ID d'événement Windows 4933 – Microsoft-Windows-Security-Auditing : Création de la table de stratégie d'audit par utilisateur

Commencez par examiner les détails de l'événement pour comprendre le contexte et le moment de la création de la table de politique d'audit.

1. Ouvrez Observateur d'événements en appuyant sur Win + R, en tapant eventvwr.msc, et en appuyant sur Entrée
2. Accédez à Journaux Windows → Sécurité
3. Filtrez pour l'ID d'événement 4933 en cliquant avec le bouton droit sur le journal Sécurité et en sélectionnant Filtrer le journal actuel
4. Entrez 4933 dans le champ ID d'événements et cliquez sur OK
5. Double-cliquez sur l'ID d'événement 4933 le plus récent pour voir des informations détaillées
6. Notez l'horodatage, le contexte utilisateur, et tout détail supplémentaire dans la description de l'événement

Utilisez PowerShell pour interroger plusieurs instances :

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4933} -MaxEvents 20 | Format-Table TimeCreated, Id, LevelDisplayName, Message -Wrap

Examinez les paramètres actuels de la stratégie d'audit par utilisateur pour comprendre ce qui a déclenché la création de la table.

1. Ouvrez une session d'invite de commandes ou PowerShell avec élévation de privilèges
2. Exécutez la commande suivante pour afficher les paramètres actuels de la stratégie d'audit :

auditpol /get /category:*

3. Pour vérifier spécifiquement les stratégies d'audit par utilisateur :

auditpol /get /user:* /category:*

4. Examinez les paramètres de la stratégie de groupe en ouvrant gpedit.msc (Éditeur de stratégie de groupe locale)
5. Accédez à Configuration de l'ordinateur → Paramètres Windows → Paramètres de sécurité → Configuration avancée de la stratégie d'audit
6. Vérifiez si des stratégies d'audit par utilisateur sont configurées sous Stratégies d'audit
7. Vérifiez que la sous-catégorie Changement de stratégie d'audit est activée pour suivre les modifications futures de la stratégie

Enquêter pour savoir si des modifications de la stratégie de groupe ont déclenché la création de la table de stratégie d'audit.

1. Vérifier l'état d'application de la stratégie de groupe :

gpresult /r /scope:computer

2. Générer un rapport détaillé de la stratégie de groupe :

gpresult /h C:\temp\gpreport.html /scope:computer

3. Ouvrir le rapport HTML généré et rechercher les paramètres de la stratégie d'audit
4. Vérifier le journal des événements de la stratégie de groupe pour les événements d'application de la stratégie :

Get-WinEvent -FilterHashtable @{LogName='System'; ProviderName='Microsoft-Windows-GroupPolicy'} -MaxEvents 50 | Where-Object {$_.TimeCreated -gt (Get-Date).AddHours(-24)}

5. Forcer une actualisation de la stratégie de groupe pour tester si l'événement se reproduit :

gpupdate /force

6. Surveiller le journal de sécurité pour les nouvelles entrées d'ID d'événement 4933 après l'actualisation de la stratégie
7. Si dans un environnement de domaine, vérifier les journaux d'événements du contrôleur de domaine pour les problèmes de réplication de la stratégie

Examinez le service du sous-système de l'autorité de sécurité locale et les composants associés qui gèrent les politiques d'audit.

1. Vérifiez l'état du service LSASS et les événements de redémarrage récents :

Get-Service -Name LSASS | Format-List *

Get-WinEvent -FilterHashtable @{LogName='System'; Id=7034,7035,7036} | Where-Object {$_.Message -like '*LSASS*'} | Select-Object TimeCreated, Id, Message

3. Examinez les événements d'initialisation du sous-système de sécurité :

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4608,4609} -MaxEvents 10

4. Vérifiez la corruption de la base de données de la politique de sécurité ou les événements de reconstruction :

Get-WinEvent -FilterHashtable @{LogName='System'; ProviderName='Microsoft-Windows-Kernel-General'} | Where-Object {$_.Message -like '*security*'}

5. Examinez l'emplacement du registre de la politique de sécurité pour les modifications récentes :

Get-ItemProperty -Path "HKLM\SECURITY\Policy" -ErrorAction SilentlyContinue

Activez le traçage détaillé pour les opérations de politique d'audit afin de capturer des informations de diagnostic complètes.

1. Activez la journalisation de débogage de la politique d'audit en modifiant le registre :

New-ItemProperty -Path "HKLM\SYSTEM\CurrentControlSet\Control\Lsa" -Name "AuditBaseObjects" -Value 1 -PropertyType DWORD -Force

2. Activez la journalisation d'audit et d'authentification LSA :

auditpol /set /subcategory:"Authentication Policy Change" /success:enable /failure:enable

auditpol /set /subcategory:"Authorization Policy Change" /success:enable /failure:enable

3. Utilisez Windows Performance Toolkit (WPT) pour tracer l'activité du sous-système de sécurité :

# Démarrer la trace ETW pour les opérations LSA
wpr -start GeneralProfile -filemode

4. Reproduisez le problème en redémarrant le système ou en forçant une actualisation de la politique
5. Arrêtez la trace et analysez :

wpr -stop C:\temp\lsa_trace.etl

6. Utilisez Event Tracing for Windows (ETW) pour surveiller les événements de politique d'audit en temps réel :

# Script PowerShell pour surveiller les événements ETW de la politique d'audit
$session = New-EtwTraceSession -Name "AuditPolicyTrace" -LogFileMode 0x8000100
Add-EtwTraceProvider -SessionName "AuditPolicyTrace" -Guid "{54849625-5478-4994-A5BA-3E3B0328C30D}" -Level 5
Start-EtwTraceSession -Name "AuditPolicyTrace"