ID d'événement Windows 5142 – Microsoft-Windows-Security-Auditing : Serveur de stratégie réseau a accordé l'accès utilisateur

Commencez par examiner les détails complets de l'événement pour comprendre le contexte d'authentification :

1. Ouvrez Observateur d'événements → Journaux Windows → Sécurité
2. Filtrez pour l'ID d'événement 5142 en utilisant l'option de filtre
3. Double-cliquez sur une entrée récente de l'ID d'événement 5142
4. Examinez les champs clés dans les détails de l'événement :
   • Sujet : Le compte utilisateur qui a obtenu l'accès
   • Machine Client : Ordinateur ou appareil source
   • Fournisseur d'authentification : Méthode utilisée (Windows, proxy RADIUS)
   • Serveur d'authentification : Serveur NPS traitant la demande
   • Type d'authentification : Protocole utilisé (PEAP, EAP-TLS, PAP, etc.)
   • Nom de la politique réseau : Politique qui a accordé l'accès
5. Notez l'ID de la station appelante et l'Identifiant NAS pour identifier le point d'accès ou le commutateur

Utilisez PowerShell pour interroger plusieurs événements efficacement :

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=5142} -MaxEvents 50 | Select-Object TimeCreated, Id, @{Name='User';Expression={($_.Properties[0].Value)}}, @{Name='ClientMachine';Expression={($_.Properties[4].Value)}}

Utilisez PowerShell pour identifier les tendances d'authentification et les préoccupations de sécurité potentielles :

1. Extraire les données d'authentification pour analyse :

   $Events = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=5142; StartTime=(Get-Date).AddDays(-7)}
   $AuthData = $Events | ForEach-Object {
       [PSCustomObject]@{
           Time = $_.TimeCreated
           User = $_.Properties[0].Value
           ClientMachine = $_.Properties[4].Value
           AuthType = $_.Properties[10].Value
           NetworkPolicy = $_.Properties[11].Value
           CallingStationId = $_.Properties[5].Value
       }
   }

2. Regrouper les authentifications par utilisateur pour identifier les modèles :

   $AuthData | Group-Object User | Sort-Object Count -Descending | Select-Object Name, Count

3. Identifier les méthodes d'authentification utilisées :

   $AuthData | Group-Object AuthType | Sort-Object Count -Descending

4. Vérifier les heures ou les lieux d'authentification inhabituels :

   $AuthData | Where-Object {$_.Time.Hour -lt 6 -or $_.Time.Hour -gt 22} | Format-Table Time, User, ClientMachine

Vérifiez que les authentifications réussies sont conformes aux politiques réseau prévues :

1. Ouvrez la console Network Policy Server à partir des Outils d'administration
2. Accédez à Politiques → Politiques réseau
3. Examinez la politique réseau mentionnée dans l'ID d'événement 5142
4. Vérifiez les conditions et contraintes de la politique :
   • Exigences d'appartenance à un utilisateur/groupe
   • Restrictions de méthode d'authentification
   • Limitations horaires
   • Filtres d'ID de station appelante
5. Vérifiez la configuration du client RADIUS sous Clients et serveurs RADIUS
6. Utilisez PowerShell pour exporter la configuration NPS pour la documentation :

   Export-NpsConfiguration -Path "C:\NPSBackup\NPS-Config-$(Get-Date -Format 'yyyy-MM-dd').xml"

7. Examinez les politiques de demande de connexion qui peuvent affecter le flux d'authentification
8. Vérifiez les paramètres de comptabilité pour vous assurer que la journalisation appropriée est activée

Corréler les événements NPS avec les journaux des appareils réseau pour une visibilité complète de l'authentification :

1. Identifier le serveur d'accès réseau à partir du champ NAS-Identifier dans l'ID d'événement 5142
2. Accéder aux journaux sur l'appareil réseau correspondant (contrôleur sans fil, commutateur, serveur VPN)
3. Faire correspondre les horodatages et les identifiants de session entre les journaux NPS et ceux de l'appareil réseau
4. Utiliser PowerShell pour créer des rapports de corrélation :

   $NPSEvents = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=5142; StartTime=(Get-Date).AddHours(-1)}
   $CorrelationData = $NPSEvents | ForEach-Object {
       $EventXML = [xml]$_.ToXml()
       [PSCustomObject]@{
           NPSTime = $_.TimeCreated
           SessionId = $EventXML.Event.EventData.Data | Where-Object {$_.Name -eq 'AcctSessionId'} | Select-Object -ExpandProperty '#text'
           CallingStationId = $EventXML.Event.EventData.Data | Where-Object {$_.Name -eq 'CallingStationId'} | Select-Object -ExpandProperty '#text'
           NASIdentifier = $EventXML.Event.EventData.Data | Where-Object {$_.Name -eq 'NASIdentifier'} | Select-Object -ExpandProperty '#text'
       }
   }

5. Exporter les données de corrélation pour analyse :

   $CorrelationData | Export-Csv -Path "C:\Logs\NPS-Correlation-$(Get-Date -Format 'yyyy-MM-dd-HHmm').csv" -NoTypeInformation

6. Examiner les retards ou échecs d'authentification non reflétés dans les journaux NPS

Configurez une surveillance proactive pour les modèles d'authentification et les anomalies de sécurité :

1. Créez des vues personnalisées dans le Visualiseur d'événements pour la surveillance de l'authentification NPS :
   • Cliquez avec le bouton droit sur Vues personnalisées dans le Visualiseur d'événements
   • Sélectionnez Créer une vue personnalisée
   • Filtrez pour les ID d'événement 5140, 5141, 5142 à partir du journal de sécurité
   • Enregistrez sous "Événements d'authentification NPS"
2. Configurez le transfert d'événements Windows pour la journalisation centralisée :

   wecutil cs "C:\Config\NPSSubscription.xml"

3. Configurez des tâches planifiées PowerShell pour une analyse automatisée :

   $Action = New-ScheduledTaskAction -Execute "PowerShell.exe" -Argument "-File C:\Scripts\NPS-Analysis.ps1"
   $Trigger = New-ScheduledTaskTrigger -Daily -At "06:00AM"
   $Settings = New-ScheduledTaskSettingsSet -AllowStartIfOnBatteries -DontStopIfGoingOnBatteries
   Register-ScheduledTask -TaskName "NPS Daily Analysis" -Action $Action -Trigger $Trigger -Settings $Settings

4. Intégrez avec des solutions SIEM en utilisant le transfert d'événements Windows ou l'expédition de journaux
5. Créez des modèles d'authentification de référence et alertez sur les écarts
6. Surveillez les tentatives d'authentification depuis des lieux ou des horaires inhabituels