ID d'événement Windows 5136 – Microsoft-Windows-Security-Auditing : Objet du service d'annuaire modifié

Commencez par examiner les détails spécifiques de l'événement 5136 pour comprendre ce qui a changé et qui a initié la modification.

1. Ouvrez Observateur d'événements sur votre contrôleur de domaine
2. Accédez à Journaux Windows → Sécurité
3. Filtrez pour l'ID d'événement 5136 en utilisant l'option de filtre
4. Double-cliquez sur l'événement pour voir les informations détaillées
5. Examinez les champs clés suivants:
   • Sujet: Indique qui a effectué le changement (Nom du compte et Domaine du compte)
   • Objet: Affiche le DN de l'objet de l'annuaire modifié
   • Attribut: Identifie quel attribut spécifique a été modifié
   • Ancienne Valeur et Nouvelle Valeur: Montre les états avant et après
6. Notez l'horodatage et corrélez avec d'autres événements de sécurité si nécessaire

Utilisez PowerShell pour rechercher et analyser efficacement les événements 5136 sur plusieurs contrôleurs de domaine ou plages de temps.

1. Ouvrez PowerShell en tant qu'administrateur sur un contrôleur de domaine
2. Interrogez les événements 5136 récents :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=5136} -MaxEvents 50 | Select-Object TimeCreated, Id, LevelDisplayName, Message

3. Filtrez les événements pour des objets ou utilisateurs spécifiques :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=5136} | Where-Object {$_.Message -like "*CN=John Doe*"} | Select-Object TimeCreated, Message

4. Recherchez des modifications d'attributs spécifiques :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=5136} | Where-Object {$_.Message -like "*memberOf*"} | Format-List TimeCreated, Message

5. Exportez les résultats pour une analyse plus approfondie :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=5136; StartTime=(Get-Date).AddDays(-7)} | Export-Csv -Path "C:\Temp\AD_Changes.csv" -NoTypeInformation

Configurez l'audit complet des services d'annuaire pour garantir que tous les changements pertinents génèrent des événements 5136.

1. Ouvrez la Console de gestion des stratégies de groupe sur un contrôleur de domaine
2. Modifiez la Stratégie par défaut des contrôleurs de domaine
3. Accédez à Configuration de l'ordinateur → Stratégies → Paramètres Windows → Paramètres de sécurité → Configuration avancée de la stratégie d'audit
4. Développez Accès DS et configurez :
   • Audit des modifications du service d'annuaire : Activer Succès et Échec
   • Audit de l'accès au service d'annuaire : Activer Succès (facultatif, génère plus d'événements)
5. Appliquez la stratégie et exécutez gpupdate /force sur les contrôleurs de domaine
6. Vérifiez que l'audit est actif en vérifiant le registre :

   Get-ItemProperty -Path "HKLM\SYSTEM\CurrentControlSet\Services\NTDS\Diagnostics" -Name "5 Replication Events"

7. Testez en effectuant un changement de test sur un compte utilisateur et en confirmant que des événements 5136 apparaissent

Configurez la surveillance et l'alerte automatisées pour les événements critiques 5136 en utilisant des solutions SIEM ou de gestion des journaux.

1. Configurez le transfert d'événements Windows (WEF) pour centraliser les événements 5136 :

   wecutil cs subscription.xml

   Où subscription.xml contient votre configuration de collecte d'événements
2. Créez des requêtes d'événements personnalisées pour les changements à haute priorité :

   <QueryList>
     <Query Id="0">
       <Select Path="Security">*[System[EventID=5136]] and *[EventData[Data[@Name='AttributeLDAPDisplayName']='memberOf']]</Select>
     </Query>
   </QueryList>

3. Configurez l'alerte basée sur PowerShell pour les changements critiques :

   Register-WmiEvent -Query "SELECT * FROM __InstanceCreationEvent WITHIN 10 WHERE TargetInstance ISA 'Win32_NTLogEvent' AND TargetInstance.EventCode = 5136" -Action { 
       # Logique d'alerte ici
       Send-MailMessage -To "admin@company.com" -Subject "Changement AD Critique" -Body $Event.SourceEventArgs.NewEvent.Message
   }

4. Configurez les politiques de rétention des journaux pour maintenir les pistes d'audit :

   Limit-EventLog -LogName Security -MaximumSize 1GB -OverflowAction OverwriteAsNeeded

5. Créez des tableaux de bord montrant les tendances de modification et les anomalies

Effectuer une analyse médico-légale détaillée des événements 5136 pour enquêter sur les incidents de sécurité et suivre les schémas d'attaque.

1. Extraire des données d'événements détaillées en utilisant des techniques PowerShell avancées:

   $Events = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=5136; StartTime=(Get-Date).AddDays(-30)}
   $ParsedEvents = foreach ($Event in $Events) {
       $XML = [xml]$Event.ToXml()
       [PSCustomObject]@{
           TimeCreated = $Event.TimeCreated
           SubjectUserName = $XML.Event.EventData.Data | Where-Object {$_.Name -eq 'SubjectUserName'} | Select-Object -ExpandProperty '#text'
           ObjectDN = $XML.Event.EventData.Data | Where-Object {$_.Name -eq 'ObjectDN'} | Select-Object -ExpandProperty '#text'
           AttributeName = $XML.Event.EventData.Data | Where-Object {$_.Name -eq 'AttributeLDAPDisplayName'} | Select-Object -ExpandProperty '#text'
           OldValue = $XML.Event.EventData.Data | Where-Object {$_.Name -eq 'AttributeValue'} | Select-Object -ExpandProperty '#text'
       }
   }

2. Corréler avec les événements de connexion (4624) pour suivre les sessions utilisateur:

   $LogonEvents = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4624}
   # Cross-reference timestamps and user accounts

3. Analyser les schémas en utilisant l'analyse chronologique:

   $ParsedEvents | Group-Object SubjectUserName | Sort-Object Count -Descending | Select-Object Name, Count

4. Vérifier les indicateurs d'escalade de privilèges en surveillant les changements d'appartenance aux groupes
5. Générer des rapports complets pour la conformité et la réponse aux incidents:

   $ParsedEvents | Export-Csv -Path "C:\Forensics\AD_Modifications_$(Get-Date -Format 'yyyyMMdd').csv" -NoTypeInformation

6. Utiliser des outils comme ATA de Microsoft ou Azure ATP pour la détection avancée des menaces basée sur les schémas 5136