ID d'événement Windows 4907 – Microsoft-Windows-Security-Auditing : Une poignée vers un objet a été demandée

Commencez par examiner les détails spécifiques de l'ID d'événement 4907 pour comprendre le contexte de la demande d'accès.

1. Ouvrez Observateur d'événements en appuyant sur Win + R, en tapant eventvwr.msc, et en appuyant sur Entrée
2. Accédez à Journaux Windows → Sécurité
3. Filtrez pour l'ID d'événement 4907 en cliquant avec le bouton droit sur le journal Sécurité et en sélectionnant Filtrer le journal actuel
4. Dans la boîte de dialogue de filtrage, entrez 4907 dans le champ ID d'événements et cliquez sur OK
5. Double-cliquez sur un événement 4907 pour voir des informations détaillées, y compris :
   • Sujet : Compte utilisateur effectuant la demande
   • Objet : Nom et type de l'objet cible
   • Informations sur le processus : ID et nom du processus
   • Informations sur la demande d'accès : Droits d'accès demandés
6. Notez le champ Nom de l'objet pour identifier quel objet spécifique a été accédé
7. Vérifiez la valeur du Masque d'accès pour comprendre le type d'accès demandé

Utilisez PowerShell pour interroger et analyser efficacement les occurrences de l'ID d'événement 4907 sur des plages de temps.

1. Ouvrez PowerShell en tant qu'administrateur
2. Interrogez les entrées récentes de l'ID d'événement 4907 :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4907} -MaxEvents 50 | Format-Table TimeCreated, Id, LevelDisplayName, Message -Wrap

3. Filtrez les événements par plage de temps spécifique :

   $StartTime = (Get-Date).AddHours(-24)
   $EndTime = Get-Date
   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4907; StartTime=$StartTime; EndTime=$EndTime}

4. Extrayez des propriétés d'événement spécifiques pour l'analyse :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4907} -MaxEvents 100 | ForEach-Object {
       $Event = [xml]$_.ToXml()
       [PSCustomObject]@{
           TimeCreated = $_.TimeCreated
           ProcessName = $Event.Event.EventData.Data | Where-Object {$_.Name -eq 'ProcessName'} | Select-Object -ExpandProperty '#text'
           ObjectName = $Event.Event.EventData.Data | Where-Object {$_.Name -eq 'ObjectName'} | Select-Object -ExpandProperty '#text'
           SubjectUserName = $Event.Event.EventData.Data | Where-Object {$_.Name -eq 'SubjectUserName'} | Select-Object -ExpandProperty '#text'
       }
   }

5. Exportez les résultats vers un fichier CSV pour une analyse plus approfondie :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4907} -MaxEvents 1000 | Export-Csv -Path "C:\Temp\Event4907_Analysis.csv" -NoTypeInformation

Configurez correctement les politiques d'audit pour garantir que l'ID d'événement 4907 capture les événements de sécurité pertinents sans surcharger le système.

1. Ouvrez Éditeur de stratégie de groupe locale en exécutant gpedit.msc
2. Accédez à Configuration de l'ordinateur → Paramètres Windows → Paramètres de sécurité → Configuration avancée de la stratégie d'audit → Stratégies d'audit → Accès aux objets
3. Configurez les politiques suivantes:
   • Audit du système de fichiers: Réglez sur Succès et Échec pour une surveillance complète
   • Audit du registre: Activez pour la surveillance de l'accès au registre
   • Audit de la manipulation des poignées: Activez pour suivre les opérations de poignée
4. Appliquez un audit spécifique aux objets critiques en utilisant auditpol.exe:

   auditpol /set /subcategory:"File System" /success:enable /failure:enable
   auditpol /set /subcategory:"Registry" /success:enable /failure:enable
   auditpol /set /subcategory:"Handle Manipulation" /success:enable /failure:enable

5. Configurez la SACL (Liste de contrôle d'accès système) sur des fichiers ou dossiers spécifiques:

   $Path = "C:\Sensitive\Data"
   $AccessRule = New-Object System.Security.AccessControl.FileSystemAuditRule("Everyone", "FullControl", "ContainerInherit,ObjectInherit", "None", "Success,Failure")
   $ACL = Get-Acl $Path
   $ACL.SetAuditRule($AccessRule)
   Set-Acl -Path $Path -AclObject $ACL

6. Vérifiez les paramètres actuels de la politique d'audit:

   auditpol /get /category:"Object Access"

Effectuer une analyse avancée pour identifier les modèles d'accès suspects et corréler l'ID d'événement 4907 avec d'autres événements de sécurité.

1. Créer un script PowerShell pour analyser les modèles d'accès:

   # Analyser les modèles de l'événement 4907
   $Events = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4907} -MaxEvents 5000
   $Analysis = $Events | ForEach-Object {
       $Event = [xml]$_.ToXml()
       $EventData = $Event.Event.EventData.Data
       [PSCustomObject]@{
           Time = $_.TimeCreated
           User = ($EventData | Where-Object {$_.Name -eq 'SubjectUserName'}).'#text'
           Process = ($EventData | Where-Object {$_.Name -eq 'ProcessName'}).'#text'
           Object = ($EventData | Where-Object {$_.Name -eq 'ObjectName'}).'#text'
           AccessMask = ($EventData | Where-Object {$_.Name -eq 'AccessMask'}).'#text'
       }
   }
   
   # Regrouper par utilisateur et processus pour identifier les modèles
   $UserPatterns = $Analysis | Group-Object User | Sort-Object Count -Descending
   $ProcessPatterns = $Analysis | Group-Object Process | Sort-Object Count -Descending
   
   Write-Host "Utilisateurs principaux par demandes d'accès :"
   $UserPatterns | Select-Object Name, Count | Format-Table
   
   Write-Host "Processus principaux par demandes d'accès :"
   $ProcessPatterns | Select-Object Name, Count | Format-Table

2. Corréler avec les événements de connexion échouée (ID d'événement 4625):

   # Trouver une corrélation potentielle entre les connexions échouées et l'accès aux objets
   $FailedLogons = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625} -MaxEvents 1000
   $ObjectAccess = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4907} -MaxEvents 1000
   
   # Analyser la corrélation temporelle (dans les 5 minutes)
   $Correlations = foreach ($Logon in $FailedLogons) {
       $LogonTime = $Logon.TimeCreated
       $RelatedAccess = $ObjectAccess | Where-Object {
           $_.TimeCreated -gt $LogonTime.AddMinutes(-5) -and
           $_.TimeCreated -lt $LogonTime.AddMinutes(5)
       }
       if ($RelatedAccess) {
           [PSCustomObject]@{
               FailedLogonTime = $LogonTime
               RelatedAccessCount = $RelatedAccess.Count
               AccessEvents = $RelatedAccess
           }
       }
   }

3. Configurer la surveillance automatisée avec le Planificateur de tâches Windows:

   # Créer un script de surveillance
   $ScriptPath = "C:\Scripts\Monitor4907.ps1"
   $ScriptContent = @'
   $RecentEvents = Get-WinEvent -FilterHashtable @{LogName="Security"; Id=4907; StartTime=(Get-Date).AddMinutes(-15)}
   if ($RecentEvents.Count -gt 100) {
       Write-EventLog -LogName Application -Source "Security Monitor" -EventId 1001 -EntryType Warning -Message "Volume élevé d'événements ID 4907 détecté : $($RecentEvents.Count) événements dans les 15 dernières minutes"
   }
   '@
   $ScriptContent | Out-File -FilePath $ScriptPath -Encoding UTF8
   
   # Enregistrer la tâche planifiée
   Register-ScheduledTask -TaskName "Monitor Event 4907" -Trigger (New-ScheduledTaskTrigger -RepetitionInterval (New-TimeSpan -Minutes 15) -Once -At (Get-Date)) -Action (New-ScheduledTaskAction -Execute "PowerShell.exe" -Argument "-File $ScriptPath")

Configurez le filtrage avancé et intégrez l'ID d'événement 4907 avec les systèmes de gestion des informations et des événements de sécurité (SIEM) pour la surveillance d'entreprise.

1. Créez des filtres XML personnalisés pour le Visualiseur d'événements :

   <QueryList>
     <Query Id="0" Path="Security">
       <Select Path="Security">
         *[System[EventID=4907]] and
         *[EventData[Data[@Name='ObjectName'] and (contains(., 'C:\Sensitive') or contains(., 'HKLM\SOFTWARE\Company'))]]
       </Select>
     </Query>
   </QueryList>

2. Configurez le transfert d'événements Windows (WEF) pour la collecte centralisée :

   wecutil cs C:\Config\4907-Subscription.xml

   Où l'abonnement XML inclut :

   <Subscription xmlns="http://schemas.microsoft.com/2006/03/windows/events/subscription">
       <SubscriptionId>Event4907Collection</SubscriptionId>
       <Description>Collecter l'ID d'événement 4907 des ordinateurs du domaine</Description>
       <Query><![CDATA[
           <QueryList>
               <Query Id="0">
                   <Select Path="Security">Event[System[EventID=4907]]</Select>
               </Query>
           </QueryList>
       ]]></Query>
   </Subscription>

3. Exportez les événements pour l'ingestion SIEM en utilisant PowerShell :

   # Exporter en JSON pour la consommation SIEM
   $Events = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4907} -MaxEvents 1000
   $JsonOutput = $Events | ForEach-Object {
       $Event = [xml]$_.ToXml()
       $EventData = @{}
       $Event.Event.EventData.Data | ForEach-Object {
           $EventData[$_.Name] = $_.'#text'
       }
       [PSCustomObject]@{
           Timestamp = $_.TimeCreated.ToString('yyyy-MM-ddTHH:mm:ss.fffZ')
           EventId = $_.Id
           Level = $_.LevelDisplayName
           Computer = $_.MachineName
           EventData = $EventData
       }
   } | ConvertTo-Json -Depth 3
   
   $JsonOutput | Out-File -FilePath "C:\Logs\Event4907_$(Get-Date -Format 'yyyyMMdd_HHmmss').json" -Encoding UTF8

4. Configurez la rotation et les politiques de rétention des journaux :

   # Définir la taille et la rétention du journal de sécurité
   $LogName = "Security"
   $MaxSize = 1GB
   $Retention = "OverwriteOlder"
   $RetentionDays = 90
   
   Limit-EventLog -LogName $LogName -MaximumSize $MaxSize -OverflowAction $Retention -RetentionDays $RetentionDays

5. Créez des règles d'alerte pour les modèles suspects :

   # Alerte sur les modèles d'accès inhabituels
   $Threshold = 50
   $TimeWindow = 10 # minutes
   $RecentEvents = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4907; StartTime=(Get-Date).AddMinutes(-$TimeWindow)}
   
   if ($RecentEvents.Count -gt $Threshold) {
       $AlertMessage = "ALERTE DE SÉCURITÉ : Activité d'accès à l'objet inhabituelle détectée. $($RecentEvents.Count) occurrences de l'ID d'événement 4907 dans les dernières $TimeWindow minutes."
       Write-EventLog -LogName Application -Source "Security Monitor" -EventId 2001 -EntryType Warning -Message $AlertMessage
       
       # Envoyer une notification par email (configurer les paramètres SMTP)
       Send-MailMessage -To "security@company.com" -From "monitoring@company.com" -Subject "Alerte de sécurité : Volume élevé d'accès aux objets" -Body $AlertMessage -SmtpServer "smtp.company.com"
   }