ID d'événement Windows 5633 – Audit de sécurité : Événement d'audit de gestion des comptes utilisateur

Commencez par examiner les entrées spécifiques de l'ID d'événement 5633 pour comprendre quelles opérations de gestion de compte ont déclenché les événements.

1. Ouvrez Observateur d'événements en appuyant sur Win + R, en tapant eventvwr.msc, et en appuyant sur Entrée
2. Accédez à Journaux Windows → Sécurité
3. Dans le volet Actions, cliquez sur Filtrer le journal actuel
4. Entrez 5633 dans le champ ID d'événements et cliquez sur OK
5. Double-cliquez sur les entrées de l'ID d'événement 5633 pour voir des informations détaillées
6. Examinez la section Sujet pour identifier qui a effectué l'opération de compte
7. Examinez la section Compte cible pour voir quel compte utilisateur a été affecté
8. Vérifiez la section Attributs modifiés pour comprendre quelles modifications ont été apportées

Utilisez PowerShell pour extraire et analyser les entrées d'ID d'événement 5633 pour un suivi complet de la gestion des comptes.

1. Ouvrez PowerShell en tant qu'administrateur
2. Interrogez les entrées récentes d'ID d'événement 5633 :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=5633} -MaxEvents 50 | Format-Table TimeCreated, Id, LevelDisplayName, Message -Wrap

3. Extrayez les propriétés détaillées de l'événement pour l'analyse :

   $Events = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=5633} -MaxEvents 100
   $Events | ForEach-Object {
       $Event = [xml]$_.ToXml()
       [PSCustomObject]@{
           TimeCreated = $_.TimeCreated
           SubjectUserName = $Event.Event.EventData.Data | Where-Object {$_.Name -eq 'SubjectUserName'} | Select-Object -ExpandProperty '#text'
           TargetUserName = $Event.Event.EventData.Data | Where-Object {$_.Name -eq 'TargetUserName'} | Select-Object -ExpandProperty '#text'
           TargetSid = $Event.Event.EventData.Data | Where-Object {$_.Name -eq 'TargetSid'} | Select-Object -ExpandProperty '#text'
       }
   }

4. Filtrez les événements par plage de temps spécifique :

   $StartTime = (Get-Date).AddDays(-7)
   $EndTime = Get-Date
   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=5633; StartTime=$StartTime; EndTime=$EndTime}

Assurez-vous de configurer correctement la politique d'audit pour capturer des événements complets de gestion des comptes utilisateurs.

1. Ouvrez Group Policy Management Console ou exécutez gpedit.msc pour la politique locale
2. Accédez à Configuration de l'ordinateur → Paramètres Windows → Paramètres de sécurité → Configuration avancée de la politique d'audit
3. Développez Gestion des comptes et double-cliquez sur Audit de la gestion des comptes utilisateurs
4. Cochez à la fois Succès et Échec pour capturer toutes les opérations de compte
5. Appliquez la politique et exécutez gpupdate /force pour actualiser les paramètres
6. Vérifiez la configuration de la politique d'audit en utilisant la ligne de commande :

   auditpol /get /subcategory:"User Account Management"

7. Vérifiez les paramètres d'audit actuels dans toutes les catégories :

   auditpol /get /category:*

8. Activez des sous-catégories spécifiques si nécessaire :

   auditpol /set /subcategory:"User Account Management" /success:enable /failure:enable

Analyser les modèles d'ID d'événement 5633 pour identifier des activités de gestion de compte inhabituelles ou des problèmes de sécurité potentiels.

1. Créer un script PowerShell pour analyser les modèles de création de compte :

   $Events = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=5633} -MaxEvents 1000
   $Analysis = $Events | ForEach-Object {
       $Event = [xml]$_.ToXml()
       [PSCustomObject]@{
           Time = $_.TimeCreated
           Subject = $Event.Event.EventData.Data | Where-Object {$_.Name -eq 'SubjectUserName'} | Select-Object -ExpandProperty '#text'
           Target = $Event.Event.EventData.Data | Where-Object {$_.Name -eq 'TargetUserName'} | Select-Object -ExpandProperty '#text'
           Domain = $Event.Event.EventData.Data | Where-Object {$_.Name -eq 'TargetDomainName'} | Select-Object -ExpandProperty '#text'
       }
   }
   $Analysis | Group-Object Subject | Sort-Object Count -Descending

2. Identifier les comptes créés en dehors des heures de bureau :

   $Analysis | Where-Object {$_.Time.Hour -lt 8 -or $_.Time.Hour -gt 18} | Format-Table

3. Vérifier les activités de création de comptes en masse :

   $Analysis | Group-Object @{Expression={$_.Time.Date}} | Where-Object {$_.Count -gt 10}

4. Faire une référence croisée avec Active Directory pour vérifier le statut du compte :

   Import-Module ActiveDirectory
   $RecentAccounts = $Analysis | Where-Object {$_.Time -gt (Get-Date).AddDays(-1)}
   $RecentAccounts | ForEach-Object {
       try {
           $ADUser = Get-ADUser -Identity $_.Target -Properties Created, Enabled
           [PSCustomObject]@{
               Username = $_.Target
               EventTime = $_.Time
               ADCreated = $ADUser.Created
               Enabled = $ADUser.Enabled
           }
       } catch {
           Write-Warning "Account $($_.Target) not found in AD"
       }
   }

Implémentez des solutions de surveillance automatisées pour suivre l'ID d'événement 5633 et alerter sur les activités suspectes de gestion de compte.

1. Créez une tâche planifiée pour surveiller les événements de création de compte :

   $Action = New-ScheduledTaskAction -Execute 'PowerShell.exe' -Argument '-File C:\Scripts\MonitorAccountCreation.ps1'
   $Trigger = New-ScheduledTaskTrigger -Daily -At '09:00'
   $Principal = New-ScheduledTaskPrincipal -UserID 'SYSTEM' -LogonType ServiceAccount
   Register-ScheduledTask -TaskName 'Monitor-AccountCreation' -Action $Action -Trigger $Trigger -Principal $Principal

2. Créez le script de surveillance à C:\Scripts\MonitorAccountCreation.ps1 :

   # Script de surveillance de la création de compte
   $Yesterday = (Get-Date).AddDays(-1)
   $Events = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=5633; StartTime=$Yesterday}
   
   if ($Events.Count -gt 20) {
       $Subject = "Détection d'une création de compte en volume élevé"
       $Body = "$($Events.Count) événements de gestion de compte détectés au cours des dernières 24 heures"
       Send-MailMessage -To 'admin@company.com' -From 'monitoring@company.com' -Subject $Subject -Body $Body -SmtpServer 'mail.company.com'
   }

3. Configurez le transfert d'événements Windows pour une surveillance centralisée :

   wecutil cs subscription.xml

4. Créez un fichier XML d'abonnement pour le transfert de l'ID d'événement 5633 :

   <Subscription xmlns="http://schemas.microsoft.com/2006/03/windows/events/subscription">
       <SubscriptionId>AccountManagement</SubscriptionId>
       <SubscriptionType>SourceInitiated</SubscriptionType>
       <Query>
           <![CDATA[
           <QueryList>
               <Query Id="0">
                   <Select Path="Security">*[System[(EventID=5633)]]</Select>
               </Query>
           </QueryList>
           ]]>
       </Query>
   </Subscription>