ID d'événement Windows 6273 – Microsoft-Windows-Security-Auditing : Accès accordé par le serveur de stratégie réseau

Commencez par examiner les détails complets de l'événement pour comprendre le contexte d'authentification et les informations sur le client.

1. Ouvrez Observateur d'événements sur votre serveur NPS ou contrôleur de domaine
2. Accédez à Journaux Windows → Sécurité
3. Filtrez pour l'ID d'événement 6273 en utilisant l'option de filtre
4. Double-cliquez sur l'événement pour voir des informations détaillées incluant :
   • Nom d'utilisateur et domaine
   • Adresse IP du client et adresse MAC
   • Méthode d'authentification utilisée
   • Nom de la politique réseau qui a accordé l'accès
   • Identifiant de session et horodatage
5. Notez l'ID de la station appelante qui contient généralement l'adresse MAC du client
6. Vérifiez le champ NAS-Identifier pour identifier quel appareil réseau a traité la demande

Utilisez PowerShell pour extraire et analyser les occurrences de l'ID d'événement 6273 pour les motifs et les tendances.

1. Ouvrez PowerShell en tant qu'administrateur sur votre serveur NPS
2. Interrogez les authentifications réussies récentes :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=6273} -MaxEvents 50 | Select-Object TimeCreated, Id, @{Name='User';Expression={($_.Message -split '\n' | Where-Object {$_ -like '*User Name:*'}) -replace '.*User Name:\s*',''}}, @{Name='ClientIP';Expression={($_.Message -split '\n' | Where-Object {$_ -like '*Client IP Address:*'}) -replace '.*Client IP Address:\s*',''}}

3. Filtrez les événements par utilisateur spécifique ou plage de temps :

   $StartTime = (Get-Date).AddHours(-24)
   $Events = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=6273; StartTime=$StartTime}
   $Events | Where-Object {$_.Message -like '*john.doe*'}

4. Exportez les données d'authentification pour le rapport de conformité :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=6273; StartTime=(Get-Date).AddDays(-7)} | Select-Object TimeCreated, @{Name='Details';Expression={$_.Message}} | Export-Csv -Path 'C:\Logs\NPS_Access_Granted.csv' -NoTypeInformation

Vérifiez que l'accès accordé est conforme à votre configuration de politique réseau prévue et aux exigences de sécurité.

1. Ouvrez la console Network Policy Server à partir des Outils d'administration
2. Accédez à Politiques → Politiques réseau
3. Localisez le nom de la politique mentionné dans les détails de l'ID d'événement 6273
4. Examinez les conditions de la politique pour vous assurer qu'elles correspondent à vos exigences de sécurité:
   • Exigences d'appartenance à un utilisateur/groupe
   • Restrictions d'accès basées sur le temps
   • Exigences de conformité des appareils
   • Conditions basées sur la localisation
5. Vérifiez les contraintes et paramètres de la politique:
   • Méthodes d'authentification autorisées
   • Valeurs de délai d'expiration de session
   • Affectations de VLAN ou filtres IP
   • Limitations de bande passante
6. Vérifiez l'ordre de traitement des politiques en consultant la colonne Ordre de traitement
7. Testez les modifications de politique dans un environnement contrôlé avant le déploiement en production

Implémentez une surveillance pour détecter des modèles d'authentification inhabituels pouvant indiquer des préoccupations de sécurité.

1. Créez un script PowerShell pour surveiller la fréquence d'authentification :

   # Surveiller les modèles d'authentification inhabituels
   $Yesterday = (Get-Date).AddDays(-1)
   $Events = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=6273; StartTime=$Yesterday}
   
   # Regrouper par utilisateur pour identifier les authentifications à haute fréquence
   $UserStats = $Events | ForEach-Object {
       $Message = $_.Message
       $User = ($Message -split '\n' | Where-Object {$_ -like '*User Name:*'}) -replace '.*User Name:\s*',''
       $ClientIP = ($Message -split '\n' | Where-Object {$_ -like '*Client IP Address:*'}) -replace '.*Client IP Address:\s*',''
       [PSCustomObject]@{
           User = $User
           ClientIP = $ClientIP
           TimeCreated = $_.TimeCreated
       }
   } | Group-Object User | Select-Object Name, Count | Sort-Object Count -Descending
   
   $UserStats | Where-Object {$_.Count -gt 100}

2. Configurez des tâches planifiées pour exécuter des scripts de surveillance et alerter sur les anomalies
3. Configurez le transfert d'événements Windows pour centraliser les journaux NPS de plusieurs serveurs
4. Utilisez les paramètres du registre pour augmenter la taille du journal de sécurité si nécessaire :

   Set-ItemProperty -Path 'HKLM\SYSTEM\CurrentControlSet\Services\EventLog\Security' -Name 'MaxSize' -Value 0x6400000  # 100MB

Activez la journalisation NPS complète pour une analyse détaillée du flux d'authentification et des scénarios de dépannage avancés.

1. Configurez la journalisation de la comptabilité et de l'authentification NPS:
   • Ouvrez la console Network Policy Server
   • Cliquez avec le bouton droit sur NPS (Local) et sélectionnez Propriétés
   • Allez à l'onglet Journalisation des événements
   • Activez les Événements de réussite et d'échec pour l'authentification et la comptabilité
2. Activez la journalisation détaillée des requêtes:
   • Accédez à Comptabilité dans la console NPS
   • Cliquez avec le bouton droit sur Propriétés du fichier journal
   • Configurez le format du fichier journal comme IAS (Legacy) ou DTS Compliant
   • Définissez les limites appropriées de rotation et de taille des fichiers journaux
3. Analysez les fichiers journaux NPS pour des informations détaillées sur les sessions:

   # Analyser les fichiers journaux NPS pour les détails d'authentification
   $LogPath = 'C:\Windows\System32\LogFiles\IN*.log'
   $LogEntries = Get-Content $LogPath | Where-Object {$_ -like '*6273*' -or $_ -like '*Access-Accept*'}
   $LogEntries | Select-Object -First 10

4. Recoupez l'ID d'événement 6273 avec les événements de début/arrêt de comptabilité RADIUS correspondants (ID d'événements 6272, 6274)
5. Utilisez des outils de capture de paquets réseau comme Wireshark pour analyser le trafic RADIUS si les problèmes d'authentification persistent