ID d'événement Windows 4935 – Microsoft-Windows-Security-Auditing : Tentatives maximales de réinitialisation de mot de passe quotidiennes dépassées

Commencez par examiner les détails spécifiques de l'ID d'événement 4935 pour comprendre l'étendue et la source des tentatives de réinitialisation de mot de passe.

1. Ouvrez Observateur d'événements → Journaux Windows → Sécurité
2. Filtrez pour l'ID d'événement 4935 en utilisant la commande PowerShell suivante :

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4935} -MaxEvents 50 | Format-Table TimeCreated, Id, LevelDisplayName, Message -Wrap

3. Examinez les détails de l'événement pour :
• Nom du compte cible et domaine
• Poste de travail source ou adresse IP
• Modèles de timestamp indiquant la fréquence
• Informations associées au type de connexion
4. Faites une référence croisée avec l'ID d'événement 4625 (tentatives de connexion échouées) pour identifier les attaques coordonnées :

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625,4935; StartTime=(Get-Date).AddHours(-24)} | Sort-Object TimeCreated

Vérifiez et ajustez les seuils de tentative de réinitialisation de mot de passe pour équilibrer la sécurité avec l'utilisabilité.

1. Ouvrez Stratégie de sécurité locale ou Console de gestion des stratégies de groupe
2. Accédez à Configuration de l'ordinateur → Paramètres Windows → Paramètres de sécurité → Stratégies de compte → Stratégie de verrouillage de compte
3. Examinez les paramètres suivants :
• Seuil de verrouillage de compte
• Durée de verrouillage de compte
• Réinitialiser le compteur de verrouillage de compte après
4. Vérifiez le registre pour les paramètres spécifiques de réinitialisation de mot de passe :

Get-ItemProperty -Path "HKLM\SYSTEM\CurrentControlSet\Services\Netlogon\Parameters" -Name "MaximumPasswordAge" -ErrorAction SilentlyContinue

5. Pour les environnements de domaine, vérifiez les paramètres de stratégie de groupe :

gpresult /h C:\temp\gpresult.html

6. Examinez les paramètres Azure AD Connect si vous utilisez une identité hybride :

Get-ADSyncScheduler

Analysez la source réseau des tentatives de réinitialisation de mot de passe pour identifier les menaces potentielles ou les systèmes compromis.

1. Extrait les adresses IP sources des entrées Event ID 4935 :

$Events = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4935; StartTime=(Get-Date).AddDays(-7)}
$Events | ForEach-Object {
    $XML = [xml]$_.ToXml()
    [PSCustomObject]@{
        TimeCreated = $_.TimeCreated
        TargetUserName = $XML.Event.EventData.Data | Where-Object {$_.Name -eq 'TargetUserName'} | Select-Object -ExpandProperty '#text'
        WorkstationName = $XML.Event.EventData.Data | Where-Object {$_.Name -eq 'WorkstationName'} | Select-Object -ExpandProperty '#text'
        IpAddress = $XML.Event.EventData.Data | Where-Object {$_.Name -eq 'IpAddress'} | Select-Object -ExpandProperty '#text'
    }
} | Group-Object IpAddress | Sort-Object Count -Descending

2. Vérifiez les journaux du pare-feu Windows pour un contexte supplémentaire :

Get-WinEvent -FilterHashtable @{LogName='Microsoft-Windows-Windows Firewall With Advanced Security/Firewall'; StartTime=(Get-Date).AddHours(-24)} | Where-Object {$_.Message -like '*password*' -or $_.Message -like '*reset*'}

3. Examinez les journaux IIS si vous exécutez des portails de réinitialisation de mot de passe basés sur le web :

Get-Content "C:\inetpub\logs\LogFiles\W3SVC1\*.log" | Select-String "password|reset" | Select-Object -Last 50

4. Utilisez netstat pour vérifier les connexions suspectes :

netstat -an | findstr :443

Configurez une surveillance proactive pour détecter et répondre aux modèles d'abus de réinitialisation de mot de passe avant qu'ils n'affectent les utilisateurs.

1. Créez un abonnement personnalisé de transfert d'événements Windows pour l'ID d'événement 4935 :

<Subscription xmlns="http://schemas.microsoft.com/2006/03/windows/events/subscription">
    <SubscriptionId>PasswordResetMonitoring</SubscriptionId>
    <SubscriptionType>SourceInitiated</SubscriptionType>
    <Description>Surveiller les tentatives excessives de réinitialisation de mot de passe</Description>
    <Enabled>true</Enabled>
    <Uri>http://schemas.microsoft.com/wbem/wsman/1/windows/EventLog</Uri>
    <Query><![CDATA[
        <QueryList>
            <Query Id="0">
                <Select Path="Security">*[System[(EventID=4935)]]</Select>
            </Query>
        </QueryList>
    ]]></Query>
</Subscription>

2. Créez un script PowerShell pour l'alerte automatisée :

# Enregistrer sous Monitor-PasswordResetAbuse.ps1
$Events = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4935; StartTime=(Get-Date).AddMinutes(-15)}
if ($Events.Count -gt 5) {
    $AlertMessage = "Volume élevé de tentatives de réinitialisation de mot de passe détecté : $($Events.Count) événements dans les 15 dernières minutes"
    Write-EventLog -LogName Application -Source "Password Reset Monitor" -EventId 9999 -EntryType Warning -Message $AlertMessage
    # Envoyer une alerte par email
    Send-MailMessage -To "admin@company.com" -From "monitor@company.com" -Subject "Password Reset Alert" -Body $AlertMessage -SmtpServer "mail.company.com"
}

3. Planifiez le script de surveillance à l'aide du Planificateur de tâches :

$Action = New-ScheduledTaskAction -Execute "PowerShell.exe" -Argument "-File C:\Scripts\Monitor-PasswordResetAbuse.ps1"
$Trigger = New-ScheduledTaskTrigger -RepetitionInterval (New-TimeSpan -Minutes 15) -RepetitionDuration (New-TimeSpan -Days 365) -At (Get-Date)
$Settings = New-ScheduledTaskSettingsSet -AllowStartIfOnBatteries -DontStopIfGoingOnBatteries -StartWhenAvailable
Register-ScheduledTask -TaskName "Password Reset Monitoring" -Action $Action -Trigger $Trigger -Settings $Settings -User "SYSTEM"

4. Configurez la taille du journal des événements Windows pour assurer la rétention :

wevtutil sl Security /ms:1073741824

Déployer des mesures de protection des comptes complètes et établir des procédures pour gérer les incidents d'abus de réinitialisation de mot de passe.

1. Activer Advanced Threat Analytics (ATA) ou la surveillance de Microsoft Defender for Identity :

# Vérifier si le capteur Defender for Identity est installé
Get-Service -Name "AATPSensor" -ErrorAction SilentlyContinue

2. Mettre en œuvre des politiques d'accès conditionnel pour les opérations de réinitialisation de mot de passe (environnements Azure AD) :

# Se connecter à Azure AD
Connect-AzureAD
# Examiner les politiques d'accès conditionnel existantes
Get-AzureADMSConditionalAccessPolicy | Where-Object {$_.Conditions.Applications.IncludeApplications -contains "All"}

3. Configurer des exemptions de verrouillage de compte pour les comptes de service :

# Ajouter des comptes de service au groupe d'exemption de verrouillage
$ServiceAccounts = @("svc-backup", "svc-monitoring", "svc-app")
foreach ($Account in $ServiceAccounts) {
    Add-ADGroupMember -Identity "Lockout Exempt Accounts" -Members $Account -ErrorAction SilentlyContinue
}

4. Créer des procédures de réponse aux incidents :

# Script automatisé de protection des comptes
function Protect-CompromisedAccount {
    param([string]$Username)
    
    # Désactiver temporairement le compte
    Disable-ADAccount -Identity $Username
    
    # Forcer la réinitialisation du mot de passe
    Set-ADUser -Identity $Username -ChangePasswordAtLogon $true
    
    # Enregistrer l'action
    Write-EventLog -LogName Application -Source "Security Response" -EventId 8888 -EntryType Information -Message "Account $Username protected due to password reset abuse"
    
    # Notifier l'équipe de sécurité
    Send-MailMessage -To "security@company.com" -From "automated-response@company.com" -Subject "Account Protection: $Username" -Body "Account $Username has been temporarily disabled due to excessive password reset attempts." -SmtpServer "mail.company.com"
}

5. Mettre en œuvre l'authentification multi-facteurs pour les opérations de réinitialisation de mot de passe :

# Vérifier le statut MFA pour les utilisateurs subissant des abus de réinitialisation
Get-MsolUser | Where-Object {$_.StrongAuthenticationRequirements.State -ne "Enforced"} | Select-Object UserPrincipalName, @{Name="MFAStatus";Expression={$_.StrongAuthenticationRequirements.State}}