ID d'événement Windows 4936 – Microsoft-Windows-Security-Auditing : Changement de politique de gestion des comptes utilisateur

Commencez par examiner les détails spécifiques de l'ID d'événement 4936 pour comprendre quelle politique a été modifiée et par qui.

1. Ouvrez Observateur d'événements sur le contrôleur de domaine où l'événement s'est produit
2. Accédez à Journaux Windows → Sécurité
3. Filtrez pour l'ID d'événement 4936 en utilisant l'option de filtre
4. Double-cliquez sur l'événement pour voir les informations détaillées, y compris :
• Sujet : Le compte utilisateur qui a effectué le changement
• Changement de politique : L'objet de politique spécifique qui a été modifié
• Informations sur le processus : Le processus qui a initié le changement
5. Notez l'horodatage et corrélez-le avec les activités administratives récentes

Utilisez PowerShell pour interroger plusieurs événements efficacement :

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4936} -MaxEvents 50 | Format-Table TimeCreated, Id, LevelDisplayName, Message -Wrap

Utilisez PowerShell pour extraire des informations détaillées sur les modifications de politique et identifier les modèles ou modifications non autorisées.

1. Interroger les événements ID 4936 avec un filtrage détaillé :

$Events = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4936; StartTime=(Get-Date).AddDays(-7)}
foreach ($Event in $Events) {
    $EventXML = [xml]$Event.ToXml()
    $Subject = $EventXML.Event.EventData.Data | Where-Object {$_.Name -eq 'SubjectUserName'} | Select-Object -ExpandProperty '#text'
    $PolicyName = $EventXML.Event.EventData.Data | Where-Object {$_.Name -eq 'PolicyName'} | Select-Object -ExpandProperty '#text'
    Write-Output "Time: $($Event.TimeCreated) | User: $Subject | Policy: $PolicyName"
}

2. Faire une référence croisée des modifications avec les paramètres de politique de domaine actuels :

Get-ADDefaultDomainPasswordPolicy | Format-List *

3. Vérifiez les modifications récentes de la stratégie de groupe qui pourraient correspondre aux événements

Examinez les journaux et les paramètres de la console de gestion des stratégies de groupe pour comprendre le contexte des modifications de stratégie.

1. Ouvrez Group Policy Management Console (gpmc.msc)
2. Accédez à Forêt → Domaines → Votre Domaine → Stratégie de Domaine par Défaut
3. Cliquez avec le bouton droit sur Stratégie de Domaine par Défaut et sélectionnez Modifier
4. Accédez à Configuration de l'Ordinateur → Stratégies → Paramètres Windows → Paramètres de Sécurité → Stratégies de Compte
5. Examinez les paramètres actuels pour :
• Stratégie de Mot de Passe
• Stratégie de Verrouillage de Compte
• Stratégie Kerberos
6. Vérifiez l'onglet Sécurité de la Stratégie de Domaine par Défaut pour voir qui a les permissions de la modifier
7. Utilisez PowerShell pour obtenir des informations détaillées sur la stratégie :

Get-GPO -Name "Default Domain Policy" | Get-GPPermission -All | Where-Object {$_.Permission -eq "GpoEdit"}

Configurez un audit complet pour capturer des informations plus détaillées sur les futurs changements de politique.

1. Ouvrez Group Policy Management Console et modifiez la Default Domain Controllers Policy
2. Accédez à Computer Configuration → Policies → Windows Settings → Security Settings → Advanced Audit Policy Configuration → Audit Policies → Policy Change
3. Activez Audit Authentication Policy Change pour les succès et les échecs
4. Activez Audit Authorization Policy Change pour les succès et les échecs
5. Appliquez la politique et exécutez gpupdate sur les contrôleurs de domaine :

gpupdate /force

6. Vérifiez que les paramètres d'audit sont appliqués :

auditpol /get /subcategory:"Authentication Policy Change"

7. Configurez une surveillance automatisée à l'aide de PowerShell :

Register-WmiEvent -Query "SELECT * FROM __InstanceCreationEvent WITHIN 10 WHERE TargetInstance ISA 'Win32_NTLogEvent' AND TargetInstance.LogFile = 'Security' AND TargetInstance.EventCode = 4936" -Action {
    $Event = $Event.SourceEventArgs.NewEvent.TargetInstance
    Write-Host "Policy Change Detected: $($Event.TimeGenerated) - $($Event.Message)"
}

Déployez une surveillance et une alerte de niveau entreprise pour les changements de politique critiques en utilisant des scripts PowerShell avancés et le transfert d'événements Windows.

1. Créez un script de surveillance complet qui suit tous les événements liés aux politiques :

# Enregistrer sous Monitor-PolicyChanges.ps1
param(
    [string]$LogPath = "C:\Logs\PolicyChanges.log",
    [string]$SMTPServer = "mail.company.com",
    [string]$AlertEmail = "security@company.com"
)

$EventFilter = @{
    LogName = 'Security'
    Id = 4936, 4739, 4713, 4719
    StartTime = (Get-Date).AddMinutes(-5)
}

$Events = Get-WinEvent -FilterHashtable $EventFilter -ErrorAction SilentlyContinue

foreach ($Event in $Events) {
    $EventData = [xml]$Event.ToXml()
    $LogEntry = "$(Get-Date): Event $($Event.Id) - User: $($EventData.Event.EventData.Data[1].'#text') - Policy: $($EventData.Event.EventData.Data[4].'#text')"
    Add-Content -Path $LogPath -Value $LogEntry
    
    # Envoyer une alerte pour les changements critiques
    if ($Event.Id -eq 4936) {
        Send-MailMessage -To $AlertEmail -From "noreply@company.com" -Subject "Critical Policy Change Detected" -Body $LogEntry -SmtpServer $SMTPServer
    }
}

2. Planifiez l'exécution du script toutes les 5 minutes à l'aide du Planificateur de tâches :

$Action = New-ScheduledTaskAction -Execute "PowerShell.exe" -Argument "-File C:\Scripts\Monitor-PolicyChanges.ps1"
$Trigger = New-ScheduledTaskTrigger -RepetitionInterval (New-TimeSpan -Minutes 5) -RepetitionDuration (New-TimeSpan -Days 365) -At (Get-Date)
$Settings = New-ScheduledTaskSettingsSet -AllowStartIfOnBatteries -DontStopIfGoingOnBatteries -StartWhenAvailable
Register-ScheduledTask -TaskName "PolicyChangeMonitor" -Action $Action -Trigger $Trigger -Settings $Settings -User "SYSTEM"

3. Configurez le transfert d'événements Windows pour centraliser les événements de changement de politique de tous les contrôleurs de domaine
4. Configurez des vues personnalisées dans le Visualiseur d'événements pour filtrer et afficher les événements de changement de politique à travers le domaine