ID d'événement Windows 5141 – Microsoft-Windows-Security-Auditing : Échec de l'audit d'accès aux objets

Commencez par examiner la configuration et l'état actuel du journal des événements de sécurité pour identifier les problèmes immédiats.

1. Ouvrez Observateur d'événements → Journaux Windows → Sécurité
2. Cliquez avec le bouton droit sur le journal Sécurité et sélectionnez Propriétés
3. Vérifiez les paramètres Taille maximale du journal et Lorsque la taille maximale du journal des événements est atteinte
4. Si réglé sur Ne pas écraser les événements, changez pour Écraser les événements si nécessaire ou augmentez la taille du journal
5. Utilisez PowerShell pour vérifier l'état actuel du journal :

   Get-WinEvent -ListLog Security | Select-Object LogName, FileSize, MaximumSizeInBytes, RecordCount, IsEnabled

6. Vérifiez les événements 5141 récents et leur fréquence :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=5141} -MaxEvents 50 | Format-Table TimeCreated, Id, LevelDisplayName, Message -Wrap

7. Examinez l'état du service du journal des événements :

   Get-Service -Name EventLog | Select-Object Name, Status, StartType

Examinez les politiques d'audit actuelles pour identifier les paramètres trop agressifs qui pourraient surcharger le système.

1. Vérifiez la configuration actuelle de la politique d'audit :

   auditpol /get /category:*

2. Concentrez-vous spécifiquement sur l'audit de l'accès aux objets :

   auditpol /get /subcategory:"File System" /subcategory:"Registry" /subcategory:"Handle Manipulation"

3. Ouvrez Stratégie de sécurité locale ou Console de gestion des stratégies de groupe
4. Accédez à Configuration de l'ordinateur → Paramètres Windows → Paramètres de sécurité → Configuration avancée de la politique d'audit
5. Examinez les sous-catégories Accès aux objets et désactivez les audits inutiles :
   • Envisagez de désactiver l'audit de Succès pour les emplacements à fort trafic
   • Concentrez-vous sur l'audit de Échec pour la surveillance de la sécurité
   • Désactivez l'audit sur les répertoires système comme C:\Windows\Temp
6. Vérifiez les configurations SACL sur les répertoires à fort trafic :

   Get-Acl "C:\" -Audit | Select-Object -ExpandProperty Audit

7. Appliquez les modifications et surveillez l'amélioration de la fréquence 5141

Enquêter sur les contraintes de ressources système qui peuvent empêcher le traitement correct des événements d'audit.

1. Vérifier l'utilisation des ressources du processus LSASS :

   Get-Process lsass | Select-Object Name, CPU, WorkingSet, PagedMemorySize, HandleCount

2. Surveiller la performance du service Event Log :

   Get-Counter "\Process(EventLog)\% Processor Time", "\Process(EventLog)\Working Set"

3. Vérifier la performance d'E/S du disque sur le lecteur système :

   Get-Counter "\PhysicalDisk(_Total)\Avg. Disk Queue Length", "\PhysicalDisk(_Total)\% Disk Time"

4. Examiner l'utilisation de la mémoire système :

   Get-Counter "\Memory\Available MBytes", "\Memory\Committed Bytes"

5. Ouvrir Performance Monitor et créer un ensemble de collecteurs de données personnalisé pour suivre :
   • Process(lsass)\% Processor Time
   • Process(EventLog)\% Processor Time
   • LogicalDisk(C:)\% Free Space
   • System\Processor Queue Length
6. Exécuter le collecteur de données pendant les heures de pointe lorsque les événements 5141 se produisent
7. Si des contraintes de ressources sont identifiées, envisager :
   • Ajouter plus de RAM au système
   • Déplacer les journaux d'événements vers un disque plus rapide
   • Réduire la charge du système pendant les périodes de pointe d'audit

Implémentez une gestion avancée des journaux d'événements pour gérer plus efficacement les environnements d'audit à haut volume.

1. Augmentez la taille maximale du journal des événements de sécurité :

   wevtutil sl Security /ms:1073741824

2. Configurez le transfert des journaux d'événements pour réduire la pression sur le stockage local :

   # Activer WinRM pour le transfert d'événements
   winrm quickconfig -q
   # Configurer l'abonnement sur le serveur collecteur
   wecutil cs subscription.xml

3. Créez un journal d'événements personnalisé pour les événements d'audit à haut volume :

   New-WinEvent -ProviderName "Microsoft-Windows-Security-Auditing" -Id 5141 -Version 1

4. Configurez la politique d'audit pour utiliser des canaux personnalisés via le registre :
   • Accédez à HKLM\SYSTEM\CurrentControlSet\Services\EventLog\Security
   • Modifiez la valeur MaxSize pour augmenter la capacité du journal
   • Réglez Retention sur 0 pour écraser si nécessaire
5. Implémentez une rotation des journaux basée sur PowerShell :

   # Archiver et effacer le journal de sécurité lorsqu'il atteint 80% de sa capacité
   $log = Get-WinEvent -ListLog Security
   if (($log.FileSize / $log.MaximumSizeInBytes) -gt 0.8) {
       wevtutil epl Security "C:\Logs\Security_$(Get-Date -Format 'yyyyMMdd_HHmmss').evtx"
       wevtutil cl Security
   }

6. Planifiez le script de rotation en tant que tâche Windows pour s'exécuter toutes les heures pendant les périodes de pointe

Effectuer une analyse approfondie du système et des procédures de récupération pour les problèmes persistants 5141.

1. Vérifier la corruption du sous-système d'audit :

   # Vérifier l'intégrité de la base de données de sécurité
   sfc /scannow
   Dism /Online /Cleanup-Image /CheckHealth

2. Réinitialiser la politique d'audit aux valeurs par défaut et reconfigurer :

   # Sauvegarder la politique actuelle
   auditpol /backup /file:C:\temp\audit_backup.csv
   # Réinitialiser aux valeurs par défaut
   auditpol /clear /y
   # Restaurer l'audit minimal requis
   auditpol /set /subcategory:"Logon" /success:enable /failure:enable

3. Reconstruire la configuration du service de journal des événements :

   # Arrêter le service de journal des événements
   Stop-Service EventLog -Force
   # Effacer la corruption du registre du journal des événements
   Remove-Item "HKLM\SYSTEM\CurrentControlSet\Services\EventLog\Security\*" -Recurse -Force
   # Redémarrer le service pour reconstruire
   Start-Service EventLog

4. Vérifier les conflits de logiciels tiers :
   • Désactiver temporairement l'analyse en temps réel de l'antivirus
   • Arrêter les services non essentiels pouvant interférer avec l'audit
   • Examiner les logiciels récemment installés qui pourraient s'intégrer au sous-système de sécurité
5. Activer la journalisation de débogage pour le sous-système d'audit :

   # Activer la journalisation de débogage LSA
   reg add "HKLM\SYSTEM\CurrentControlSet\Control\Lsa" /v LsaDbgInfoLevel /t REG_DWORD /d 0x800 /f
   # Redémarrer le système pour appliquer les modifications

6. Si les problèmes persistent, envisager :
   • Exécuter le diagnostic de mémoire Windows pour vérifier les problèmes matériels
   • Effectuer une mise à niveau sur place de Windows pour réparer les fichiers système
   • Consulter le support Microsoft avec les journaux de débogage et la configuration du système