ID d'événement Windows 4944 – Microsoft-Windows-Security-Auditing : Un compte a été verrouillé

Tout d'abord, vérifiez l'état actuel du verrouillage et déverrouillez le compte si nécessaire :

# Vérifier l'état de verrouillage du compte
Get-ADUser -Identity "username" -Properties LockedOut, AccountLockoutTime, BadLogonCount

# Déverrouiller le compte
Unlock-ADAccount -Identity "username"

# Vérifier que le déverrouillage a réussi
Get-ADUser -Identity "username" -Properties LockedOut

Naviguez vers Observateur d'événements → Journaux Windows → Sécurité et filtrez pour l'ID d'événement 4944 pour voir les détails du verrouillage. Vérifiez les propriétés de l'événement pour le nom de l'ordinateur source et l'horodatage afin d'identifier d'où proviennent les tentatives échouées.

Pour les comptes locaux sur des systèmes autonomes :

# Vérifier l'état du compte local
Get-LocalUser -Name "username" | Select-Object Name, Enabled, AccountExpires, PasswordExpired

# Activer le compte local verrouillé
Enable-LocalUser -Name "username"

Enquêter sur les tentatives de connexion échouées qui ont conduit au verrouillage du compte :

# Obtenir les événements récents de connexion échouée (4625) pour le compte verrouillé
$Events = Get-WinEvent -FilterHashtable @{
    LogName='Security'
    ID=4625
    StartTime=(Get-Date).AddHours(-24)
} | Where-Object {$_.Message -like "*username*"}

# Afficher des informations détaillées
$Events | ForEach-Object {
    $Event = [xml]$_.ToXml()
    [PSCustomObject]@{
        TimeCreated = $_.TimeCreated
        SourceIP = $Event.Event.EventData.Data[19].'#text'
        WorkstationName = $Event.Event.EventData.Data[13].'#text'
        FailureReason = $Event.Event.EventData.Data[8].'#text'
        LogonType = $Event.Event.EventData.Data[10].'#text'
    }
} | Format-Table -AutoSize

Vérifiez les motifs dans les IP sources et les noms de stations de travail pour identifier les sources d'attaque potentielles :

# Regrouper les tentatives échouées par IP source
$Events | Group-Object {([xml]$_.ToXml()).Event.EventData.Data[19].'#text'} | 
Sort-Object Count -Descending | Select-Object Name, Count

Examinez les paramètres actuels de la stratégie de verrouillage de compte qui ont déclenché le verrouillage :

# Vérifier la stratégie de verrouillage de compte de domaine
Get-ADDefaultDomainPasswordPolicy | Select-Object LockoutDuration, LockoutObservationWindow, LockoutThreshold

# Pour les stratégies de mot de passe granulaires
Get-ADFineGrainedPasswordPolicy -Filter * | Select-Object Name, LockoutDuration, LockoutThreshold, LockoutObservationWindow

Accédez à la Console de gestion des stratégies de groupe et naviguez vers Configuration de l'ordinateur → Stratégies → Paramètres Windows → Paramètres de sécurité → Stratégies de compte → Stratégie de verrouillage de compte pour examiner :

• Seuil de verrouillage de compte (nombre de tentatives échouées)
• Durée du verrouillage de compte (durée pendant laquelle les comptes restent verrouillés)
• Réinitialiser le compteur de verrouillage de compte après (fenêtre d'observation)

Vérifiez la stratégie de sécurité locale sur les systèmes autonomes :

# Exporter la stratégie de sécurité actuelle
secedit /export /cfg C:\temp\secpol.cfg

# Examiner les paramètres de verrouillage dans le fichier exporté
Select-String -Path "C:\temp\secpol.cfg" -Pattern "LockoutBadCount|LockoutDuration|ResetLockoutCount"

Configurez la surveillance proactive des événements de verrouillage de compte pour détecter les problèmes tôt :

# Créer une tâche planifiée pour surveiller les événements de verrouillage
$Action = New-ScheduledTaskAction -Execute "PowerShell.exe" -Argument "-File C:\Scripts\LockoutMonitor.ps1"
$Trigger = New-ScheduledTaskTrigger -AtStartup
$Settings = New-ScheduledTaskSettingsSet -AllowStartIfOnBatteries -DontStopIfGoingOnBatteries
Register-ScheduledTask -TaskName "AccountLockoutMonitor" -Action $Action -Trigger $Trigger -Settings $Settings

Créez le script de surveillance (C:\Scripts\LockoutMonitor.ps1) :

# Surveiller l'ID d'événement 4944 et envoyer des alertes
$LastCheck = (Get-Date).AddMinutes(-5)
$LockoutEvents = Get-WinEvent -FilterHashtable @{
    LogName='Security'
    ID=4944
    StartTime=$LastCheck
}

if ($LockoutEvents) {
    foreach ($Event in $LockoutEvents) {
        $EventXML = [xml]$Event.ToXml()
        $LockedAccount = $EventXML.Event.EventData.Data[0].'#text'
        $SourceWorkstation = $EventXML.Event.EventData.Data[4].'#text'
        
        # Envoyer une alerte par email ou enregistrer dans le SIEM
        Write-EventLog -LogName Application -Source "LockoutMonitor" -EventId 1001 -Message "Compte $LockedAccount verrouillé depuis $SourceWorkstation"
    }
}

Configurez le transfert d'événements Windows pour centraliser les événements de verrouillage :

winrm quickconfig
wecutil qc

Effectuer une analyse complète des incidents de sécurité ou des problèmes de verrouillage persistant :

# Script avancé de corrélation d'événements
$StartTime = (Get-Date).AddDays(-7)
$TargetAccount = "username"

# Collecter des événements d'authentification complets
$AuthEvents = Get-WinEvent -FilterHashtable @{
    LogName='Security'
    ID=4624,4625,4944,4740
    StartTime=$StartTime
} | Where-Object {$_.Message -like "*$TargetAccount*"}

# Créer une analyse chronologique
$Timeline = $AuthEvents | ForEach-Object {
    $EventXML = [xml]$_.ToXml()
    [PSCustomObject]@{
        TimeCreated = $_.TimeCreated
        EventID = $_.Id
        EventType = switch($_.Id) {
            4624 { "Connexion réussie" }
            4625 { "Échec de connexion" }
            4944 { "Compte verrouillé" }
            4740 { "Compte verrouillé (ancien)" }
        }
        SourceIP = if($EventXML.Event.EventData.Data[19]) { $EventXML.Event.EventData.Data[19].'#text' } else { "N/A" }
        WorkstationName = if($EventXML.Event.EventData.Data[13]) { $EventXML.Event.EventData.Data[13].'#text' } else { "N/A" }
    }
} | Sort-Object TimeCreated

$Timeline | Export-Csv -Path "C:\temp\AuthTimeline_$TargetAccount.csv" -NoTypeInformation

Vérifier les indicateurs de compromission :

# Analyser les modèles d'authentification pour les anomalies
$SourceIPs = $Timeline | Where-Object {$_.SourceIP -ne "N/A"} | Group-Object SourceIP | Sort-Object Count -Descending
$UnusualHours = $Timeline | Where-Object {$_.TimeCreated.Hour -lt 6 -or $_.TimeCreated.Hour -gt 22}
$MultipleWorkstations = $Timeline | Group-Object WorkstationName | Where-Object {$_.Count -gt 10}

Mettre en œuvre des mesures de sécurité supplémentaires si une compromission est suspectée :

# Forcer la réinitialisation du mot de passe pour le compte compromis
Set-ADAccountPassword -Identity $TargetAccount -Reset -NewPassword (ConvertTo-SecureString "TempPassword123!" -AsPlainText -Force)
Set-ADUser -Identity $TargetAccount -ChangePasswordAtLogon $true

# Révoquer toutes les sessions actives
Get-ADUser -Identity $TargetAccount | Set-ADAccountControl -AccountNotDelegated $true