Effectuer une analyse médico-légale détaillée de l'ID d'événement 5143 pour les enquêtes de sécurité et les rapports de conformité.

Exporter les journaux de sécurité pour une analyse hors ligne:

# Exporter le journal de sécurité avec l'ID d'événement 5143 au format EVTX
wevtutil epl Security C:\Forensics\Security_5143_$(Get-Date -Format 'yyyyMMdd').evtx "/q:*[System[(EventID=5143)]]"

# Convertir en CSV pour les outils d'analyse
Get-WinEvent -Path "C:\Forensics\Security_5143_*.evtx" | Export-Csv -Path "C:\Forensics\ShareAccess_Analysis.csv" -NoTypeInformation

Corréler avec d'autres événements de sécurité pour une chronologie complète:

# Corréler l'ID d'événement 5143 avec les événements de connexion (4624, 4625)
$timeWindow = (Get-Date).AddHours(-2)
$shareEvents = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=5143; StartTime=$timeWindow}
$logonEvents = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4624,4625; StartTime=$timeWindow}

# Créer une chronologie de corrélation
$correlatedEvents = @()
foreach ($shareEvent in $shareEvents) {
    $xml = [xml]$shareEvent.ToXml()
    $userName = $xml.Event.EventData.Data | Where-Object {$_.Name -eq 'SubjectUserName'} | Select-Object -ExpandProperty '#text'
    $sourceIP = $xml.Event.EventData.Data | Where-Object {$_.Name -eq 'IpAddress'} | Select-Object -ExpandProperty '#text'
    
    $relatedLogon = $logonEvents | Where-Object {
        $logonXml = [xml]$_.ToXml()
        $logonUser = $logonXml.Event.EventData.Data | Where-Object {$_.Name -eq 'TargetUserName'} | Select-Object -ExpandProperty '#text'
        $logonIP = $logonXml.Event.EventData.Data | Where-Object {$_.Name -eq 'IpAddress'} | Select-Object -ExpandProperty '#text'
        
        $logonUser -eq $userName -and $logonIP -eq $sourceIP -and 
        [Math]::Abs(($_.TimeCreated - $shareEvent.TimeCreated).TotalMinutes) -lt 30
    }
    
    if ($relatedLogon) {
        $correlatedEvents += [PSCustomObject]@{
            ShareAccessTime = $shareEvent.TimeCreated
            LogonTime = $relatedLogon.TimeCreated
            UserName = $userName
            SourceIP = $sourceIP
            ShareName = $xml.Event.EventData.Data | Where-Object {$_.Name -eq 'ObjectName'} | Select-Object -ExpandProperty '#text'
        }
    }
}

Générer des rapports de conformité:

# Créer un rapport d'accès détaillé pour la conformité
$reportData = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=5143} -MaxEvents 10000 | ForEach-Object {
    $xml = [xml]$_.ToXml()
    [PSCustomObject]@{
        Timestamp = $_.TimeCreated
        EventID = $_.Id
        UserName = $xml.Event.EventData.Data | Where-Object {$_.Name -eq 'SubjectUserName'} | Select-Object -ExpandProperty '#text'
        UserDomain = $xml.Event.EventData.Data | Where-Object {$_.Name -eq 'SubjectDomainName'} | Select-Object -ExpandProperty '#text'
        ShareName = $xml.Event.EventData.Data | Where-Object {$_.Name -eq 'ObjectName'} | Select-Object -ExpandProperty '#text'
        SourceIP = $xml.Event.EventData.Data | Where-Object {$_.Name -eq 'IpAddress'} | Select-Object -ExpandProperty '#text'
        AccessMask = $xml.Event.EventData.Data | Where-Object {$_.Name -eq 'AccessMask'} | Select-Object -ExpandProperty '#text'
        ProcessName = $xml.Event.EventData.Data | Where-Object {$_.Name -eq 'ProcessName'} | Select-Object -ExpandProperty '#text'
    }
}

# Exporter au format compatible Excel
$reportData | Export-Csv -Path "C:\Reports\ShareAccess_Compliance_$(Get-Date -Format 'yyyyMMdd').csv" -NoTypeInformation

Analyser les modèles d'accès pour la détection d'anomalies:

# Détecter des modèles d'accès inhabituels
$baselineHours = 24 * 7  # Baseline d'une semaine
$baselineEvents = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=5143; StartTime=(Get-Date).AddHours(-$baselineHours)}

# Calculer la fréquence d'accès normale par utilisateur
$userBaseline = $baselineEvents | ForEach-Object {
    $xml = [xml]$_.ToXml()
    $xml.Event.EventData.Data | Where-Object {$_.Name -eq 'SubjectUserName'} | Select-Object -ExpandProperty '#text'
} | Group-Object | ForEach-Object {
    [PSCustomObject]@{
        UserName = $_.Name
        AverageAccessPerHour = $_.Count / $baselineHours
    }
}

# Comparer l'heure actuelle avec la baseline
$currentHourEvents = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=5143; StartTime=(Get-Date).AddHours(-1)}
$currentHourAccess = $currentHourEvents | ForEach-Object {
    $xml = [xml]$_.ToXml()
    $xml.Event.EventData.Data | Where-Object {$_.Name -eq 'SubjectUserName'} | Select-Object -ExpandProperty '#text'
} | Group-Object

foreach ($user in $currentHourAccess) {
    $baseline = $userBaseline | Where-Object {$_.UserName -eq $user.Name}
    if ($baseline -and $user.Count -gt ($baseline.AverageAccessPerHour * 3)) {
        Write-Warning "Accès anormal détecté pour l'utilisateur $($user.Name): $($user.Count) accès dans la dernière heure (baseline: $([math]::Round($baseline.AverageAccessPerHour, 2)))"
    }
}

Intégrer avec SIEM ou des outils de sécurité:

# Envoyer des événements de haute priorité à SIEM via syslog
function Send-SyslogMessage {
    param($Message, $Server, $Port = 514)
    $udpClient = New-Object System.Net.Sockets.UdpClient
    $bytes = [System.Text.Encoding]::UTF8.GetBytes($Message)
    $udpClient.Send($bytes, $bytes.Length, $Server, $Port)
    $udpClient.Close()
}

# Surveiller les accès en dehors des heures de travail
$afterHoursEvents = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=5143; StartTime=(Get-Date).AddHours(-1)} | Where-Object {
    $hour = $_.TimeCreated.Hour
    $hour -lt 7 -or $hour -gt 19  # En dehors de 7h à 19h
}

foreach ($event in $afterHoursEvents) {
    $xml = [xml]$event.ToXml()
    $message = "ALERTE: Accès au partage en dehors des heures par $($xml.Event.EventData.Data | Where-Object {$_.Name -eq 'SubjectUserName'} | Select-Object -ExpandProperty '#text') à $($event.TimeCreated)"
    Send-SyslogMessage -Message $message -Server "siem.company.com"
}

Astuce pro : Utilisez Windows Performance Toolkit (WPT) et Event Tracing for Windows (ETW) pour la surveillance en temps réel des événements d'accès au partage à haute fréquence sans impacter les performances du système.