ID d'événement Windows 6279 – WinLogon : Session de connexion utilisateur détruite

Commencez par examiner les détails spécifiques de l'ID d'événement 6279 pour comprendre le contexte de la terminaison de session.

1. Ouvrez Observateur d'événements en appuyant sur Win + R, en tapant eventvwr.msc, et en appuyant sur Entrée
2. Accédez à Journaux Windows → Sécurité
3. Filtrez pour l'ID d'événement 6279 en cliquant avec le bouton droit sur le journal Sécurité et en sélectionnant Filtrer le journal actuel
4. Entrez 6279 dans le champ ID d'événements et cliquez sur OK
5. Double-cliquez sur les entrées récentes de l'ID d'événement 6279 pour examiner les détails, y compris :
   • ID de sécurité du sujet et nom du compte
   • ID de connexion (correspond aux événements de connexion)
   • Nom de session et type de connexion
   • Adresse réseau source (pour les sessions à distance)
6. Utilisez PowerShell pour interroger plusieurs événements efficacement :

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=6279} -MaxEvents 50 | Select-Object TimeCreated, Id, @{Name='User';Expression={$_.Properties[1].Value}}, @{Name='LogonID';Expression={$_.Properties[3].Value}}

Utilisez PowerShell pour analyser les modèles de session et identifier les problèmes potentiels de gestion des sessions.

1. Créez un script d'analyse de session complet :

# Obtenez les événements de destruction de session des dernières 24 heures
$StartTime = (Get-Date).AddDays(-1)
$SessionEvents = Get-WinEvent -FilterHashtable @{
    LogName='Security'
    Id=6279
    StartTime=$StartTime
} | ForEach-Object {
    [PSCustomObject]@{
        TimeCreated = $_.TimeCreated
        UserName = $_.Properties[1].Value
        LogonID = $_.Properties[3].Value
        SessionName = $_.Properties[4].Value
        LogonType = $_.Properties[5].Value
        SourceIP = $_.Properties[6].Value
    }
}

# Regroupez par utilisateur pour identifier les modèles
$SessionEvents | Group-Object UserName | Sort-Object Count -Descending

2. Analysez la durée des sessions en corrélant avec les événements de connexion :

# Trouvez les paires de connexion/déconnexion correspondantes
$LogonEvents = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4624; StartTime=$StartTime}
$SessionDurations = foreach ($Logoff in $SessionEvents) {
    $MatchingLogon = $LogonEvents | Where-Object {
        $_.Properties[7].Value -eq $Logoff.LogonID
    } | Select-Object -First 1
    
    if ($MatchingLogon) {
        [PSCustomObject]@{
            User = $Logoff.UserName
            LogonTime = $MatchingLogon.TimeCreated
            LogoffTime = $Logoff.TimeCreated
            Duration = $Logoff.TimeCreated - $MatchingLogon.TimeCreated
        }
    }
}

$SessionDurations | Sort-Object Duration -Descending

Assurez-vous de configurer correctement la politique d'audit pour capturer des informations de session complètes.

1. Vérifiez les paramètres actuels de la politique d'audit en utilisant la stratégie de groupe ou la ligne de commande :

# Vérifiez la politique d'audit actuelle
auditpol /get /category:"Logon/Logoff"

# Activez l'audit détaillé des connexions si nécessaire
auditpol /set /subcategory:"Logon" /success:enable /failure:enable
auditpol /set /subcategory:"Logoff" /success:enable /failure:enable

2. Configurez la stratégie de groupe pour les environnements d'entreprise :
   • Ouvrez Group Policy Management Console
   • Accédez à Configuration de l'ordinateur → Stratégies → Paramètres Windows → Paramètres de sécurité → Configuration avancée de la politique d'audit
   • Développez Politiques d'audit → Logon/Logoff
   • Activez Audit Logon et Audit Logoff pour les succès et les échecs
3. Vérifiez l'application de la politique d'audit :

# Vérifiez la politique d'audit effective
Get-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\EventLog\Security" -Name MaxSize

# Surveillez les changements de politique d'audit
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4719} -MaxEvents 10

4. Configurez les paramètres de rétention du journal de sécurité dans le registre :

# Augmentez la taille du journal de sécurité (valeur en octets)
Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\EventLog\Security" -Name "MaxSize" -Value 104857600

# Définissez la politique de rétention (0=écraser si nécessaire, 1=écraser les événements plus anciens que X jours)
Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\EventLog\Security" -Name "Retention" -Value 0

Configurez une surveillance proactive pour les modèles de terminaison de session inhabituels qui pourraient indiquer des problèmes de sécurité.

1. Créez un script PowerShell pour la surveillance continue des sessions :

# Script de surveillance des sessions
param(
    [int]$ThresholdMinutes = 60,
    [string]$LogPath = "C:\Logs\SessionMonitoring.log"
)

$StartTime = (Get-Date).AddMinutes(-$ThresholdMinutes)
$SuspiciousEvents = Get-WinEvent -FilterHashtable @{
    LogName='Security'
    Id=6279
    StartTime=$StartTime
} | Where-Object {
    # Signaler les sessions terminées dans les 5 minutes suivant la connexion
    $LogonEvents = Get-WinEvent -FilterHashtable @{
        LogName='Security'
        Id=4624
        StartTime=$StartTime
    } | Where-Object {$_.Properties[7].Value -eq $_.Properties[3].Value}
    
    if ($LogonEvents) {
        $Duration = $_.TimeCreated - $LogonEvents[0].TimeCreated
        $Duration.TotalMinutes -lt 5
    }
}

if ($SuspiciousEvents) {
    $Alert = "ALERTE : {0} terminaisons de session suspectes détectées" -f $SuspiciousEvents.Count
    Add-Content -Path $LogPath -Value "$(Get-Date): $Alert"
    # Envoyer un email ou déclencher une alerte SIEM ici
}

2. Planifiez le script de surveillance à l'aide du Planificateur de tâches :

# Créer une tâche planifiée pour la surveillance des sessions
$Action = New-ScheduledTaskAction -Execute "PowerShell.exe" -Argument "-File C:\Scripts\SessionMonitor.ps1"
$Trigger = New-ScheduledTaskTrigger -RepetitionInterval (New-TimeSpan -Minutes 15) -RepetitionDuration (New-TimeSpan -Days 365) -At (Get-Date)
$Settings = New-ScheduledTaskSettingsSet -AllowStartIfOnBatteries -DontStopIfGoingOnBatteries
$Principal = New-ScheduledTaskPrincipal -UserId "SYSTEM" -LogonType ServiceAccount

Register-ScheduledTask -TaskName "SessionMonitoring" -Action $Action -Trigger $Trigger -Settings $Settings -Principal $Principal

3. Configurez le transfert d'événements Windows pour une surveillance centralisée :

# Activer WinRM pour le transfert d'événements
winrm quickconfig -force

# Configurer l'abonnement aux événements (à exécuter sur le serveur collecteur)
wecutil cs SessionDestructionSubscription.xml

# Exemple de contenu XML d'abonnement :
# <Subscription xmlns="http://schemas.microsoft.com/2006/03/windows/events/subscription">
#   <SubscriptionId>SessionDestruction</SubscriptionId>
#   <Query><![CDATA[<QueryList><Query><Select Path="Security">*[System[EventID=6279]]</Select></Query></QueryList>]]></Query>
# </Subscription>

Effectuer une analyse médico-légale approfondie lorsque les modèles d'ID d'événement 6279 indiquent des incidents de sécurité potentiels ou des problèmes système.

1. Créer des requêtes d'analyse médico-légale complètes :

# Script d'analyse médico-légale avancée
$AnalysisStart = (Get-Date).AddDays(-7)

# Obtenir tous les événements de session avec un contexte détaillé
$SessionData = Get-WinEvent -FilterHashtable @{
    LogName='Security'
    Id=@(4624,4634,4647,6279)
    StartTime=$AnalysisStart
} | ForEach-Object {
    $EventData = @{}
    for ($i = 0; $i -lt $_.Properties.Count; $i++) {
        $EventData["Property$i"] = $_.Properties[$i].Value
    }
    
    [PSCustomObject]@{
        TimeCreated = $_.TimeCreated
        EventID = $_.Id
        UserName = $EventData.Property1
        LogonID = $EventData.Property3
        LogonType = $EventData.Property8
        SourceIP = $EventData.Property11
        ProcessName = $EventData.Property9
        AllProperties = $EventData
    }
}

# Identifier les modèles anormaux
$AnomalousPatterns = $SessionData | Group-Object UserName | Where-Object {
    $_.Count -gt 100 -or  # Nombre élevé de sessions
    ($_.Group | Group-Object SourceIP | Measure-Object).Count -gt 10  # Plusieurs IP sources
}

2. Analyser les raisons de la terminaison des sessions et les corréler avec les événements système :

# Corréler avec les événements système qui pourraient causer la terminaison des sessions
$SystemEvents = Get-WinEvent -FilterHashtable @{
    LogName='System'
    Id=@(1074,6005,6006,6008,6009)
    StartTime=$AnalysisStart
}

# Trouver les sessions terminées près des événements système
$CorrelatedEvents = foreach ($SysEvent in $SystemEvents) {
    $NearbySessionEvents = $SessionData | Where-Object {
        $_.EventID -eq 6279 -and
        [Math]::Abs(($_.TimeCreated - $SysEvent.TimeCreated).TotalMinutes) -lt 5
    }
    
    if ($NearbySessionEvents) {
        [PSCustomObject]@{
            SystemEvent = $SysEvent.Id
            SystemTime = $SysEvent.TimeCreated
            AffectedSessions = $NearbySessionEvents.Count
            Users = ($NearbySessionEvents.UserName | Sort-Object -Unique) -join ', '
        }
    }
}

3. Générer des rapports médico-légaux détaillés :

# Générer un rapport de session complet
$Report = @{
    TotalSessions = ($SessionData | Where-Object EventID -eq 6279).Count
    UniqueUsers = ($SessionData.UserName | Sort-Object -Unique).Count
    TopUsers = $SessionData | Group-Object UserName | Sort-Object Count -Descending | Select-Object -First 10
    SessionsByHour = $SessionData | Group-Object {$_.TimeCreated.Hour} | Sort-Object Name
    RemoteSessions = $SessionData | Where-Object {$_.SourceIP -and $_.SourceIP -ne '-'}
    AnomalousPatterns = $AnomalousPatterns
    SystemCorrelations = $CorrelatedEvents
}

# Exporter en JSON pour une analyse plus approfondie
$Report | ConvertTo-Json -Depth 3 | Out-File "C:\Forensics\SessionAnalysis_$(Get-Date -Format 'yyyyMMdd_HHmmss').json"