ID d'événement Windows 4976 – Microsoft-Windows-Security-Auditing : Connexion spéciale

Commencez par examiner les détails spécifiques de l'ID d'événement 4976 pour comprendre quel compte a reçu des privilèges et quelles permissions ont été accordées.

1. Ouvrez Observateur d'événements en appuyant sur Win + R, en tapant eventvwr.msc, et en appuyant sur Entrée
2. Accédez à Journaux Windows → Sécurité
3. Filtrez pour l'ID d'événement 4976 en cliquant avec le bouton droit sur le journal Sécurité et en sélectionnant Filtrer le journal actuel
4. Entrez 4976 dans le champ ID d'événements et cliquez sur OK
5. Double-cliquez sur un événement 4976 pour voir des informations détaillées, y compris :
   • Compte sujet (qui a initié la connexion)
   • Compte cible (qui a reçu les privilèges)
   • Type de connexion et package d'authentification
   • Liste complète des privilèges accordés
6. Notez le champ Privilèges qui liste des droits spécifiques comme SeServiceLogonRight, SeBatchLogonRight, ou SeNetworkLogonRight

Utilisez PowerShell pour analyser de manière programmatique les occurrences de l'ID d'événement 4976 et extraire des informations détaillées sur les privilèges pour l'analyse de sécurité.

1. Ouvrez PowerShell en tant qu'administrateur
2. Interrogez les entrées récentes de l'ID d'événement 4976 :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4976} -MaxEvents 50 | Select-Object TimeCreated, Id, LevelDisplayName, Message

3. Extrayez les détails spécifiques du compte et des privilèges :

   $events = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4976} -MaxEvents 100
   foreach ($event in $events) {
       $xml = [xml]$event.ToXml()
       $targetAccount = $xml.Event.EventData.Data | Where-Object {$_.Name -eq 'TargetUserName'} | Select-Object -ExpandProperty '#text'
       $privileges = $xml.Event.EventData.Data | Where-Object {$_.Name -eq 'PrivilegeList'} | Select-Object -ExpandProperty '#text'
       Write-Output "Time: $($event.TimeCreated) | Account: $targetAccount | Privileges: $privileges"
   }

4. Filtrez pour des comptes spécifiques ou des plages horaires :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4976; StartTime=(Get-Date).AddHours(-24)} | Where-Object {$_.Message -like '*ServiceAccount*'}

5. Exportez les résultats pour analyse :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4976} -MaxEvents 500 | Export-Csv -Path "C:\Temp\Event4976_Analysis.csv" -NoTypeInformation

Enquêtez sur la source des privilèges spéciaux en examinant les politiques de sécurité locales et les paramètres de stratégie de groupe qui accordent des droits aux utilisateurs.

1. Ouvrez Stratégie de sécurité locale en exécutant secpol.msc depuis la boîte de dialogue Exécuter
2. Accédez à Paramètres de sécurité → Politiques locales → Attribution des droits utilisateur
3. Examinez les politiques clés qui déclenchent l'ID d'événement 4976:
   • Se connecter en tant que service (SeServiceLogonRight)
   • Se connecter en tant que tâche planifiée (SeBatchLogonRight)
   • Autoriser la connexion via les services Bureau à distance
   • Agir en tant que partie du système d'exploitation
4. Vérifiez les paramètres de stratégie de groupe à l'aide de PowerShell:

   secedit /export /cfg C:\Temp\current_policy.inf
   Get-Content C:\Temp\current_policy.inf | Select-String "SeServiceLogonRight|SeBatchLogonRight|SeNetworkLogonRight"

5. Pour les environnements de domaine, examinez les objets de stratégie de groupe:

   Get-GPOReport -All -ReportType Html -Path "C:\Temp\GPO_Report.html"

6. Recoupez les comptes dans l'ID d'événement 4976 avec les attributions de droits utilisateur pour vérifier les concessions de privilèges légitimes

Concentrez-vous sur les comptes de service qui génèrent fréquemment l'ID d'événement 4976 pour vous assurer qu'ils fonctionnent dans les paramètres attendus et n'ont pas été compromis.

1. Identifiez les comptes de service générant l'ID d'événement 4976:

   $serviceEvents = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4976} -MaxEvents 1000
   $serviceAccounts = @{}
   foreach ($event in $serviceEvents) {
       $xml = [xml]$event.ToXml()
       $account = $xml.Event.EventData.Data | Where-Object {$_.Name -eq 'TargetUserName'} | Select-Object -ExpandProperty '#text'
       if ($serviceAccounts.ContainsKey($account)) {
           $serviceAccounts[$account]++
       } else {
           $serviceAccounts[$account] = 1
       }
   }
   $serviceAccounts.GetEnumerator() | Sort-Object Value -Descending

2. Vérifiez les configurations de service pour ces comptes:

   Get-WmiObject Win32_Service | Where-Object {$_.StartName -like '*service*'} | Select-Object Name, StartName, State, StartMode

3. Vérifiez les droits de connexion des comptes de service dans le registre:

   $regPath = "HKLM\SYSTEM\CurrentControlSet\Services"
   Get-ChildItem $regPath | ForEach-Object {
       $serviceName = $_.PSChildName
       $objectName = Get-ItemProperty -Path "$regPath\$serviceName" -Name "ObjectName" -ErrorAction SilentlyContinue
       if ($objectName) {
           Write-Output "$serviceName : $($objectName.ObjectName)"
       }
   }

4. Surveillez les modèles de privilèges inhabituels:

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4976; StartTime=(Get-Date).AddDays(-7)} | 
   Group-Object {($_.Message -split '\n' | Select-String 'Account Name:').ToString().Split(':')[1].Trim()} | 
   Sort-Object Count -Descending | Select-Object Name, Count

5. Mettez en place une surveillance continue avec une tâche planifiée pour alerter sur l'utilisation suspecte des privilèges des comptes de service

Effectuez une analyse de sécurité complète en corrélant l'ID d'événement 4976 avec d'autres événements de sécurité pour détecter une éventuelle élévation de privilèges ou un accès non autorisé.

1. Créez un script de corrélation d'événements de sécurité complet :

   $startTime = (Get-Date).AddDays(-1)
   $events4976 = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4976; StartTime=$startTime}
   $events4624 = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4624; StartTime=$startTime}
   $events4648 = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4648; StartTime=$startTime}
   
   # Corréler les octrois de privilèges avec les événements de connexion
   foreach ($privEvent in $events4976) {
       $xml = [xml]$privEvent.ToXml()
       $targetUser = $xml.Event.EventData.Data | Where-Object {$_.Name -eq 'TargetUserName'} | Select-Object -ExpandProperty '#text'
       $logonId = $xml.Event.EventData.Data | Where-Object {$_.Name -eq 'TargetLogonId'} | Select-Object -ExpandProperty '#text'
       
       $relatedLogon = $events4624 | Where-Object {
           $logonXml = [xml]$_.ToXml()
           $logonIdField = $logonXml.Event.EventData.Data | Where-Object {$_.Name -eq 'TargetLogonId'} | Select-Object -ExpandProperty '#text'
           $logonIdField -eq $logonId
       }
       
       if ($relatedLogon) {
           Write-Output "Octroi de privilège : $($privEvent.TimeCreated) | Utilisateur : $targetUser | ID de connexion : $logonId"
       }
   }

2. Analysez les modèles d'élévation de privilèges :

   $suspiciousPatterns = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4976} | Where-Object {
       $_.Message -match 'SeDebugPrivilege|SeTcbPrivilege|SeCreateTokenPrivilege'
   }
   $suspiciousPatterns | Select-Object TimeCreated, Message

3. Vérifiez les indicateurs d'abus de privilèges en examinant les clés de registre :

   $auditPath = "HKLM\SYSTEM\CurrentControlSet\Control\Lsa\Audit"
   if (Test-Path $auditPath) {
       Get-ItemProperty -Path $auditPath | Format-List
   }

4. Générez des rapports de sécurité combinant plusieurs sources d'événements :

   $report = @()
   $events4976 | ForEach-Object {
       $xml = [xml]$_.ToXml()
       $report += [PSCustomObject]@{
           TimeCreated = $_.TimeCreated
           EventId = $_.Id
           TargetUser = ($xml.Event.EventData.Data | Where-Object {$_.Name -eq 'TargetUserName'}).'#text'
           Privileges = ($xml.Event.EventData.Data | Where-Object {$_.Name -eq 'PrivilegeList'}).'#text'
           LogonType = ($xml.Event.EventData.Data | Where-Object {$_.Name -eq 'LogonType'}).'#text'
       }
   }
   $report | Export-Csv -Path "C:\Temp\PrivilegeAudit_$(Get-Date -Format 'yyyyMMdd').csv" -NoTypeInformation

5. Configurez le transfert d'événements Windows (WEF) pour la surveillance centralisée de l'ID d'événement 4976 sur plusieurs systèmes