ID d'événement Windows 4948 – Microsoft-Windows-Security-Auditing : Association de sécurité en mode principal IPsec établie

Commencez par examiner les détails complets de l'événement pour comprendre les paramètres de négociation IPsec et les informations sur les points de terminaison.

1. Ouvrez Observateur d'événements → Journaux Windows → Sécurité
2. Filtrez pour l'ID d'événement 4948 en utilisant l'option de filtre ou la fonctionnalité de recherche
3. Double-cliquez sur l'entrée la plus récente de l'ID d'événement 4948 pour voir les informations détaillées
4. Examinez les champs clés suivants dans les détails de l'événement:
   • Adresse locale : L'adresse IP de votre système dans la négociation IPsec
   • Adresse distante : L'adresse IP du système pair
   • Méthode d'authentification : Kerberos, Certificat ou Clé pré-partagée
   • Suite cryptographique du mode principal : Algorithmes de chiffrement et de hachage utilisés
   • Durée de vie de l'AS : Durée de validité de l'association de sécurité
5. Notez l'horodatage pour corréler avec les problèmes de connectivité réseau ou les changements de politique
6. Vérifiez l'ID d'événement correspondant 4949 (AS du mode principal supprimé) pour comprendre le cycle de vie de l'AS

Exploitez PowerShell pour interroger et analyser efficacement les événements IPsec Main Mode sur plusieurs systèmes ou plages de temps.

1. Ouvrez PowerShell en tant qu'administrateur
2. Interrogez les entrées récentes de l'ID d'événement 4948 avec des informations détaillées :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4948} -MaxEvents 20 | Select-Object TimeCreated, Id, @{Name='RemoteIP';Expression={($_.Message -split '\n' | Where-Object {$_ -like '*Remote Address:*'}) -replace '.*Remote Address:\s*',''}}, @{Name='AuthMethod';Expression={($_.Message -split '\n' | Where-Object {$_ -like '*Authentication Method:*'}) -replace '.*Authentication Method:\s*',''}}

3. Filtrez les événements par adresses IP distantes spécifiques pour suivre les connexions à partir de points de terminaison particuliers :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4948; StartTime=(Get-Date).AddHours(-24)} | Where-Object {$_.Message -like '*192.168.1.100*'}

4. Comptez les établissements IPsec par heure pour identifier les modèles d'utilisation de pointe :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4948; StartTime=(Get-Date).AddDays(-7)} | Group-Object @{Expression={$_.TimeCreated.ToString('yyyy-MM-dd HH:00')}} | Sort-Object Name

5. Exportez les données détaillées des événements IPsec pour une analyse plus approfondie :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4948; StartTime=(Get-Date).AddDays(-30)} | Select-Object TimeCreated, Message | Export-Csv -Path 'C:\Temp\IPsec_Events.csv' -NoTypeInformation

Examinez les politiques IPsec sous-jacentes et les associations de sécurité actuelles pour garantir une configuration et un fonctionnement appropriés.

1. Vérifiez les politiques IPsec actives en utilisant netsh :

   netsh ipsec static show all

2. Affichez les associations de sécurité du mode principal actuel :

   netsh ipsec dynamic show mmsas

3. Examinez les SA du mode rapide qui dépendent des associations du mode principal :

   netsh ipsec dynamic show qmsas

4. Pour le Pare-feu Windows avec sécurité avancée, vérifiez les règles de sécurité de connexion :

   Get-NetIPsecRule | Where-Object {$_.Enabled -eq 'True'} | Select-Object DisplayName, Profile, Action

5. Vérifiez l'état et la configuration du service IPsec :

   Get-Service -Name 'PolicyAgent' | Select-Object Name, Status, StartType

6. Examinez les paramètres IPsec de la stratégie de groupe si vous êtes joint à un domaine :
   • Ouvrez la Console de gestion des stratégies de groupe
   • Accédez à Configuration de l'ordinateur → Stratégies → Paramètres Windows → Paramètres de sécurité → Politiques de sécurité IP
   • Vérifiez que les politiques IPsec assignées correspondent à vos exigences de sécurité

Utilisez des outils de surveillance avancés pour suivre les performances IPsec et identifier les problèmes potentiels de sécurité ou de connectivité.

1. Activez la journalisation d'audit IPsec pour un dépannage complet :

   auditpol /set /subcategory:"IPsec Main Mode" /success:enable /failure:enable

2. Surveillez les compteurs de performance IPsec à l'aide de Performance Monitor :
   • Ouvrez Performance Monitor (perfmon.exe)
   • Ajoutez des compteurs à partir des objets IPsec AuthIP IPv4 et IPsec AuthIP IPv6
   • Concentrez-vous sur Main Mode Negotiations/sec et Main Mode Negotiation Failures
3. Utilisez Network Monitor ou Wireshark pour capturer le trafic IKE pour une analyse détaillée :

   # Activez la journalisation IPsec dans le Pare-feu Windows
   Set-NetFirewallProfile -All -LogAllowed True -LogBlocked True -LogFileName 'C:\Windows\System32\LogFiles\Firewall\pfirewall.log'

4. Vérifiez les événements d'erreur associés qui pourraient indiquer des problèmes :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4960,4961,4962,4963; StartTime=(Get-Date).AddHours(-24)} | Select-Object Id, TimeCreated, LevelDisplayName, Message

5. Validez l'état de santé des certificats pour l'authentification basée sur les certificats :

   Get-ChildItem -Path 'Cert:\LocalMachine\My' | Where-Object {$_.EnhancedKeyUsageList -like '*IP security*'} | Select-Object Subject, NotAfter, Thumbprint

Déployez des solutions de surveillance complètes pour suivre de manière proactive la santé et la sécurité d'IPsec dans votre infrastructure.

1. Créez un script de surveillance PowerShell personnalisé pour les vérifications automatisées de la santé d'IPsec :

   # Script de surveillance de la santé IPsec
   $Events = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4948,4960; StartTime=(Get-Date).AddMinutes(-15)} -ErrorAction SilentlyContinue
   $SuccessCount = ($Events | Where-Object {$_.Id -eq 4948}).Count
   $FailureCount = ($Events | Where-Object {$_.Id -eq 4960}).Count
   
   if ($FailureCount -gt 5) {
       Write-EventLog -LogName 'Application' -Source 'IPsec Monitor' -EventId 1001 -EntryType Warning -Message "Taux d'échec IPsec élevé détecté : $FailureCount échecs en 15 minutes"
   }

2. Configurez le transfert d'événements Windows pour centraliser les événements IPsec :
   • Configurez le serveur de collecte d'événements avec wecutil qc
   • Créez un abonnement pour l'ID d'événement 4948 sur les ordinateurs du domaine
   • Utilisez la requête XPath : *[System[(EventID=4948)]]
3. Implémentez l'intégration SIEM pour la corrélation de sécurité :

   # Exporter les événements IPsec dans un format compatible SIEM
   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4948} -MaxEvents 1000 | ConvertTo-Json -Depth 3 | Out-File 'C:\Logs\IPsec_SIEM_Export.json'

4. Configurez des tâches planifiées pour la validation régulière des politiques IPsec :

   $Action = New-ScheduledTaskAction -Execute 'PowerShell.exe' -Argument '-File C:\Scripts\IPsec-HealthCheck.ps1'
   $Trigger = New-ScheduledTaskTrigger -Daily -At '06:00'
   Register-ScheduledTask -TaskName 'IPsec Health Check' -Action $Action -Trigger $Trigger -User 'SYSTEM'

5. Créez des compteurs de performance personnalisés pour les métriques IPsec spécifiques à l'entreprise en utilisant Windows Performance Toolkit