ID d'événement Windows 506 – Winlogon : Enregistrement du processus de connexion interactive

Commencez par examiner les détails spécifiques de l'ID d'événement 506 pour comprendre quel processus de connexion a été enregistré et quand.

1. Ouvrez Observateur d'événements en appuyant sur Win + R, en tapant eventvwr.msc, et en appuyant sur Entrée
2. Accédez à Journaux Windows → Sécurité
3. Filtrez pour l'ID d'événement 506 en cliquant avec le bouton droit sur le journal Sécurité et en sélectionnant Filtrer le journal actuel
4. Entrez 506 dans le champ ID d'événements et cliquez sur OK
5. Double-cliquez sur les entrées récentes de l'ID d'événement 506 pour examiner les détails, y compris l'ID de processus, le type de connexion et l'ID de sécurité
6. Notez les modèles de timestamp pour identifier si les événements correspondent au démarrage du système, aux connexions utilisateur ou à d'autres activités

Utilisez PowerShell pour une analyse plus détaillée :

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=506} -MaxEvents 20 | Format-Table TimeCreated, Id, LevelDisplayName, Message -Wrap

Vérifiez que tous les fournisseurs d'authentification attendus s'enregistrent correctement avec Winlogon.

1. Vérifiez les fournisseurs d'identification enregistrés dans le registre :

Get-ItemProperty -Path "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Authentication\Credential Providers\*" | Select-Object PSChildName, "(default)"

2. Examinez les packages de notification Winlogon :

Get-ItemProperty -Path "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon" -Name "Notify"

3. Examinez la configuration du package d'authentification :

Get-ItemProperty -Path "HKLM\SYSTEM\CurrentControlSet\Control\Lsa" -Name "Authentication Packages"

4. Vérifiez les composants d'authentification tiers dans le système :

Get-Process | Where-Object {$_.ProcessName -like "*auth*" -or $_.ProcessName -like "*logon*"} | Select-Object ProcessName, Id, StartTime

Analyser les modèles d'Event ID 506 pour identifier les problèmes de performance potentiels ou les retards d'authentification.

1. Créer un script PowerShell pour suivre les modèles de synchronisation d'Event ID 506 :

$Events = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=506; StartTime=(Get-Date).AddDays(-7)}
$Events | Group-Object {$_.TimeCreated.Date} | Select-Object Name, Count | Sort-Object Name

2. Corréler l'Event ID 506 avec les événements de démarrage du système :

$StartupEvents = Get-WinEvent -FilterHashtable @{LogName='System'; Id=6005,6006,6009} -MaxEvents 10
$LogonEvents = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=506} -MaxEvents 20

Write-Host "Heures récentes de démarrage du système :"
$StartupEvents | Format-Table TimeCreated, Id, LevelDisplayName
Write-Host "Inscriptions récentes des processus de connexion :"
$LogonEvents | Format-Table TimeCreated, Id, LevelDisplayName

3. Vérifier les erreurs liées à l'authentification qui pourraient être corrélées avec l'Event ID 506 :

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625,4648,4771,4776; StartTime=(Get-Date).AddHours(-24)} | Format-Table TimeCreated, Id, Message -Wrap

4. Surveiller la génération en temps réel de l'Event ID 506 pendant les opérations du système :

Register-WmiEvent -Query "SELECT * FROM Win32_NTLogEvent WHERE LogFile='Security' AND EventCode=506" -Action {Write-Host "Event ID 506 détecté à $(Get-Date)"}

Examinez les paramètres de stratégie de groupe et les configurations de sécurité qui pourraient affecter l'enregistrement du processus de connexion.

1. Examinez les paramètres actuels de stratégie de groupe affectant l'authentification :

gpresult /h GPReport.html
Invoke-Item GPReport.html

2. Vérifiez les paramètres de la stratégie de sécurité locale qui impactent Winlogon :
3. Ouvrez Stratégie de sécurité locale (secpol.msc)
4. Accédez à Stratégies locales → Options de sécurité
5. Examinez les paramètres liés à "Connexion interactive" et "Sécurité réseau"
6. Examinez la configuration de la stratégie d'audit :

auditpol /get /category:"Logon/Logoff"

6. Vérifiez la configuration du package de sécurité LSA :

Get-ItemProperty -Path "HKLM\SYSTEM\CurrentControlSet\Control\Lsa" | Select-Object "Security Packages", "Authentication Packages", "Notification Packages"

7. Vérifiez les récents changements de politique de sécurité dans le journal des événements :

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4719,4739,4817} -MaxEvents 10 | Format-Table TimeCreated, Id, Message -Wrap

Utilisez des outils avancés pour tracer le comportement de Winlogon et identifier les problèmes potentiels avec l'enregistrement du processus de connexion.

1. Activez la journalisation détaillée de Winlogon en modifiant les paramètres du registre :

New-ItemProperty -Path "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon" -Name "EnableLogging" -Value 1 -PropertyType DWORD -Force

2. Utilisez Process Monitor pour tracer l'accès aux fichiers et au registre de Winlogon :
3. Téléchargez et exécutez Process Monitor (ProcMon) depuis Microsoft Sysinternals
4. Définissez des filtres pour le nom de processus "winlogon.exe"
5. Surveillez l'accès au registre aux clés liées à l'authentification lors du démarrage du système
6. Analysez la sortie de Dependency Walker pour les DLL d'authentification :

$WinlogonPath = "$env:SystemRoot\System32\winlogon.exe"
Get-ItemProperty -Path $WinlogonPath | Select-Object VersionInfo

6. Vérifiez le journal d'authentification Windows pour des informations détaillées :

Get-WinEvent -ListLog "Microsoft-Windows-Authentication*" | Where-Object {$_.RecordCount -gt 0}

7. Examinez les dépendances et le statut du service Winlogon :

Get-Service -Name "Winlogon" -ErrorAction SilentlyContinue
Get-WmiObject -Class Win32_SystemDriver | Where-Object {$_.Name -like "*auth*" -or $_.Name -like "*logon*"} | Select-Object Name, State, Status, StartMode

8. Créez un rapport d'analyse complet de l'ID d'événement 506 :

$Report = @{}
$Report.Events = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=506} -MaxEvents 50
$Report.Providers = Get-ItemProperty -Path "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Authentication\Credential Providers\*"
$Report.AuthPackages = Get-ItemProperty -Path "HKLM\SYSTEM\CurrentControlSet\Control\Lsa" -Name "Authentication Packages"
$Report | ConvertTo-Json -Depth 3 | Out-File "Event506Analysis.json"