ID d'événement Windows 4962 – Microsoft-Windows-Security-Auditing : Association de sécurité en mode principal IPsec établie

Commencez par examiner les détails complets de l'événement pour comprendre les paramètres de négociation IPsec.

1. Ouvrez Observateur d'événements → Journaux Windows → Sécurité
2. Filtrez pour l'ID d'événement 4962 en utilisant l'option de filtre
3. Double-cliquez sur l'événement pour voir les propriétés détaillées
4. Notez les champs clés suivants :
   • Adresse réseau source - Point de départ
   • Adresse réseau de destination - Point de réponse
   • Méthode d'authentification - Certificat, Kerberos ou PSK
   • Suite cryptographique du mode principal - Algorithmes négociés
   • Indice de paramètre de sécurité (SPI) - Identifiant unique de SA
5. Faites une référence croisée avec l'ID d'événement correspondant 4960 (négociation commencée) pour la chronologie complète

Utilisez PowerShell pour analyser les modèles d'établissement du mode principal IPsec et identifier les problèmes potentiels.

1. Interroger les occurrences récentes de l'événement 4962 :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4962} -MaxEvents 50 | Select-Object TimeCreated, @{Name='SourceIP';Expression={($_.Message -split '\n' | Where-Object {$_ -match 'Source Network Address:'} | ForEach-Object {$_.Split(':')[1].Trim()})}}, @{Name='DestIP';Expression={($_.Message -split '\n' | Where-Object {$_ -match 'Destination Network Address:'} | ForEach-Object {$_.Split(':')[1].Trim()})}}

2. Analyser la fréquence de négociation IPsec par point d'extrémité :

   $Events = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4962} -MaxEvents 1000
   $Events | ForEach-Object {
       $Message = $_.Message
       $SourceIP = ($Message -split '\n' | Where-Object {$_ -match 'Source Network Address:'} | ForEach-Object {$_.Split(':')[1].Trim()})
       [PSCustomObject]@{
           Time = $_.TimeCreated
           SourceIP = $SourceIP
       }
   } | Group-Object SourceIP | Sort-Object Count -Descending

3. Vérifier la distribution des méthodes d'authentification :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4962} -MaxEvents 200 | ForEach-Object {
       $AuthMethod = ($_.Message -split '\n' | Where-Object {$_ -match 'Authentication Method:'} | ForEach-Object {$_.Split(':')[1].Trim()})
       $AuthMethod
   } | Group-Object | Sort-Object Count -Descending

Examinez les politiques IPsec sous-jacentes qui ont déclenché la négociation en mode principal pour garantir une configuration correcte.

1. Vérifiez les politiques IPsec actives à l'aide de netsh :

   netsh ipsec static show all

2. Examinez les associations de sécurité IPsec actuelles :

   netsh ipsec dynamic show all

3. Pour les politiques du Pare-feu Windows avec sécurité avancée :

   Get-NetIPsecRule | Where-Object {$_.Enabled -eq 'True'} | Select-Object DisplayName, Profile, Direction, Action

4. Vérifiez les politiques en mode principal IPsec :

   Get-NetIPsecMainModeRule | Format-Table DisplayName, Enabled, MainModeCryptoSet

5. Examinez les méthodes d'authentification configurées :

   Get-NetIPsecAuthProposal | Format-Table

6. Vérifiez l'authentification basée sur les certificats si applicable :

   Get-ChildItem Cert:\LocalMachine\My | Where-Object {$_.EnhancedKeyUsageList -match 'IP security IKE intermediate'}

Enquêter sur les indicateurs de performance IPsec et identifier les problèmes potentiels de négociation en utilisant des techniques de surveillance avancées.

1. Activer la journalisation détaillée d'IPsec dans le registre :

   Set-ItemProperty -Path 'HKLM\SYSTEM\CurrentControlSet\Services\PolicyAgent\Parameters' -Name 'EnableLogging' -Value 1 -Type DWord

2. Surveiller la performance du service IPsec :

   Get-Counter '\IPSec IKEv1 IPv4\Active Main Mode SAs', '\IPSec IKEv1 IPv4\Main Mode Negotiations/sec' -SampleInterval 5 -MaxSamples 12

3. Vérifier les négociations échouées précédant les réussies :

   $StartTime = (Get-Date).AddHours(-4)
   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4961,4962; StartTime=$StartTime} | Sort-Object TimeCreated | Select-Object Id, TimeCreated, @{Name='EventType';Expression={if($_.Id -eq 4961){'Failed'}else{'Success'}}}

4. Analyser les modèles de synchronisation des négociations :

   $Events = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4960,4962} -MaxEvents 100
   $Pairs = @{}
   $Events | ForEach-Object {
       $SourceIP = ($_.Message -split '\n' | Where-Object {$_ -match 'Source Network Address:'} | ForEach-Object {$_.Split(':')[1].Trim()})
       $Key = "$SourceIP-$($_.TimeCreated.ToString('yyyyMMddHHmmss'))"
       if($_.Id -eq 4960) { $Pairs[$Key] = @{Start=$_.TimeCreated} }
       elseif($_.Id -eq 4962 -and $Pairs[$Key]) { $Pairs[$Key].End = $_.TimeCreated }
   }
   $Pairs.Values | Where-Object {$_.End} | ForEach-Object {[PSCustomObject]@{Duration=($_.End - $_.Start).TotalSeconds}}

5. Examiner les journaux du service IPsec de Windows :

   Get-WinEvent -LogName 'Microsoft-Windows-PolicyAgent/Operational' -MaxEvents 50 | Where-Object {$_.LevelDisplayName -eq 'Error' -or $_.LevelDisplayName -eq 'Warning'}

Implémentez une surveillance IPsec complète pour la conformité de sécurité et les scénarios de dépannage avancés.

1. Créez un script de surveillance IPsec personnalisé:

   # Script de surveillance du mode principal IPsec
   $LogName = 'Security'
   $EventID = 4962
   $Hours = 24
   
   $Events = Get-WinEvent -FilterHashtable @{LogName=$LogName; Id=$EventID; StartTime=(Get-Date).AddHours(-$Hours)}
   
   $Report = $Events | ForEach-Object {
       $Message = $_.Message
       $SourceIP = ($Message -split '\n' | Where-Object {$_ -match 'Source Network Address:'} | ForEach-Object {$_.Split(':')[1].Trim()})
       $DestIP = ($Message -split '\n' | Where-Object {$_ -match 'Destination Network Address:'} | ForEach-Object {$_.Split(':')[1].Trim()})
       $AuthMethod = ($Message -split '\n' | Where-Object {$_ -match 'Authentication Method:'} | ForEach-Object {$_.Split(':')[1].Trim()})
       
       [PSCustomObject]@{
           TimeCreated = $_.TimeCreated
           SourceIP = $SourceIP
           DestinationIP = $DestIP
           AuthenticationMethod = $AuthMethod
           RecordId = $_.RecordId
       }
   }
   
   $Report | Export-Csv -Path "C:\Temp\IPsec_MainMode_Report_$(Get-Date -Format 'yyyyMMdd').csv" -NoTypeInformation

2. Configurez des alertes automatisées pour les violations de politique IPsec:

   Register-WmiEvent -Query "SELECT * FROM __InstanceCreationEvent WITHIN 10 WHERE TargetInstance ISA 'Win32_NTLogEvent' AND TargetInstance.LogFile = 'Security' AND TargetInstance.EventCode = 4961" -Action {
       $Event = $Event.SourceEventArgs.NewEvent.TargetInstance
       Send-MailMessage -To 'admin@company.com' -From 'ipsec-monitor@company.com' -Subject 'IPsec Main Mode Failure' -Body "Failed negotiation detected at $(Get-Date)" -SmtpServer 'mail.company.com'
   }

3. Configurez le transfert d'événements Windows pour une surveillance IPsec centralisée:

   wecutil cs subscription.xml

   Où subscription.xml contient la configuration de collecte d'événements IPsec
4. Utilisez la stratégie de groupe pour standardiser la journalisation IPsec sur le domaine:
   • Accédez à Configuration de l'ordinateur → Stratégies → Paramètres Windows → Paramètres de sécurité → Configuration avancée de la stratégie d'audit
   • Activez Audit du mode principal IPsec et Audit du mode rapide IPsec
   • Configurez l'audit de Succès et Échec selon les besoins