ID d'événement Windows 4906 – Microsoft-Windows-Security-Auditing : Une tentative d'enregistrement d'une source d'événement de sécurité a été effectuée

Commencez par examiner les détails spécifiques de l'occurrence de l'ID d'événement 4906 pour comprendre ce qui a déclenché la tentative d'enregistrement.

1. Ouvrez Observateur d'événements en appuyant sur Win + R, en tapant eventvwr.msc, et en appuyant sur Entrée
2. Accédez à Journaux Windows → Sécurité
3. Filtrez pour l'ID d'événement 4906 en cliquant avec le bouton droit sur le journal Sécurité et en sélectionnant Filtrer le journal actuel
4. Entrez 4906 dans le champ ID d'événements et cliquez sur OK
5. Double-cliquez sur une entrée récente de l'ID d'événement 4906 pour voir des informations détaillées
6. Examinez les champs clés suivants dans les détails de l'événement:
   • Nom du processus: L'exécutable qui a initié l'enregistrement
   • ID du processus: Le PID du processus demandeur
   • Nom du compte: Le contexte utilisateur sous lequel l'enregistrement a eu lieu
   • Nom de la source: Le nom de la source de l'événement en cours d'enregistrement
7. Recoupez le nom du processus avec des applications connues pour vérifier la légitimité

Utilisez PowerShell pour analyser de manière programmatique les occurrences de l'ID d'événement 4906 et extraire des informations détaillées pour l'enquête.

1. Ouvrez PowerShell en tant qu'administrateur
2. Interrogez les entrées récentes de l'ID d'événement 4906 :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4906} -MaxEvents 20 | Format-Table TimeCreated, Id, LevelDisplayName, Message -Wrap

3. Extrayez les propriétés détaillées de l'événement pour l'analyse :

   $events = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4906} -MaxEvents 10
   foreach ($event in $events) {
       $eventXML = [xml]$event.ToXml()
       $processName = $eventXML.Event.EventData.Data | Where-Object {$_.Name -eq 'ProcessName'} | Select-Object -ExpandProperty '#text'
       $sourceName = $eventXML.Event.EventData.Data | Where-Object {$_.Name -eq 'SourceName'} | Select-Object -ExpandProperty '#text'
       Write-Host "Time: $($event.TimeCreated) | Process: $processName | Source: $sourceName"
   }

4. Filtrez les événements par plage horaire spécifique si vous enquêtez sur un incident particulier :

   $startTime = (Get-Date).AddHours(-24)
   $endTime = Get-Date
   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4906; StartTime=$startTime; EndTime=$endTime}

5. Exportez les résultats pour une analyse plus approfondie :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4906} -MaxEvents 50 | Export-Csv -Path "C:\Temp\Event4906_Analysis.csv" -NoTypeInformation

Examinez le Registre Windows pour vérifier les enregistrements des sources d'événements et identifier toute entrée suspecte ou non autorisée.

1. Ouvrez l'Éditeur du Registre en appuyant sur Win + R, en tapant regedit, et en appuyant sur Entrée
2. Accédez à l'emplacement principal du registre des journaux d'événements :
   HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\EventLog
3. Examinez la sous-clé Sécurité pour voir les sources d'événements de sécurité enregistrées :
   HKLM\SYSTEM\CurrentControlSet\Services\EventLog\Security
4. Cherchez les entrées de sources d'événements récemment créées ou suspectes en vérifiant :
   • Les noms de sous-clés qui ne correspondent pas aux applications connues
   • Les sources d'événements avec des noms inhabituels ou génériques
   • Les horodatages récemment modifiés sur les clés de registre
5. Pour chaque source d'événement suspecte, examinez les valeurs de registre suivantes :
   • EventMessageFile : Pointe vers la DLL contenant les messages d'événements
   • TypesSupported : Définit quels types d'événements la source peut générer
   • CategoryMessageFile : Spécifie les ressources de messages de catégorie
6. Recoupez le chemin EventMessageFile avec le processus qui a déclenché l'ID d'événement 4906
7. Utilisez PowerShell pour interroger les informations du registre de manière programmatique :

   Get-ChildItem "HKLM:\SYSTEM\CurrentControlSet\Services\EventLog\Security" | ForEach-Object {
       $sourceName = $_.PSChildName
       $messageFile = Get-ItemProperty -Path $_.PSPath -Name "EventMessageFile" -ErrorAction SilentlyContinue
       if ($messageFile) {
           Write-Host "Source: $sourceName | Message File: $($messageFile.EventMessageFile)"
       }
   }

Enquêter sur les processus et les fichiers associés à l'ID d'événement 4906 pour déterminer si les tentatives d'enregistrement sont légitimes ou potentiellement malveillantes.

1. Utilisez Process Monitor (ProcMon) pour surveiller en temps réel l'activité du registre et des fichiers lors des enregistrements de sources d'événements
2. Téléchargez ProcMon depuis Microsoft Sysinternals si ce n'est pas déjà disponible
3. Configurez les filtres ProcMon pour se concentrer sur l'activité liée au journal des événements:
   • Définissez le filtre d'activité des processus et des threads pour inclure les opérations du registre
   • Ajoutez un filtre de chemin contenant "EventLog" pour capturer l'accès pertinent au registre
   • Incluez l'activité du système de fichiers pour les exécutables mentionnés dans l'ID d'événement 4906
4. Analysez les fichiers exécutables qui ont déclenché l'enregistrement de la source d'événement:

   # Obtenez des informations sur les fichiers pour les processus qui ont enregistré des sources d'événements
   $events = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4906} -MaxEvents 10
   foreach ($event in $events) {
       $eventXML = [xml]$event.ToXml()
       $processPath = $eventXML.Event.EventData.Data | Where-Object {$_.Name -eq 'ProcessName'} | Select-Object -ExpandProperty '#text'
       if (Test-Path $processPath) {
           $fileInfo = Get-ItemProperty -Path $processPath
           $signature = Get-AuthenticodeSignature -FilePath $processPath
           Write-Host "File: $processPath"
           Write-Host "Version: $($fileInfo.VersionInfo.FileVersion)"
           Write-Host "Signature: $($signature.Status)"
           Write-Host "Signer: $($signature.SignerCertificate.Subject)"
           Write-Host "---"
       }
   }

5. Vérifiez les journaux de Windows Defender ou d'autres logiciels de sécurité pour toute détection liée aux processus
6. Vérifiez les signatures numériques et la validité des certificats pour les exécutables suspects
7. Utilisez Autoruns de Sysinternals pour identifier si des sources d'événements suspectes sont configurées pour un démarrage automatique

Configurez une surveillance complète pour l'ID d'événement 4906 afin de détecter les enregistrements de sources d'événements non autorisés et d'établir des modèles de comportement de référence.

1. Créez un abonnement personnalisé Windows Event Forwarding (WEF) pour centraliser la surveillance de l'ID d'événement 4906 sur plusieurs systèmes
2. Configurez une tâche planifiée pour exécuter des scripts de surveillance PowerShell:

   # Créer un script de surveillance : Monitor-EventSource4906.ps1
   $lastRun = Get-Date (Get-Content "C:\Scripts\LastRun.txt" -ErrorAction SilentlyContinue)
   if (-not $lastRun) { $lastRun = (Get-Date).AddHours(-1) }
   
   $newEvents = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4906; StartTime=$lastRun}
   
   foreach ($event in $newEvents) {
       $eventXML = [xml]$event.ToXml()
       $processName = $eventXML.Event.EventData.Data | Where-Object {$_.Name -eq 'ProcessName'} | Select-Object -ExpandProperty '#text'
       $sourceName = $eventXML.Event.EventData.Data | Where-Object {$_.Name -eq 'SourceName'} | Select-Object -ExpandProperty '#text'
       
       # Définir une liste blanche de processus connus
       $knownProcesses = @('setup.exe', 'msiexec.exe', 'services.exe', 'svchost.exe')
       
       if ($processName -notin $knownProcesses) {
           # Envoyer une alerte pour un processus inconnu enregistrant une source d'événement
           Write-EventLog -LogName Application -Source "EventSourceMonitor" -EventId 1001 -EntryType Warning -Message "Processus inconnu $processName a enregistré la source d'événement $sourceName"
       }
   }
   
   Get-Date | Out-File "C:\Scripts\LastRun.txt"

3. Configurez le Planificateur de tâches Windows pour exécuter le script de surveillance toutes les 15 minutes
4. Configurez l'intégration SIEM pour collecter et analyser les modèles de l'ID d'événement 4906
5. Créez une documentation de référence des sources d'événements légitimes dans votre environnement
6. Implémentez des paramètres de stratégie de groupe pour restreindre les autorisations d'enregistrement des sources d'événements là où c'est approprié:
   • Accédez à Configuration de l'ordinateur → Paramètres Windows → Paramètres de sécurité → Politiques locales → Attribution des droits utilisateur
   • Examinez et configurez la politique Générer des audits de sécurité
7. Utilisez Windows Performance Toolkit (WPT) pour une corrélation et une analyse avancées des événements dans des environnements complexes