ID d'événement Windows 4964 – Microsoft-Windows-Security-Auditing : Politique d'audit d'accès aux objets modifiée

Commencez par examiner les détails spécifiques de l'occurrence de l'ID d'événement 4964 pour comprendre ce qui a changé.

1. Ouvrez Observateur d'événements en appuyant sur Win + R, en tapant eventvwr.msc, et en appuyant sur Entrée
2. Accédez à Journaux Windows → Sécurité
3. Filtrez pour l'ID d'événement 4964 en utilisant l'option Filtrer le journal actuel
4. Double-cliquez sur l'entrée la plus récente de l'ID d'événement 4964 pour voir les détails
5. Examinez l'onglet Général pour les informations sur le changement de politique, y compris :
   • ID de sécurité du sujet (qui a fait le changement)
   • État précédent de la politique
   • Nouvel état de la politique
   • Informations sur le processus
6. Vérifiez l'onglet Détails pour la vue XML avec les données complètes de l'événement

Utilisez PowerShell pour récupérer et analyser les occurrences de l'ID d'événement 4964 avec des capacités de filtrage et de formatage.

1. Ouvrez PowerShell en tant qu'administrateur
2. Interrogez les entrées récentes de l'ID d'événement 4964 :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4964} -MaxEvents 20 | Format-Table TimeCreated, Id, LevelDisplayName, Message -Wrap

3. Obtenez des informations détaillées pour des événements spécifiques :

   $Events = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4964} -MaxEvents 10
   foreach ($Event in $Events) {
       $EventXML = [xml]$Event.ToXml()
       $EventData = $EventXML.Event.EventData.Data
       Write-Host "Time: $($Event.TimeCreated)"
       Write-Host "Subject: $($EventData | Where-Object {$_.Name -eq 'SubjectUserName'} | Select-Object -ExpandProperty '#text')"
       Write-Host "Previous Policy: $($EventData | Where-Object {$_.Name -eq 'PreviousPolicy'} | Select-Object -ExpandProperty '#text')"
       Write-Host "New Policy: $($EventData | Where-Object {$_.Name -eq 'NewPolicy'} | Select-Object -ExpandProperty '#text')"
       Write-Host "---"
   }

4. Exportez les événements vers un fichier CSV pour analyse :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4964} | Select-Object TimeCreated, Id, LevelDisplayName, UserId, ProcessId, Message | Export-Csv -Path "C:\Temp\Event4964.csv" -NoTypeInformation

Vérifiez les paramètres actuels de la politique d'audit pour comprendre la configuration actuelle du système et comparez-les avec les changements historiques.

1. Ouvrez Invite de commandes en tant qu'administrateur
2. Affichez les paramètres actuels de la politique d'audit :

   auditpol /get /category:*

3. Concentrez-vous sur les politiques d'audit d'accès aux objets :

   auditpol /get /subcategory:"File System" /subcategory:"Registry" /subcategory:"Kernel Object" /subcategory:"SAM" /subcategory:"Certification Services" /subcategory:"Application Generated"

4. Vérifiez les paramètres d'audit de la stratégie de groupe :

   Get-ItemProperty -Path "HKLM\SYSTEM\CurrentControlSet\Services\EventLog\Security" -Name "AuditBaseObjects"

5. Examinez les paramètres de la politique de sécurité locale en ouvrant secpol.msc et en naviguant vers Politiques locales → Politique d'audit
6. Comparez les paramètres actuels avec les états de la politique enregistrés dans l'ID d'événement 4964 pour identifier les écarts

Déterminez si les modifications de la stratégie d'audit proviennent des mises à jour de la stratégie de groupe et identifiez le GPO source.

1. Vérifiez les événements d'application de la stratégie de groupe :

   Get-WinEvent -FilterHashtable @{LogName='System'; Id=1502,1503} -MaxEvents 20 | Where-Object {$_.TimeCreated -gt (Get-Date).AddHours(-24)}

2. Examinez le traitement de la stratégie de groupe pour la stratégie d'audit :

   Get-WinEvent -FilterHashtable @{LogName='Microsoft-Windows-GroupPolicy/Operational'} -MaxEvents 50 | Where-Object {$_.Message -like "*audit*"}

3. Utilisez les résultats de la stratégie de groupe pour identifier les stratégies appliquées :

   gpresult /h C:\Temp\GPResult.html /f

4. Vérifiez les paramètres spécifiques du GPO de la stratégie d'audit :

   gpresult /z | findstr /i "audit"

5. Examinez les journaux d'événements du contrôleur de domaine si dans un environnement de domaine :

   Get-WinEvent -ComputerName "DC01" -FilterHashtable @{LogName='Security'; Id=4719} -MaxEvents 10

6. Examinez les événements de modification du GPO sur les contrôleurs de domaine :

   Get-WinEvent -ComputerName "DC01" -FilterHashtable @{LogName='Security'; Id=5136,5137,5141} | Where-Object {$_.Message -like "*audit*"}

Effectuer une analyse complète pour corréler l'ID d'événement 4964 avec d'autres événements de sécurité et identifier les implications potentielles en matière de sécurité.

1. Créer une chronologie des événements de sécurité liés :

   $StartTime = (Get-Date).AddDays(-7)
   $Events = @()
   $Events += Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4964; StartTime=$StartTime}
   $Events += Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4719; StartTime=$StartTime}
   $Events += Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4902; StartTime=$StartTime}
   $Events | Sort-Object TimeCreated | Format-Table TimeCreated, Id, Message -Wrap

2. Vérifier les événements d'escalade de privilèges autour de la même période :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4672,4673,4674} | Where-Object {$_.TimeCreated -gt $StartTime -and $_.TimeCreated -lt $StartTime.AddHours(1)}

3. Analyser les événements de création de processus pour les outils de politique d'audit :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4688} | Where-Object {$_.Message -like "*auditpol*" -or $_.Message -like "*secpol*"}

4. Examiner les événements d'accès au registre pour les clés de politique d'audit :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4657} | Where-Object {$_.Message -like "*CurrentControlSet\Control\Lsa\Audit*"}

5. Générer un rapport complet de changement de politique d'audit :

   $Report = @()
   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4964} | ForEach-Object {
       $EventXML = [xml]$_.ToXml()
       $EventData = $EventXML.Event.EventData.Data
       $Report += [PSCustomObject]@{
           TimeCreated = $_.TimeCreated
           User = ($EventData | Where-Object {$_.Name -eq 'SubjectUserName'}).'#text'
           Domain = ($EventData | Where-Object {$_.Name -eq 'SubjectDomainName'}).'#text'
           ProcessName = ($EventData | Where-Object {$_.Name -eq 'ProcessName'}).'#text'
           PreviousPolicy = ($EventData | Where-Object {$_.Name -eq 'PreviousPolicy'}).'#text'
           NewPolicy = ($EventData | Where-Object {$_.Name -eq 'NewPolicy'}).'#text'
       }
   }
   $Report | Export-Csv -Path "C:\Temp\AuditPolicyChanges.csv" -NoTypeInformation