ID d'événement Windows 5632 – LSA : Package d'authentification chargé

Commencez par examiner les détails spécifiques de l'ID d'événement 5632 pour comprendre quel package d'authentification a été chargé et le contexte.

1. Ouvrez Observateur d'événements en appuyant sur Win + R, en tapant eventvwr.msc, et en appuyant sur Entrée
2. Accédez à Journaux Windows → Sécurité
3. Filtrez pour l'ID d'événement 5632 en cliquant avec le bouton droit sur le journal Sécurité et en sélectionnant Filtrer le journal actuel
4. Entrez 5632 dans le champ ID d'événements et cliquez sur OK
5. Double-cliquez sur les entrées récentes de l'ID d'événement 5632 pour voir des informations détaillées
6. Notez le nom du package d'authentification, l'ID de processus et l'horodatage
7. Vérifiez l'onglet Détails pour des données XML supplémentaires incluant des informations spécifiques au package

Utilisez PowerShell pour analyser de manière programmatique les occurrences de l'ID d'événement 5632 et extraire des informations détaillées pour une enquête plus approfondie.

1. Ouvrez PowerShell en tant qu'administrateur
2. Interrogez les entrées récentes de l'ID d'événement 5632 :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=5632} -MaxEvents 50 | Select-Object TimeCreated, Id, LevelDisplayName, Message

3. Extrayez des informations spécifiques sur le package d'authentification :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=5632} | ForEach-Object {
       $xml = [xml]$_.ToXml()
       [PSCustomObject]@{
           TimeCreated = $_.TimeCreated
           PackageName = $xml.Event.EventData.Data | Where-Object {$_.Name -eq 'AuthenticationPackageName'} | Select-Object -ExpandProperty '#text'
           ProcessId = $xml.Event.EventData.Data | Where-Object {$_.Name -eq 'ProcessId'} | Select-Object -ExpandProperty '#text'
       }
   }

4. Filtrez les événements des dernières 24 heures :

   $StartTime = (Get-Date).AddDays(-1)
   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=5632; StartTime=$StartTime}

5. Exportez les résultats en CSV pour analyse :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=5632} -MaxEvents 100 | Export-Csv -Path "C:\Temp\Event5632_Analysis.csv" -NoTypeInformation

Examinez les emplacements du registre où les packages d'authentification sont enregistrés pour comprendre la configuration d'authentification du système.

1. Ouvrez l'Éditeur du Registre en appuyant sur Win + R, en tapant regedit, et en appuyant sur Entrée
2. Accédez à la clé de registre des packages d'authentification LSA :
   HKLM\SYSTEM\CurrentControlSet\Control\Lsa
3. Examinez la valeur Authentication Packages pour voir les fournisseurs d'authentification enregistrés
4. Vérifiez la valeur Security Packages pour des fournisseurs de sécurité supplémentaires
5. Examinez la valeur Notification Packages pour les DLL de notification de changement de mot de passe
6. Utilisez PowerShell pour interroger les valeurs du registre de manière programmatique :

   Get-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\Lsa" -Name "Authentication Packages"
   Get-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\Lsa" -Name "Security Packages"

7. Comparez les valeurs actuelles avec les configurations de référence pour identifier les modifications non autorisées

Examinez les fichiers DLL du package d'authentification réel pour vérifier leur légitimité et identifier les menaces potentielles pour la sécurité.

1. Identifiez les emplacements des fichiers du package d'authentification, généralement dans :
   C:\Windows\System32
2. Utilisez PowerShell pour lister les DLL liées à l'authentification :

   Get-ChildItem -Path "C:\Windows\System32" -Filter "*auth*.dll" | Select-Object Name, LastWriteTime, Length
   Get-ChildItem -Path "C:\Windows\System32" -Filter "*lsa*.dll" | Select-Object Name, LastWriteTime, Length

3. Vérifiez les signatures numériques des packages d'authentification :

   $AuthPackages = @("msv1_0.dll", "kerberos.dll", "ntlmssps.dll", "digest.dll")
   foreach ($package in $AuthPackages) {
       $file = Get-ChildItem -Path "C:\Windows\System32\$package" -ErrorAction SilentlyContinue
       if ($file) {
           $signature = Get-AuthenticodeSignature -FilePath $file.FullName
           Write-Output "$($file.Name): $($signature.Status) - $($signature.SignerCertificate.Subject)"
       }
   }

4. Utilisez Windows Defender ou un antivirus tiers pour analyser les fichiers du package d'authentification
5. Comparez les hachages de fichiers avec des bases de référence connues en utilisant :

   Get-FileHash -Path "C:\Windows\System32\msv1_0.dll" -Algorithm SHA256

6. Examinez les propriétés des fichiers et les informations de version pour les packages suspects

Implémentez une surveillance complète des événements de chargement des packages d'authentification pour améliorer la visibilité de la sécurité et la conformité.

1. Configurez la stratégie d'audit avancée pour les événements d'authentification à l'aide de la stratégie de groupe :
   Accédez à Configuration de l'ordinateur → Paramètres Windows → Paramètres de sécurité → Configuration de la stratégie d'audit avancée → Stratégies d'audit système → Changement de stratégie
2. Activez Audit du changement de politique d'authentification pour les événements de réussite et d'échec
3. Utilisez PowerShell pour configurer les politiques d'audit de manière programmatique :

   auditpol /set /subcategory:"Authentication Policy Change" /success:enable /failure:enable
   auditpol /get /subcategory:"Authentication Policy Change"

4. Configurez le transfert d'événements Windows (WEF) pour centraliser la collecte de l'ID d'événement 5632 :

   wecutil cs AuthPackageMonitoring.xml

5. Créez des requêtes de journal d'événements personnalisées pour l'intégration SIEM :

   $Query = @"
   
     
       *[System[EventID=5632]]
     
   
   "@
   Get-WinEvent -FilterXml $Query

6. Implémentez des alertes automatisées pour les modèles de chargement de packages d'authentification suspects
7. Documentez les configurations de base des packages d'authentification pour la détection des changements