID de connexion
3. Cherchez l'ID d'événement 4634 (déconnexion) pour déterminer la durée de la session
4. Vérifiez d'autres événements liés aux certificats (plage 4886-4898) pendant la même période
5. Examinez l'ID d'événement 4719 (modifications de la politique d'audit système) si les paramètres d'audit ont été modifiés

Utilisez ce script PowerShell pour corréler les événements par ID de connexion :

# Extraire l'ID de connexion de l'événement 4897
$event4897 = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4897} -MaxEvents 1
$logonId = ($event4897.Message | Select-String "Logon ID:\s+(\S+)").Matches[0].Groups[1].Value

# Trouver les événements de connexion associés
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4624,4634} | Where-Object {$_.Message -match $logonId} | Select-Object TimeCreated, Id, Message

Cette corrélation aide à déterminer si le changement de modèle faisait partie d'un travail administratif légitime ou d'une activité potentiellement non autorisée.

Configurez une surveillance complète pour suivre les futurs changements de sécurité des modèles de certificats et établissez des mécanismes d'alerte.

1. Configurez la stratégie d'audit avancée pour un suivi détaillé de la PKI:

   # Activer l'audit détaillé des services de certificats
   auditpol /set /subcategory:"Certification Services" /success:enable /failure:enable

2. Créez une vue personnalisée dans le Visualiseur d'événements pour les événements de sécurité PKI:
   • Ouvrez le Visualiseur d'événements et sélectionnez Vues personnalisées
   • Cliquez sur Créer une vue personnalisée
   • Définissez les ID d'événement : 4886,4887,4888,4889,4890,4891,4892,4893,4894,4895,4896,4897,4898
   • Enregistrez sous "Événements de sécurité PKI"
3. Configurez le transfert d'événements Windows pour centraliser les journaux d'audit PKI
4. Configurez l'intégration SIEM pour alerter sur les occurrences de l'ID d'événement 4897
5. Établissez une documentation de référence des permissions des modèles de certificats

Créez un script de surveillance PowerShell pour l'alerte automatisée :

# Surveiller l'ID d'événement 4897 et envoyer des alertes
$action = New-ScheduledTaskAction -Execute "PowerShell.exe" -Argument "-Command 'Get-WinEvent -FilterHashtable @{LogName=\"Security\"; Id=4897; StartTime=(Get-Date).AddMinutes(-5)} | ForEach-Object {Send-MailMessage -To admin@company.com -Subject \"Changement de sécurité du modèle PKI\" -Body $_.Message -SmtpServer mail.company.com}'"
$trigger = New-ScheduledTaskTrigger -Once -At (Get-Date) -RepetitionInterval (New-TimeSpan -Minutes 5)
Register-ScheduledTask -TaskName "PKI-Monitor-4897" -Action $action -Trigger $trigger

Effectuez une analyse médico-légale détaillée lorsque l'ID d'événement 4897 indique des incidents de sécurité potentiels ou des modifications non autorisées de modèles.

1. Exportez les journaux de sécurité pour une analyse hors ligne:

   # Exporter le journal de sécurité avec les événements PKI
   wevtutil epl Security C:\Forensics\Security-PKI-$(Get-Date -Format 'yyyyMMdd-HHmmss').evtx "/q:*[System[(EventID=4886 or EventID=4887 or EventID=4888 or EventID=4889 or EventID=4890 or EventID=4891 or EventID=4892 or EventID=4893 or EventID=4894 or EventID=4895 or EventID=4896 or EventID=4897 or EventID=4898)]]"

2. Analysez les modifications des modèles de certificats à l'aide des métadonnées de réplication AD:

   # Vérifier les métadonnées de réplication AD pour les modifications de modèles
   Import-Module ActiveDirectory
   $templateDN = "CN=WebServer,CN=Certificate Templates,CN=Public Key Services,CN=Services,CN=Configuration,DC=yourdomain,DC=com"
   Get-ADReplicationAttributeMetadata -Object $templateDN -Server $env:COMPUTERNAME | Where-Object {$_.AttributeName -eq "nTSecurityDescriptor"} | Format-List

3. Examinez les modèles d'émission de certificats avant et après le changement de sécurité
4. Si des modifications non autorisées sont confirmées:
   • Rétablissez immédiatement les autorisations de modèle à un état connu bon
   • Révoquez tous les certificats émis avec des autorisations non autorisées
   • Réinitialisez les mots de passe des comptes administratifs compromis
   • Examinez et renforcez les procédures administratives PKI
5. Documentez les résultats et mettez en œuvre des contrôles supplémentaires:
   • Activez les flux de travail d'approbation des modifications de modèles de certificats
   • Mettez en œuvre la gestion des accès privilégiés pour l'administration PKI
   • Établissez des examens et audits réguliers de la sécurité PKI