ID d'événement Windows 4634 – Microsoft-Windows-Security-Auditing : Un compte a été déconnecté

Commencez par examiner les détails spécifiques de l'événement 4634 pour comprendre le contexte de la déconnexion :

1. Ouvrez Observateur d'événements en appuyant sur Win + R, en tapant eventvwr.msc, et en appuyant sur Entrée
2. Accédez à Journaux Windows → Sécurité
3. Filtrez pour l'ID d'événement 4634 en cliquant avec le bouton droit sur le journal Sécurité et en sélectionnant Filtrer le journal actuel
4. Entrez 4634 dans le champ ID d'événements et cliquez sur OK
5. Double-cliquez sur un événement 4634 pour voir les détails, y compris :
   • ID de sécurité du sujet : Le compte qui s'est déconnecté
   • Type de connexion : Comment l'utilisateur s'est initialement authentifié
   • ID de connexion : Identifiant de session unique pour la corrélation
6. Notez l'horodatage et comparez-le avec les événements de connexion 4624 correspondants pour déterminer la durée de la session

Utilisez PowerShell pour interroger et analyser efficacement les événements 4634 sur plusieurs systèmes :

1. Ouvrez PowerShell en tant qu'administrateur
2. Interrogez les événements de déconnexion récents :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4634} -MaxEvents 50 | Select-Object TimeCreated, Id, @{Name='User';Expression={$_.Properties[1].Value}}, @{Name='LogonType';Expression={$_.Properties[4].Value}}

3. Filtrez les événements pour des utilisateurs spécifiques :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4634} | Where-Object {$_.Properties[1].Value -like '*username*'} | Format-Table TimeCreated, @{Name='User';Expression={$_.Properties[1].Value}} -AutoSize

4. Analysez les schémas de déconnexion au fil du temps :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4634; StartTime=(Get-Date).AddDays(-7)} | Group-Object @{Expression={$_.TimeCreated.Date}} | Select-Object Name, Count | Sort-Object Name

5. Exportez les résultats pour une analyse plus approfondie :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4634} -MaxEvents 1000 | Export-Csv -Path "C:\Logs\Logoff_Events.csv" -NoTypeInformation

Assurez-vous de configurer correctement la politique d'audit pour capturer des événements de déconnexion complets :

1. Ouvrez Group Policy Management Console ou Local Group Policy Editor (gpedit.msc)
2. Accédez à Computer Configuration → Windows Settings → Security Settings → Advanced Audit Policy Configuration
3. Développez Audit Policies → Logon/Logoff
4. Configurez la politique Audit Logoff :
   • Cliquez avec le bouton droit et sélectionnez Properties
   • Cochez Configure the following audit events
   • Activez Success pour capturer les déconnexions normales
   • Activez Failure si vous enquêtez sur des déconnexions forcées
5. Vérifiez les paramètres d'audit actuels via la ligne de commande :

   auditpol /get /subcategory:"Logoff"

6. Appliquez les paramètres et forcez la mise à jour de la stratégie de groupe :

   gpupdate /force

7. Testez la configuration en vous déconnectant et en vérifiant les nouveaux événements 4634

Enquêter sur les modèles de déconnexion inhabituels en corrélant les événements 4634 avec les métriques de performance système :

1. Ouvrir Performance Monitor (perfmon.msc) pour vérifier l'utilisation des ressources système pendant les heures de déconnexion
2. Créer un ensemble de collecteurs de données personnalisé :
   • Cliquez avec le bouton droit sur User Defined → New → Data Collector Set
   • Ajouter des compteurs pour l'utilisation de la mémoire, du processeur et du réseau
   • Définir l'intervalle de collecte à 1 seconde pour une analyse détaillée
3. Interroger les événements 4634 avec le contexte système :

   $LogoffEvents = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4634; StartTime=(Get-Date).AddHours(-1)}
   foreach ($Event in $LogoffEvents) {
       $SystemLog = Get-WinEvent -FilterHashtable @{LogName='System'; StartTime=$Event.TimeCreated.AddMinutes(-2); EndTime=$Event.TimeCreated.AddMinutes(2)}
       Write-Output "Déconnexion à $($Event.TimeCreated): $($SystemLog.Count) événements système à proximité"
   }

4. Vérifier les événements système liés autour des heures de déconnexion :

   Get-WinEvent -FilterHashtable @{LogName='System'; Id=1074,6005,6006,6008} | Where-Object {$_.TimeCreated -gt (Get-Date).AddDays(-1)} | Format-Table TimeCreated, Id, LevelDisplayName, Message -Wrap

5. Analyser les événements des services Terminal pour les déconnexions RDP :

   Get-WinEvent -FilterHashtable @{LogName='Microsoft-Windows-TerminalServices-LocalSessionManager/Operational'; Id=21,23,24,25} -MaxEvents 100

Configurez la surveillance automatisée pour les modèles de déconnexion suspects en utilisant Windows Event Forwarding et PowerShell :

1. Configurez Windows Event Forwarding sur le serveur collecteur :

   wecutil qc /q
   winrm quickconfig -q

2. Créez un abonnement d'événements personnalisé pour les événements 4634 :

   <Subscription xmlns="http://schemas.microsoft.com/2006/03/windows/events/subscription">
     <SubscriptionId>Logoff-Monitoring</SubscriptionId>
     <Query>
       <Select Path="Security">*[System[EventID=4634]]</Select>
     </Query>
   </Subscription>

3. Déployez le script de surveillance PowerShell :

   Register-WmiEvent -Query "SELECT * FROM __InstanceCreationEvent WITHIN 10 WHERE TargetInstance ISA 'Win32_NTLogEvent' AND TargetInstance.EventCode = 4634" -Action {
       $Event = $Event.SourceEventArgs.NewEvent.TargetInstance
       if ($Event.User -match 'Administrator|Domain Admin') {
           Send-MailMessage -To 'security@company.com' -Subject 'Admin Logoff Alert' -Body "Admin logoff detected: $($Event.User) at $($Event.TimeGenerated)"
       }
   }

4. Configurez les paramètres du registre pour une journalisation améliorée :

   Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\Lsa" -Name "AuditBaseObjects" -Value 1
   Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\Lsa" -Name "FullPrivilegeAuditing" -Value 1

5. Créez une tâche planifiée pour l'analyse quotidienne des déconnexions :

   $Action = New-ScheduledTaskAction -Execute 'PowerShell.exe' -Argument '-File C:\Scripts\LogoffAnalysis.ps1'
   $Trigger = New-ScheduledTaskTrigger -Daily -At '06:00AM'
   Register-ScheduledTask -TaskName 'Daily Logoff Analysis' -Action $Action -Trigger $Trigger