ID d'événement Windows 4109 – Microsoft-Windows-Wininit : Notification de déconnexion de l'utilisateur

Commencez par examiner les détails spécifiques de l'ID d'événement 4109 pour comprendre le contexte de déconnexion et identifier d'éventuels motifs.

1. Ouvrez Observateur d'événements en appuyant sur Win + R, en tapant eventvwr.msc, et en appuyant sur Entrée
2. Accédez à Journaux Windows → Sécurité
3. Filtrez pour l'ID d'événement 4109 en cliquant avec le bouton droit sur le journal Sécurité et en sélectionnant Filtrer le journal actuel
4. Entrez 4109 dans le champ ID d'événements et cliquez sur OK
5. Double-cliquez sur les entrées récentes de l'ID d'événement 4109 pour examiner les détails, y compris :
   • ID de sécurité du sujet et nom du compte
   • Type de connexion (Interactive, Réseau, Service, etc.)
   • Package d'authentification
   • Nom de la station de travail
   • Informations sur le processus
6. Notez les motifs de timestamp et la fréquence des événements de déconnexion
7. Faites une référence croisée avec l'ID d'événement 4624 (connexion) et 4634 (déconnexion) pour un suivi complet de la session

Utilisez PowerShell pour extraire et analyser les données de l'ID d'événement 4109 pour les motifs, les anomalies et la corrélation avec d'autres événements de sécurité.

1. Ouvrez PowerShell en tant qu'administrateur
2. Interrogez les entrées récentes de l'ID d'événement 4109 :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4109} -MaxEvents 50 | Format-Table TimeCreated, Id, LevelDisplayName, Message -Wrap

3. Extrayez les propriétés détaillées de l'événement pour l'analyse :

   $Events = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4109} -MaxEvents 100
   $Events | ForEach-Object {
       $Event = [xml]$_.ToXml()
       [PSCustomObject]@{
           TimeCreated = $_.TimeCreated
           UserSID = $Event.Event.EventData.Data[0].'#text'
           UserName = $Event.Event.EventData.Data[1].'#text'
           LogonType = $Event.Event.EventData.Data[4].'#text'
           ProcessName = $Event.Event.EventData.Data[9].'#text'
       }
   } | Format-Table -AutoSize

4. Corrélez avec les événements de connexion pour suivre la durée de la session :

   $LogoffEvents = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4109} -MaxEvents 20
   $LogonEvents = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4624} -MaxEvents 50
   
   # Comparez les horodatages et les comptes d'utilisateurs pour l'analyse des sessions

5. Exportez les résultats pour une analyse plus approfondie :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4109} -MaxEvents 1000 | Export-Csv -Path "C:\Temp\Event4109_Analysis.csv" -NoTypeInformation

Améliorez la journalisation de l'ID d'événement 4109 en configurant des stratégies d'audit avancées pour capturer des informations de déconnexion plus détaillées et des événements de sécurité connexes.

1. Ouvrez Éditeur de stratégie de groupe locale en exécutant gpedit.msc
2. Accédez à Configuration de l'ordinateur → Paramètres Windows → Paramètres de sécurité → Configuration des stratégies d'audit avancées → Stratégies d'audit
3. Configurez les sous-catégories d'audit Ouverture/Fermeture de session:
   • Audit de la déconnexion: Réglez sur Succès
   • Audit de l'ouverture de session: Réglez sur Succès et Échec
   • Audit des autres événements d'ouverture/fermeture de session: Réglez sur Succès et Échec
4. Appliquez les paramètres en utilisant la ligne de commande pour plusieurs systèmes:

   # Activer l'audit détaillé de la déconnexion
   auditpol /set /subcategory:"Logoff" /success:enable
   auditpol /set /subcategory:"Logon" /success:enable /failure:enable
   auditpol /set /subcategory:"Other Logon/Logoff Events" /success:enable /failure:enable

5. Vérifiez les paramètres actuels de la stratégie d'audit:

   auditpol /get /category:"Logon/Logoff"

6. Configurez la taille du journal de sécurité pour accueillir une journalisation accrue:

   # Augmenter la taille du journal de sécurité à 100MB
   wevtutil sl Security /ms:104857600

7. Testez la configuration en effectuant une déconnexion et en vérifiant que l'ID d'événement 4109 apparaît avec des détails améliorés

Implémentez une surveillance automatisée pour l'ID d'événement 4109 afin de détecter des modèles de déconnexion inhabituels et des incidents de sécurité potentiels.

1. Créez un script de surveillance PowerShell :

   # Enregistrer sous Monitor-Event4109.ps1
   param(
       [int]$CheckIntervalMinutes = 15,
       [int]$AlertThreshold = 10
   )
   
   while ($true) {
       $StartTime = (Get-Date).AddMinutes(-$CheckIntervalMinutes)
       $Events = Get-WinEvent -FilterHashtable @{
           LogName='Security'
           Id=4109
           StartTime=$StartTime
       } -ErrorAction SilentlyContinue
       
       if ($Events.Count -gt $AlertThreshold) {
           $Message = "Activité de déconnexion élevée détectée : $($Events.Count) entrées d'ID d'événement 4109 dans les dernières $CheckIntervalMinutes minutes"
           Write-EventLog -LogName Application -Source "Custom Monitor" -EventId 1001 -EntryType Warning -Message $Message
           # Ajouter une notification par email ou une intégration SIEM ici
       }
       
       Start-Sleep -Seconds ($CheckIntervalMinutes * 60)
   }

2. Enregistrez le script en tant que tâche planifiée :

   $Action = New-ScheduledTaskAction -Execute "PowerShell.exe" -Argument "-File C:\Scripts\Monitor-Event4109.ps1"
   $Trigger = New-ScheduledTaskTrigger -AtStartup
   $Principal = New-ScheduledTaskPrincipal -UserId "SYSTEM" -LogonType ServiceAccount
   $Settings = New-ScheduledTaskSettingsSet -AllowStartIfOnBatteries -DontStopIfGoingOnBatteries -StartWhenAvailable
   
   Register-ScheduledTask -TaskName "Monitor Event 4109" -Action $Action -Trigger $Trigger -Principal $Principal -Settings $Settings

3. Configurez le transfert d'événements Windows pour une surveillance centralisée :

   # Sur le serveur collecteur, créez un abonnement
   wecutil cs event4109-subscription.xml

4. Créez des compteurs personnalisés Windows Performance Toolkit (WPT) pour la surveillance du taux de déconnexion
5. Intégrez avec les solutions SIEM existantes en utilisant le transfert d'événements Windows ou des agents de transfert de journaux
6. Mettez en place une visualisation de tableau de bord en utilisant des outils comme Grafana ou Power BI pour l'analyse des tendances

Effectuer une analyse médico-légale complète de l'ID d'événement 4109 pour l'enquête sur les incidents de sécurité et le rapport de conformité.

1. Exporter des données d'événements complètes pour l'analyse :

   # Exporter les événements avec tous les détails XML
   $Events = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4109} -MaxEvents 5000
   $DetailedEvents = $Events | ForEach-Object {
       $EventXML = [xml]$_.ToXml()
       $EventData = $EventXML.Event.EventData.Data
       [PSCustomObject]@{
           TimeCreated = $_.TimeCreated
           EventId = $_.Id
           SubjectUserSid = $EventData[0].'#text'
           SubjectUserName = $EventData[1].'#text'
           SubjectDomainName = $EventData[2].'#text'
           SubjectLogonId = $EventData[3].'#text'
           LogonType = $EventData[4].'#text'
           ProcessId = $EventData[5].'#text'
           ProcessName = $EventData[6].'#text'
           IpAddress = $EventData[7].'#text'
           IpPort = $EventData[8].'#text'
       }
   }
   $DetailedEvents | Export-Csv -Path "C:\Forensics\Event4109_Detailed.csv" -NoTypeInformation

2. Corréler avec d'autres événements de sécurité pour la reconstruction de la chronologie :

   # Créer une chronologie complète de connexion/déconnexion
   $SecurityEvents = Get-WinEvent -FilterHashtable @{
       LogName='Security'
       Id=4624,4634,4647,4109
       StartTime=(Get-Date).AddDays(-7)
   } | Sort-Object TimeCreated
   
   $SecurityEvents | Select-Object TimeCreated, Id, @{Name='EventType';Expression={
       switch ($_.Id) {
           4624 {'Logon'}
           4634 {'Logoff'}
           4647 {'User Initiated Logoff'}
           4109 {'Wininit Logoff'}
       }
   }} | Export-Csv -Path "C:\Forensics\Security_Timeline.csv"

3. Analyser les schémas de déconnexion pour la détection d'anomalies :

   # Analyse statistique des schémas de déconnexion
   $LogoffStats = $DetailedEvents | Group-Object SubjectUserName | ForEach-Object {
       $UserEvents = $_.Group | Sort-Object TimeCreated
       $TimeDiffs = for ($i = 1; $i -lt $UserEvents.Count; $i++) {
           ($UserEvents[$i].TimeCreated - $UserEvents[$i-1].TimeCreated).TotalMinutes
       }
       [PSCustomObject]@{
           UserName = $_.Name
           LogoffCount = $_.Count
           AvgTimeBetweenLogoffs = ($TimeDiffs | Measure-Object -Average).Average
           MinTimeBetweenLogoffs = ($TimeDiffs | Measure-Object -Minimum).Minimum
           MaxTimeBetweenLogoffs = ($TimeDiffs | Measure-Object -Maximum).Maximum
       }
   }
   $LogoffStats | Format-Table -AutoSize

4. Générer des rapports de conformité avec une documentation appropriée de la chaîne de possession
5. Créer des playbooks de réponse aux incidents intégrant les procédures d'analyse de l'ID d'événement 4109
6. Documenter les résultats en utilisant des modèles de rapport médico-légal standardisés