ID d'événement Windows 4648 – Microsoft-Windows-Security-Auditing : Tentative de connexion avec des identifiants explicites

Commencez par examiner les détails de l'événement pour comprendre le contexte d'utilisation des identifiants.

1. Ouvrez Observateur d'événements → Journaux Windows → Sécurité
2. Filtrez pour l'ID d'événement 4648 en utilisant Filtrer le journal actuel
3. Double-cliquez sur l'événement pour voir les informations détaillées
4. Concentrez-vous sur ces champs clés:
   • Sujet: Détails de la session utilisateur actuelle
   • Compte dont les identifiants ont été utilisés: Informations sur le compte cible
   • Serveur cible: Système ou service de destination
   • Informations sur le processus: Application qui a initié la demande
5. Notez le champ Type de connexion pour comprendre la méthode d'authentification
6. Vérifiez Informations réseau pour les adresses IP source dans les scénarios réseau

Utilisez PowerShell pour interroger et analyser efficacement les événements 4648 sur plusieurs systèmes.

1. Interroger les événements récents 4648 :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4648} -MaxEvents 50 | Select-Object TimeCreated, Id, LevelDisplayName, Message

2. Filtrer par compte utilisateur spécifique :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4648} | Where-Object {$_.Message -like "*username*"} | Format-Table TimeCreated, Message -Wrap

3. Extraire des données structurées des événements :

   $Events = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4648} -MaxEvents 100
   foreach ($Event in $Events) {
       $XML = [xml]$Event.ToXml()
       $SubjectUserName = $XML.Event.EventData.Data | Where-Object {$_.Name -eq 'SubjectUserName'} | Select-Object -ExpandProperty '#text'
       $TargetUserName = $XML.Event.EventData.Data | Where-Object {$_.Name -eq 'TargetUserName'} | Select-Object -ExpandProperty '#text'
       Write-Output "$($Event.TimeCreated): $SubjectUserName used credentials for $TargetUserName"
   }

4. Exporter les événements pour analyse :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4648} | Export-Csv -Path "C:\Temp\Event4648_Analysis.csv" -NoTypeInformation

Enquêter sur les événements 4648 à travers plusieurs systèmes pour suivre les modèles d'utilisation des identifiants.

1. Créer une liste d'ordinateurs cibles:

   $Computers = @('Server01', 'Server02', 'Workstation01')

2. Interroger les événements de plusieurs systèmes:

   $Results = Invoke-Command -ComputerName $Computers -ScriptBlock {
       Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4648; StartTime=(Get-Date).AddDays(-7)} -ErrorAction SilentlyContinue
   } | Select-Object PSComputerName, TimeCreated, Id, Message

3. Analyser les modèles d'utilisation des identifiants:

   $Results | Group-Object PSComputerName | Select-Object Name, Count | Sort-Object Count -Descending

4. Rechercher une utilisation spécifique des identifiants:

   $SuspiciousAccount = "admin_account"
   $Results | Where-Object {$_.Message -like "*$SuspiciousAccount*"} | Format-Table PSComputerName, TimeCreated, Message -Wrap

5. Générer un rapport de synthèse:

   $Results | Export-Csv -Path "C:\Reports\Network_4648_Analysis_$(Get-Date -Format 'yyyyMMdd').csv" -NoTypeInformation

Corréler les événements 4648 avec les événements d'authentification associés pour une analyse complète.

1. Interroger les événements d'authentification corrélés :

   $StartTime = (Get-Date).AddHours(-1)
   $EndTime = Get-Date
   $AuthEvents = Get-WinEvent -FilterHashtable @{
       LogName='Security'
       Id=4624,4625,4648,4672
       StartTime=$StartTime
       EndTime=$EndTime
   } | Sort-Object TimeCreated

2. Créer une analyse de corrélation :

   $CorrelatedEvents = @()
   foreach ($Event in $AuthEvents) {
       $XML = [xml]$Event.ToXml()
       $EventData = @{
           TimeCreated = $Event.TimeCreated
           EventId = $Event.Id
           Computer = $Event.MachineName
       }
       
       switch ($Event.Id) {
           4648 {
               $EventData.SubjectUser = ($XML.Event.EventData.Data | Where-Object {$_.Name -eq 'SubjectUserName'}).'#text'
               $EventData.TargetUser = ($XML.Event.EventData.Data | Where-Object {$_.Name -eq 'TargetUserName'}).'#text'
               $EventData.EventType = "Identifiants Explicites"
           }
           4624 {
               $EventData.TargetUser = ($XML.Event.EventData.Data | Where-Object {$_.Name -eq 'TargetUserName'}).'#text'
               $EventData.LogonType = ($XML.Event.EventData.Data | Where-Object {$_.Name -eq 'LogonType'}).'#text'
               $EventData.EventType = "Connexion Réussie"
           }
       }
       $CorrelatedEvents += New-Object PSObject -Property $EventData
   }

3. Analyser les modèles d'escalade de privilèges :

   $PrivilegeEvents = $CorrelatedEvents | Where-Object {$_.EventId -eq 4672 -or ($_.EventId -eq 4648 -and $_.TargetUser -like "*admin*")}

4. Générer une analyse chronologique :

   $CorrelatedEvents | Sort-Object TimeCreated | Format-Table TimeCreated, EventId, EventType, SubjectUser, TargetUser -AutoSize

Examinez la configuration du système qui affecte la génération d'événements 4648 et les politiques d'audit.

1. Vérifiez les paramètres de la politique d'audit :

   auditpol /get /subcategory:"Logon"

2. Vérifiez les paramètres du registre d'audit de sécurité :

   Get-ItemProperty -Path "HKLM\SYSTEM\CurrentControlSet\Services\EventLog\Security" | Select-Object MaxSize, Retention

3. Vérifiez les paramètres d'audit de la stratégie de groupe :

   gpresult /h C:\Temp\GPResult.html
   # Examinez Configuration de l'ordinateur > Paramètres Windows > Paramètres de sécurité > Configuration avancée de la politique d'audit

4. Examinez les paramètres d'audit LSA :

   Get-ItemProperty -Path "HKLM\SYSTEM\CurrentControlSet\Control\Lsa" | Select-Object auditbaseobjects, fullprivilegeauditing

5. Examinez la configuration du journal des événements :

   wevtutil gl Security

6. Configurez l'audit amélioré si nécessaire :

   # Activer l'audit détaillé des connexions
   auditpol /set /subcategory:"Logon" /success:enable /failure:enable
   # Activer l'audit de validation des informations d'identification
   auditpol /set /subcategory:"Credential Validation" /success:enable /failure:enable