ID d'événement Windows 4776 – Microsoft-Windows-Security-Auditing : Authentification du compte d'ordinateur

Commencez par examiner les détails spécifiques de l'ID d'événement 4776 pour comprendre le contexte d'authentification et identifier les problèmes potentiels.

1. Ouvrez Observateur d'événements sur le contrôleur de domaine où l'événement s'est produit
2. Accédez à Journaux Windows → Sécurité
3. Filtrez pour l'ID d'événement 4776 en utilisant l'option de filtre ou la fonctionnalité de recherche
4. Double-cliquez sur l'événement pour voir des informations détaillées, y compris :
   • Nom du compte d'ordinateur
   • Station de travail source
   • Package d'authentification
   • Code d'état
   • Code de sous-état
5. Vérifiez le champ Code d'état pour les résultats d'authentification :
   • 0x0 = Succès
   • 0xC0000064 = Le nom d'utilisateur n'existe pas
   • 0xC000006A = Le nom d'utilisateur est correct mais le mot de passe est incorrect
   • 0xC0000234 = Compte utilisateur verrouillé

Utilisez PowerShell pour interroger et analyser efficacement l'ID d'événement 4776 sur plusieurs contrôleurs de domaine ou périodes.

1. Ouvrez PowerShell en tant qu'administrateur sur un contrôleur de domaine ou une station de gestion
2. Interrogez les événements récents d'authentification d'ordinateur :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4776} -MaxEvents 50 | Select-Object TimeCreated, Id, LevelDisplayName, Message

3. Filtrez les tentatives d'authentification échouées :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4776} | Where-Object {$_.Message -like '*0xC000*'} | Select-Object TimeCreated, Message

4. Recherchez l'authentification d'un compte d'ordinateur spécifique :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4776} | Where-Object {$_.Message -like '*COMPUTERNAME$*'} | Format-Table TimeCreated, Message -Wrap

5. Exportez les résultats pour analyse :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4776; StartTime=(Get-Date).AddDays(-7)} | Export-Csv -Path C:\Temp\Computer_Auth_Events.csv -NoTypeInformation

Lorsque l'ID d'événement 4776 montre des échecs d'authentification, examinez le statut et la configuration du compte d'ordinateur dans Active Directory.

1. Ouvrez Utilisateurs et ordinateurs Active Directory sur un contrôleur de domaine
2. Accédez au conteneur Ordinateurs ou recherchez le compte d'ordinateur spécifique
3. Cliquez avec le bouton droit sur le compte d'ordinateur et sélectionnez Propriétés
4. Vérifiez l'onglet Compte pour :
   • Statut de désactivation du compte
   • Statut de verrouillage du compte
   • Date de dernier changement de mot de passe
5. Vérifiez le mot de passe du compte d'ordinateur en utilisant PowerShell :

   Get-ADComputer -Identity "COMPUTERNAME" -Properties PasswordLastSet, Enabled, LockedOut | Select-Object Name, PasswordLastSet, Enabled, LockedOut

6. Réinitialisez le mot de passe du compte d'ordinateur si nécessaire :

   Reset-ComputerMachinePassword -Server DC01.domain.com

7. Vérifiez la présence de comptes d'ordinateur en double :

   Get-ADComputer -Filter "Name -eq 'COMPUTERNAME'" | Select-Object Name, DistinguishedName

Effectuer une analyse avancée des modèles d'ID d'événement 4776 pour identifier les problèmes de sécurité ou d'authentification sur le domaine.

1. Créer une requête complète pour analyser les modèles d'authentification :

   $Events = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4776; StartTime=(Get-Date).AddDays(-30)}
   $Analysis = $Events | ForEach-Object {
       $Message = $_.Message
       $Computer = ($Message | Select-String 'Account Name:\s+(.+?)\$').Matches[0].Groups[1].Value
       $Source = ($Message | Select-String 'Source Workstation:\s+(.+)').Matches[0].Groups[1].Value
       $Status = ($Message | Select-String 'Error Code:\s+(0x[0-9A-F]+)').Matches[0].Groups[1].Value
       [PSCustomObject]@{
           TimeCreated = $_.TimeCreated
           Computer = $Computer
           Source = $Source
           Status = $Status
           Success = $Status -eq '0x0'
       }
   }
   $Analysis | Group-Object Computer | Sort-Object Count -Descending

2. Identifier les ordinateurs avec des taux d'échec élevés :

   $FailureAnalysis = $Analysis | Where-Object {-not $_.Success} | Group-Object Computer | Where-Object {$_.Count -gt 10} | Sort-Object Count -Descending
   $FailureAnalysis | Select-Object Name, Count

3. Vérifier les tentatives d'authentification provenant de sources inattendues :

   $Analysis | Where-Object {$_.Source -ne $_.Computer -and $_.Source -ne ''} | Group-Object Source | Sort-Object Count -Descending

4. Corréler avec d'autres événements de sécurité pour une analyse complète :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=@(4776,4768,4769); StartTime=(Get-Date).AddHours(-1)} | Sort-Object TimeCreated

Implémentez des solutions de surveillance complètes pour l'ID d'événement 4776 afin de détecter de manière proactive les problèmes d'authentification et les menaces de sécurité.

1. Configurez le transfert d'événements Windows pour centraliser les journaux d'authentification des ordinateurs :

   wecutil cs subscription.xml

   Où subscription.xml contient les règles de collecte de l'ID d'événement 4776
2. Créez un script de surveillance PowerShell personnalisé :

   # Enregistrez sous Monitor-ComputerAuth.ps1
   $LastCheck = (Get-Date).AddMinutes(-5)
   $FailedEvents = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4776; StartTime=$LastCheck} | Where-Object {$_.Message -like '*0xC000*'}
   if ($FailedEvents.Count -gt 5) {
       Send-MailMessage -To "admin@company.com" -From "monitoring@company.com" -Subject "High Computer Authentication Failures" -Body "$($FailedEvents.Count) failed computer authentications detected" -SmtpServer "mail.company.com"
   }

3. Planifiez le script de surveillance à l'aide du Planificateur de tâches :

   $Action = New-ScheduledTaskAction -Execute "PowerShell.exe" -Argument "-File C:\Scripts\Monitor-ComputerAuth.ps1"
   $Trigger = New-ScheduledTaskTrigger -RepetitionInterval (New-TimeSpan -Minutes 5) -RepetitionDuration (New-TimeSpan -Days 365) -At (Get-Date)
   Register-ScheduledTask -TaskName "ComputerAuthMonitoring" -Action $Action -Trigger $Trigger -RunLevel Highest

4. Configurez la stratégie d'audit pour assurer la journalisation de l'ID d'événement 4776 :

   auditpol /set /subcategory:"Credential Validation" /success:enable /failure:enable

5. Implémentez une politique de rétention des journaux dans la stratégie de groupe :
   • Accédez à Configuration de l'ordinateur → Stratégies → Paramètres Windows → Paramètres de sécurité → Journal des événements
   • Configurez la taille maximale et les paramètres de rétention du journal de sécurité