ID d'événement Windows 4771 – Microsoft-Windows-Security-Auditing : Échec de la pré-authentification Kerberos

Commencez par examiner les détails spécifiques de l'ID d'événement 4771 pour comprendre la raison de l'échec et le compte affecté.

1. Ouvrez Observateur d'événements en appuyant sur Win + R, en tapant eventvwr.msc, et en appuyant sur Entrée
2. Accédez à Journaux Windows → Sécurité
3. Filtrez pour l'ID d'événement 4771 en cliquant avec le bouton droit sur le journal Sécurité et en sélectionnant Filtrer le journal actuel
4. Entrez 4771 dans le champ ID d'événements et cliquez sur OK
5. Double-cliquez sur les événements 4771 récents pour examiner les détails
6. Notez le Nom du compte, l'Adresse du client, et le Code d'échec dans la description de l'événement
7. Recoupez le code d'échec : 0x18 (mauvais mot de passe), 0x12 (compte désactivé), 0x17 (mot de passe expiré), 0x25 (décalage horaire)

Utilisez PowerShell pour analyser les modèles dans les événements 4771 et identifier les menaces potentielles pour la sécurité ou les problèmes systémiques.

1. Ouvrez PowerShell en tant qu'administrateur
2. Interrogez les événements récents 4771 avec des informations détaillées :

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4771} -MaxEvents 100 | 
Select-Object TimeCreated, @{Name='Account';Expression={$_.Properties[0].Value}}, 
@{Name='ClientAddress';Expression={$_.Properties[6].Value}}, 
@{Name='FailureCode';Expression={$_.Properties[4].Value}} | 
Format-Table -AutoSize

3. Identifiez les modèles en regroupant les événements par adresse client :

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4771} -MaxEvents 500 | 
Group-Object @{Expression={$_.Properties[6].Value}} | 
Sort-Object Count -Descending | 
Select-Object Name, Count | Format-Table

4. Vérifiez les attaques potentielles de pulvérisation de mots de passe en analysant la distribution des comptes :

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4771} -MaxEvents 1000 | 
Group-Object @{Expression={$_.Properties[0].Value}} | 
Where-Object {$_.Count -gt 5} | 
Sort-Object Count -Descending

Vérifiez l'état du compte utilisateur affecté et vérifiez la conformité à la politique de mot de passe pour résoudre les problèmes d'authentification.

1. Ouvrez Active Directory Users and Computers (dsa.msc)
2. Localisez le compte utilisateur affecté mentionné dans l'événement 4771
3. Cliquez avec le bouton droit sur le compte et sélectionnez Propriétés
4. Vérifiez l'onglet Compte pour l'état du compte :
• Vérifiez que Compte est désactivé n'est pas coché
• Vérifiez si Compte est verrouillé et déverrouillez si nécessaire
• Examinez les paramètres Expiration du compte
5. Examinez les paramètres de mot de passe sur l'onglet Compte :
• Notez si L'utilisateur doit changer le mot de passe à la prochaine connexion est coché
• Vérifiez le statut Le mot de passe n'expire jamais
6. Utilisez PowerShell pour vérifier les détails du compte de manière programmatique :

Get-ADUser -Identity "username" -Properties PasswordLastSet, PasswordExpired, 
LockedOut, Enabled, AccountExpirationDate | 
Select-Object Name, Enabled, LockedOut, PasswordExpired, PasswordLastSet, AccountExpirationDate

7. Réinitialisez le mot de passe si nécessaire :

Set-ADAccountPassword -Identity "username" -Reset -NewPassword (ConvertTo-SecureString "NewPassword123!" -AsPlainText -Force)
Set-ADUser -Identity "username" -ChangePasswordAtLogon $true

Résolvez les problèmes de synchronisation de l'heure et les problèmes de réseau qui peuvent causer des échecs de pré-authentification Kerberos.

1. Vérifiez la synchronisation de l'heure sur la machine cliente rencontrant des problèmes d'authentification :

w32tm /query /status
w32tm /query /peers

2. Comparez l'heure du client avec l'heure du contrôleur de domaine :

$DCTime = Invoke-Command -ComputerName "DC01" -ScriptBlock {Get-Date}
$LocalTime = Get-Date
$TimeDiff = ($DCTime - $LocalTime).TotalMinutes
Write-Host "Différence de temps : $TimeDiff minutes"

3. Forcez la synchronisation de l'heure si la différence dépasse 5 minutes :

w32tm /resync /force

4. Testez la connectivité réseau au contrôleur de domaine :

Test-NetConnection -ComputerName "DC01.domain.com" -Port 88
Test-NetConnection -ComputerName "DC01.domain.com" -Port 389

5. Vérifiez la disponibilité du service Kerberos :

nslookup -type=SRV _kerberos._tcp.domain.com
nltest /dsgetdc:domain.com

6. Effacez le cache des tickets Kerberos sur le client si la synchronisation de l'heure a été corrigée :

klist purge
klist tickets

Configurez une surveillance complète pour l'ID d'événement 4771 afin de détecter les menaces de sécurité et d'automatiser les procédures de réponse.

1. Créez une vue personnalisée dans l'Observateur d'événements pour la surveillance de 4771 :
• Dans l'Observateur d'événements, cliquez avec le bouton droit sur Vues personnalisées et sélectionnez Créer une vue personnalisée
• Définissez le niveau d'événement sur Avertissement et les ID d'événements sur 4771
• Ajoutez des sources d'événements : Microsoft-Windows-Security-Auditing
• Enregistrez sous "Échecs de pré-authentification Kerberos"
2. Configurez le transfert d'événements Windows pour une surveillance centralisée :

winrm quickconfig
wecutil cs subscription.xml

3. Créez un script PowerShell pour la détection automatisée des menaces :

# Surveillez les attaques potentielles de pulvérisation de mots de passe
$Events = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4771; StartTime=(Get-Date).AddHours(-1)}
$SuspiciousIPs = $Events | Group-Object @{Expression={$_.Properties[6].Value}} | 
Where-Object {$_.Count -gt 10}

foreach ($IP in $SuspiciousIPs) {
    Write-Warning "Activité suspecte de l'IP : $($IP.Name) avec $($IP.Count) tentatives échouées"
    # Ajoutez ici la logique de blocage d'IP
}

4. Configurez une tâche planifiée pour une surveillance régulière :

$Action = New-ScheduledTaskAction -Execute "PowerShell.exe" -Argument "-File C:\Scripts\Monitor4771.ps1"
$Trigger = New-ScheduledTaskTrigger -Once -At (Get-Date) -RepetitionInterval (New-TimeSpan -Minutes 15)
Register-ScheduledTask -TaskName "Monitor Kerberos Failures" -Action $Action -Trigger $Trigger

5. Configurez la stratégie d'audit pour une journalisation complète :

auditpol /set /subcategory:"Kerberos Authentication Service" /success:enable /failure:enable
auditpol /set /subcategory:"Account Lockout" /success:enable /failure:enable