ID d'événement Windows 5140 – Microsoft-Windows-Security-Auditing : Objet de partage réseau accédé

Commencez par examiner les détails spécifiques de l'ID d'événement 5140 pour comprendre le modèle d'accès et identifier les préoccupations potentielles en matière de sécurité.

1. Ouvrez Observateur d'événements en appuyant sur Win + R, en tapant eventvwr.msc, et en appuyant sur Entrée
2. Accédez à Journaux Windows → Sécurité
3. Filtrez le journal en cliquant sur Filtrer le journal actuel dans le volet Actions
4. Entrez 5140 dans le champ ID d'événements et cliquez sur OK
5. Double-cliquez sur un événement 5140 pour voir des informations détaillées, y compris :
   • Sujet : Compte utilisateur qui a accédé au partage
   • Objet : Nom et chemin du partage accédé
   • Informations sur le processus : ID et nom du processus
   • Informations réseau : Adresse source et port
   • Informations sur la demande d'accès : Permissions demandées
6. Portez une attention particulière au champ Adresse source pour identifier le système d'origine
7. Vérifiez la valeur du Masque d'accès pour comprendre quel type d'accès a été demandé

Utilisez PowerShell pour interroger et analyser les modèles d'ID d'événement 5140 sur des périodes pour identifier les tendances et les anomalies.

1. Ouvrez PowerShell en tant qu'administrateur
2. Interrogez les événements récents 5140 avec un filtrage de base :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=5140} -MaxEvents 100 | Select-Object TimeCreated, Id, LevelDisplayName, Message

3. Extrayez des détails spécifiques de l'événement pour l'analyse :

   $Events = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=5140} -MaxEvents 500
   $Events | ForEach-Object {
       $EventXML = [xml]$_.ToXml()
       $EventData = $EventXML.Event.EventData.Data
       [PSCustomObject]@{
           TimeCreated = $_.TimeCreated
           SubjectUserName = ($EventData | Where-Object {$_.Name -eq 'SubjectUserName'}).'#text'
           ObjectName = ($EventData | Where-Object {$_.Name -eq 'ObjectName'}).'#text'
           IpAddress = ($EventData | Where-Object {$_.Name -eq 'IpAddress'}).'#text'
           AccessMask = ($EventData | Where-Object {$_.Name -eq 'AccessMask'}).'#text'
       }
   } | Format-Table -AutoSize

4. Identifiez les utilisateurs accédant le plus :

   $Events | Group-Object {($_.ToXml() | Select-Xml -XPath "//Data[@Name='SubjectUserName']").Node.InnerText} | Sort-Object Count -Descending | Select-Object Name, Count

5. Trouvez les tentatives d'accès depuis des adresses IP externes :

   $Events | Where-Object {($_.ToXml() | Select-Xml -XPath "//Data[@Name='IpAddress']").Node.InnerText -notlike '192.168.*' -and ($_.ToXml() | Select-Xml -XPath "//Data[@Name='IpAddress']").Node.InnerText -ne '-'}

Ajustez finement l'audit d'accès aux objets pour contrôler la génération de l'ID d'événement 5140 et réduire le bruit tout en maintenant la visibilité de la sécurité.

1. Ouvrez Console de gestion des stratégies de groupe ou Éditeur de stratégie de groupe locale (gpedit.msc)
2. Accédez à Configuration de l'ordinateur → Paramètres Windows → Paramètres de sécurité → Configuration avancée de la stratégie d'audit → Stratégies d'audit → Accès aux objets
3. Double-cliquez sur la stratégie Audit du partage de fichiers
4. Configurez la stratégie en fonction de vos besoins de surveillance:
   • Cochez Succès pour enregistrer les accès réussis au partage
   • Cochez Échec pour enregistrer les tentatives d'accès échouées
   • Cliquez sur OK pour appliquer les modifications
5. Vérifiez les paramètres d'audit actuels à l'aide de PowerShell:

   auditpol /get /subcategory:"File Share"

6. Pour un contrôle plus granulaire, configurez des partages spécifiques pour l'audit:

   # Activer l'audit sur un partage spécifique
   $SharePath = "C:\SharedData"
   $ACL = Get-Acl $SharePath
   $AccessRule = New-Object System.Security.AccessControl.FileSystemAuditRule("Everyone", "FullControl", "ContainerInherit,ObjectInherit", "None", "Success,Failure")
   $ACL.SetAuditRule($AccessRule)
   Set-Acl $SharePath $ACL

7. Appliquez les mises à jour de la stratégie de groupe:

   gpupdate /force

Configurez la surveillance automatisée pour l'ID d'événement 5140 afin de détecter les schémas d'accès suspects et les incidents de sécurité potentiels en temps réel.

1. Créez un script PowerShell pour une surveillance continue :

   # Enregistrez sous Monitor-ShareAccess.ps1
   param(
       [int]$MonitoringIntervalMinutes = 5,
       [string]$AlertThreshold = 50
   )
   
   while ($true) {
       $StartTime = (Get-Date).AddMinutes(-$MonitoringIntervalMinutes)
       $Events = Get-WinEvent -FilterHashtable @{
           LogName='Security'
           Id=5140
           StartTime=$StartTime
       } -ErrorAction SilentlyContinue
       
       if ($Events.Count -gt $AlertThreshold) {
           $AlertMessage = "Activité d'accès partagé élevée détectée : $($Events.Count) événements dans les dernières $MonitoringIntervalMinutes minutes"
           Write-EventLog -LogName Application -Source "ShareMonitor" -EventId 1001 -EntryType Warning -Message $AlertMessage
           # Ajoutez ici une notification par email ou une intégration SIEM
       }
       
       Start-Sleep -Seconds ($MonitoringIntervalMinutes * 60)
   }

2. Enregistrez le script en tant que service Windows ou tâche planifiée :

   # Créer une tâche planifiée
   $Action = New-ScheduledTaskAction -Execute "PowerShell.exe" -Argument "-File C:\Scripts\Monitor-ShareAccess.ps1"
   $Trigger = New-ScheduledTaskTrigger -AtStartup
   $Settings = New-ScheduledTaskSettingsSet -AllowStartIfOnBatteries -DontStopIfGoingOnBatteries -StartWhenAvailable
   Register-ScheduledTask -TaskName "ShareAccessMonitor" -Action $Action -Trigger $Trigger -Settings $Settings -RunLevel Highest

3. Configurez le transfert d'événements Windows pour la journalisation centralisée :

   # Sur le serveur collecteur
   wecutil qc /q
   wecutil cs subscription.xml

4. Créez un fichier XML d'abonnement pour la collecte de l'événement 5140 :

   <Subscription xmlns="http://schemas.microsoft.com/2006/03/windows/events/subscription">
       <SubscriptionId>ShareAccessEvents</SubscriptionId>
       <SubscriptionType>SourceInitiated</SubscriptionType>
       <Description>Transférer l'ID d'événement 5140 des ordinateurs du domaine</Description>
       <Enabled>true</Enabled>
       <Uri>http://schemas.microsoft.com/wbem/wsman/1/windows/EventLog</Uri>
       <ConfigurationMode>Normal</ConfigurationMode>
       <Query>
           <![CDATA[
           <QueryList>
               <Query Id="0">
                   <Select Path="Security">*[System[(EventID=5140)]]</Select>
               </Query>
           </QueryList>
           ]]>
       </Query>
   </Subscription>

Effectuez une analyse médico-légale complète en corrélant l'ID d'événement 5140 avec des événements de sécurité connexes pour construire des chronologies d'attaque complètes et identifier les incidents de sécurité.

1. Identifiez les événements connexes pour l'analyse de corrélation:

   # Obtenez les événements de connexion corrélés avec l'accès au partage
   $ShareEvents = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=5140} -MaxEvents 1000
   $LogonEvents = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4624,4625} -MaxEvents 1000
   
   # Corréler par LogonId
   $CorrelatedEvents = foreach ($ShareEvent in $ShareEvents) {
       $ShareXML = [xml]$ShareEvent.ToXml()
       $LogonId = ($ShareXML.Event.EventData.Data | Where-Object {$_.Name -eq 'SubjectLogonId'}).'#text'
       
       $RelatedLogon = $LogonEvents | Where-Object {
           $LogonXML = [xml]$_.ToXml()
           ($LogonXML.Event.EventData.Data | Where-Object {$_.Name -eq 'TargetLogonId'}).'#text' -eq $LogonId
       } | Select-Object -First 1
       
       if ($RelatedLogon) {
           [PSCustomObject]@{
               ShareAccessTime = $ShareEvent.TimeCreated
               LogonTime = $RelatedLogon.TimeCreated
               LogonId = $LogonId
               SharePath = ($ShareXML.Event.EventData.Data | Where-Object {$_.Name -eq 'ObjectName'}).'#text'
               SourceIP = ($ShareXML.Event.EventData.Data | Where-Object {$_.Name -eq 'IpAddress'}).'#text'
           }
       }
   }

2. Analysez les schémas d'accès pour la détection d'anomalies:

   # Détecter les heures d'accès inhabituelles
   $Events = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=5140; StartTime=(Get-Date).AddDays(-30)}
   $AccessTimes = $Events | ForEach-Object {
       [PSCustomObject]@{
           Hour = $_.TimeCreated.Hour
           DayOfWeek = $_.TimeCreated.DayOfWeek
           User = ($_.ToXml() | Select-Xml -XPath "//Data[@Name='SubjectUserName']").Node.InnerText
       }
   }
   
   # Trouver l'accès en dehors des heures de bureau
   $AfterHoursAccess = $AccessTimes | Where-Object {$_.Hour -lt 8 -or $_.Hour -gt 18 -or $_.DayOfWeek -in @('Saturday','Sunday')}
   $AfterHoursAccess | Group-Object User | Sort-Object Count -Descending

3. Exportez les données médico-légales pour une analyse externe:

   # Exporter vers CSV pour les outils d'analyse
   $ForensicData = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=5140; StartTime=(Get-Date).AddDays(-7)} | ForEach-Object {
       $EventXML = [xml]$_.ToXml()
       $EventData = $EventXML.Event.EventData.Data
       [PSCustomObject]@{
           TimeCreated = $_.TimeCreated
           EventId = $_.Id
           SubjectUserName = ($EventData | Where-Object {$_.Name -eq 'SubjectUserName'}).'#text'
           SubjectDomainName = ($EventData | Where-Object {$_.Name -eq 'SubjectDomainName'}).'#text'
           ObjectName = ($EventData | Where-Object {$_.Name -eq 'ObjectName'}).'#text'
           IpAddress = ($EventData | Where-Object {$_.Name -eq 'IpAddress'}).'#text'
           IpPort = ($EventData | Where-Object {$_.Name -eq 'IpPort'}).'#text'
           AccessMask = ($EventData | Where-Object {$_.Name -eq 'AccessMask'}).'#text'
       }
   }
   $ForensicData | Export-Csv -Path "C:\Forensics\ShareAccess_$(Get-Date -Format 'yyyyMMdd_HHmmss').csv" -NoTypeInformation

4. Créez une analyse chronologique pour la réponse aux incidents:

   # Générer une chronologie pour un utilisateur ou une IP spécifique
   $TargetUser = "DOMAIN\username"
   $Timeline = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4624,4625,5140; StartTime=(Get-Date).AddDays(-1)} | 
       Where-Object {$_.Message -like "*$TargetUser*"} | 
       Sort-Object TimeCreated | 
       Select-Object TimeCreated, Id, LevelDisplayName, @{Name='EventType';Expression={
           switch ($_.Id) {
               4624 {'Successful Logon'}
               4625 {'Failed Logon'}
               5140 {'Share Access'}
           }
       }}, Message
   $Timeline | Format-Table -Wrap