ID d'événement Windows 4625 – Microsoft-Windows-Security-Auditing : Échec de la connexion d'un compte

Commencez par examiner les détails spécifiques de l'événement 4625 pour comprendre la raison de l'échec et le contexte.

1. Ouvrez Observateur d'événements → Journaux Windows → Sécurité
2. Filtrez par ID d'événement 4625 ou recherchez les échecs récents
3. Double-cliquez sur l'événement pour voir les propriétés détaillées
4. Notez le Nom du compte, le Nom de la station de travail et l'Adresse réseau source
5. Vérifiez le champ Type de connexion pour comprendre la méthode d'authentification :
   • Type 2 : Interactive (connexion console locale)
   • Type 3 : Réseau (partages de fichiers, lecteurs mappés)
   • Type 4 : Batch (tâches planifiées)
   • Type 5 : Service (services Windows)
   • Type 10 : RemoteInteractive (RDP, Services Terminal)
6. Examinez les codes de Raison de l'échec et Statut/Sous-statut :
   • 0xC000006A : Mauvais mot de passe
   • 0xC0000072 : Compte désactivé
   • 0xC000006F : Connexion en dehors du temps autorisé
   • 0xC0000070 : Restriction de station de travail
   • 0xC0000193 : Compte expiré
   • 0xC0000071 : Mot de passe expiré

Utilisez PowerShell pour interroger et analyser efficacement plusieurs événements 4625 pour des motifs ou des comptes spécifiques.

1. Ouvrez PowerShell en tant qu'administrateur
2. Interrogez les échecs de connexion récents avec un filtrage de base :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625} -MaxEvents 50 | Format-Table TimeCreated, Id, LevelDisplayName

3. Extraire des informations détaillées à partir d'événements spécifiques :

   $Events = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625} -MaxEvents 100
   $Events | ForEach-Object {
       $Event = [xml]$_.ToXml()
       [PSCustomObject]@{
           TimeCreated = $_.TimeCreated
           Account = $Event.Event.EventData.Data[5].'#text'
           Workstation = $Event.Event.EventData.Data[13].'#text'
           SourceIP = $Event.Event.EventData.Data[19].'#text'
           LogonType = $Event.Event.EventData.Data[10].'#text'
           Status = $Event.Event.EventData.Data[7].'#text'
           SubStatus = $Event.Event.EventData.Data[9].'#text'
       }
   } | Format-Table -AutoSize

4. Filtrer pour des comptes ou des plages horaires spécifiques :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625; StartTime=(Get-Date).AddHours(-24)} | Where-Object {$_.Message -like "*username*"}

5. Compter les échecs par IP source pour identifier les attaques potentielles :

   $FailureEvents = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625} -MaxEvents 1000
   $FailureEvents | ForEach-Object {
       $Event = [xml]$_.ToXml()
       $Event.Event.EventData.Data[19].'#text'
   } | Group-Object | Sort-Object Count -Descending | Select-Object Name, Count

Enquêter sur le statut actuel du compte cible et les politiques applicables qui pourraient causer des échecs d'authentification.

1. Pour les comptes de domaine, ouvrez Utilisateurs et ordinateurs Active Directory
2. Localisez le compte défaillant et vérifiez ses propriétés:
   • Onglet Compte : Vérifiez que le compte n'est pas désactivé ou verrouillé
   • Onglet Compte : Vérifiez la date d'expiration du compte
   • Onglet Compte : Examinez les restrictions d'heures de connexion
   • Onglet Compte : Examinez les restrictions "Se connecter à" des postes de travail
3. Pour les comptes locaux, utilisez PowerShell pour vérifier le statut:

   Get-LocalUser -Name "username" | Select-Object Name, Enabled, AccountExpires, PasswordExpired, LastLogon

4. Vérifiez le statut de verrouillage du compte dans les environnements de domaine:

   Search-ADAccount -LockedOut | Select-Object Name, LockedOut, LastLogonDate

5. Examinez les paramètres de politique de mot de passe affectant le compte:

   Get-ADDefaultDomainPasswordPolicy

6. Pour les comptes de service, vérifiez la configuration du service:

   Get-Service | Where-Object {$_.StartType -eq "Automatic"} | ForEach-Object {
       $Service = Get-WmiObject -Class Win32_Service -Filter "Name='$($_.Name)'"
       if ($Service.StartName -like "*username*") {
           [PSCustomObject]@{
               ServiceName = $Service.Name
               StartName = $Service.StartName
               State = $Service.State
           }
       }
   }

Enquêter sur les échecs d'authentification liés au réseau, en particulier pour les environnements de domaine et les scénarios d'accès à distance.

1. Vérifiez la connectivité du contrôleur de domaine depuis le poste de travail défaillant :

   Test-ComputerSecureChannel -Verbose

2. Vérifiez la résolution DNS pour les contrôleurs de domaine :

   nslookup -type=SRV _ldap._tcp.dc._msdcs.domain.com

3. Testez spécifiquement l'authentification Kerberos :

   klist purge
   klist tgt

4. Pour les échecs RDP (Type de connexion 10), vérifiez la configuration des services Terminal Server :
   • Ouvrez Gestion des stratégies de groupe
   • Accédez à Configuration de l'ordinateur → Modèles d'administration → Composants Windows → Services Bureau à distance
   • Examinez "Limiter le nombre de connexions" et "Définir la limite de temps pour les sessions déconnectées"
5. Examinez les événements d'authentification réseau sur les contrôleurs de domaine :

   Get-WinEvent -ComputerName "DC01" -FilterHashtable @{LogName='Security'; Id=4625,4771,4776} -MaxEvents 100 | Where-Object {$_.Message -like "*username*"}

6. Vérifiez les problèmes de synchronisation temporelle qui affectent Kerberos :

   w32tm /query /status

7. Examinez les journaux de pare-feu pour le trafic d'authentification bloqué :

   Get-WinEvent -FilterHashtable @{LogName='Microsoft-Windows-Windows Firewall With Advanced Security/Firewall'; Id=5152,5157} -MaxEvents 50

Configurez une surveillance complète pour détecter les schémas d'attaque et automatiser la réponse aux échecs d'authentification suspects.

1. Créez des filtres personnalisés dans le Visualiseur d'événements pour la surveillance de la sécurité:
   • Ouvrez Visualiseur d'événements → Vues personnalisées → Créer une vue personnalisée
   • Sélectionnez Par journal → Sécurité
   • Incluez les ID d'événement : 4625, 4624, 4648, 4771, 4776
   • Enregistrez sous "Surveillance d'authentification"
2. Configurez un script de surveillance PowerShell avancé:

   $ScriptBlock = {
       $Threshold = 5  # Seuil de tentatives échouées
       $TimeWindow = 300  # 5 minutes en secondes
       
       $FailedLogons = Get-WinEvent -FilterHashtable @{
           LogName='Security'
           Id=4625
           StartTime=(Get-Date).AddSeconds(-$TimeWindow)
       } | ForEach-Object {
           $Event = [xml]$_.ToXml()
           [PSCustomObject]@{
               TimeCreated = $_.TimeCreated
               SourceIP = $Event.Event.EventData.Data[19].'#text'
               Account = $Event.Event.EventData.Data[5].'#text'
           }
       }
       
       $SuspiciousIPs = $FailedLogons | Group-Object SourceIP | Where-Object {$_.Count -ge $Threshold}
       
       if ($SuspiciousIPs) {
           $SuspiciousIPs | ForEach-Object {
               Write-EventLog -LogName "Application" -Source "Security Monitor" -EventId 1001 -EntryType Warning -Message "Attaque par force brute potentielle détectée depuis l'IP : $($_.Name) avec $($_.Count) tentatives échouées"
           }
       }
   }
   
   # Enregistrer comme tâche planifiée
   Register-ScheduledTask -TaskName "AuthFailureMonitor" -Trigger (New-ScheduledTaskTrigger -RepetitionInterval (New-TimeSpan -Minutes 5) -Once -At (Get-Date)) -Action (New-ScheduledTaskAction -Execute "PowerShell.exe" -Argument "-WindowStyle Hidden -Command $ScriptBlock")

3. Configurez le transfert d'événements Windows pour la journalisation centralisée:
   • Configurez les ordinateurs sources : winrm quickconfig
   • Sur le serveur collecteur, exécutez : wecutil qc
   • Créez un abonnement : wecutil cs subscription.xml
4. Mettez en œuvre une réponse automatisée de verrouillage de compte:

   $Action = New-ScheduledTaskAction -Execute "PowerShell.exe" -Argument "-Command Get-ADUser -Filter {LockedOut -eq $true} | Unlock-ADAccount"
   $Trigger = New-ScheduledTaskTrigger -AtLogOn
   Register-ScheduledTask -TaskName "AutoUnlock" -Action $Action -Trigger $Trigger

5. Configurez l'intégration SIEM en utilisant le transfert d'événements Windows ou Syslog:

   # Exemple : Transférer vers le serveur Syslog
   $SyslogServer = "192.168.1.100"
   $Port = 514
   
   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625} -MaxEvents 1 | ForEach-Object {
       $Message = "$($_.TimeCreated) $($env:COMPUTERNAME) Security: $($_.Message)"
       $Bytes = [System.Text.Encoding]::UTF8.GetBytes($Message)
       $UdpClient = New-Object System.Net.Sockets.UdpClient
       $UdpClient.Send($Bytes, $Bytes.Length, $SyslogServer, $Port)
       $UdpClient.Close()
   }