ID d'événement Windows 5615 – Sécurité : Accès au coffre-fort du gestionnaire d'informations d'identification

Commencez par examiner les détails spécifiques de l'ID d'événement 5615 pour comprendre quelle information d'identification a été accédée et par quel processus.

1. Ouvrez Observateur d'événements en appuyant sur Win + R, en tapant eventvwr.msc, et en appuyant sur Entrée
2. Accédez à Journaux Windows → Sécurité
3. Filtrez pour l'ID d'événement 5615 en cliquant avec le bouton droit sur le journal Sécurité et en sélectionnant Filtrer le journal actuel
4. Entrez 5615 dans le champ ID d'événements et cliquez sur OK
5. Double-cliquez sur une entrée récente de l'ID d'événement 5615 pour voir des informations détaillées
6. Examinez les champs clés suivants dans les détails de l'événement:
   • Sujet: Montre le compte utilisateur qui a accédé à l'information d'identification
   • Informations sur le processus: Identifie l'exécutable qui a demandé l'information d'identification
   • Informations sur l'identification: Affiche le nom cible et le type d'information d'identification accédée
   • Informations supplémentaires: Contient le serveur ou la ressource cible de l'information d'identification

Utilisez ces informations pour déterminer si l'accès à l'information d'identification était légitime ou potentiellement suspect en fonction du processus demandeur et du contexte utilisateur.

Utilisez PowerShell pour analyser les modèles d'ID d'événement 5615 et identifier les activités fréquentes d'accès aux informations d'identification dans votre environnement.

1. Ouvrez PowerShell en tant qu'administrateur
2. Interrogez les entrées récentes de l'ID d'événement 5615 avec des informations détaillées :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=5615} -MaxEvents 50 | Select-Object TimeCreated, Id, @{Name='User';Expression={$_.Properties[1].Value}}, @{Name='Process';Expression={$_.Properties[9].Value}}, @{Name='CredentialName';Expression={$_.Properties[2].Value}} | Format-Table -AutoSize

3. Analysez la fréquence d'accès aux informations d'identification par processus :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=5615} -MaxEvents 200 | ForEach-Object { $_.Properties[9].Value } | Group-Object | Sort-Object Count -Descending | Select-Object Name, Count

4. Vérifiez l'accès aux informations d'identification en dehors des heures de bureau :

   $StartTime = (Get-Date).Date.AddHours(18)
   $EndTime = (Get-Date).Date.AddDays(1).AddHours(8)
   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=5615; StartTime=$StartTime; EndTime=$EndTime} | Select-Object TimeCreated, @{Name='User';Expression={$_.Properties[1].Value}}, @{Name='Process';Expression={$_.Properties[9].Value}}

5. Exportez les résultats pour une analyse plus approfondie :

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=5615} -MaxEvents 500 | Select-Object TimeCreated, Id, @{Name='User';Expression={$_.Properties[1].Value}}, @{Name='Process';Expression={$_.Properties[9].Value}} | Export-Csv -Path "C:\Temp\Event5615_Analysis.csv" -NoTypeInformation

Examinez le contenu actuel du coffre-fort du Gestionnaire d'informations d'identification pour comprendre quelles informations d'identification sont stockées et potentiellement accessibles.

1. Ouvrez Gestionnaire d'informations d'identification en tapant gestionnaire d'informations d'identification dans la recherche du menu Démarrer
2. Examinez les sections Informations d'identification Web et Informations d'identification Windows
3. Notez toute information d'identification stockée suspecte ou inattendue
4. Utilisez PowerShell pour énumérer les informations d'identification stockées de manière programmatique :

   cmdkey /list

5. Pour des informations d'identification plus détaillées, utilisez l'API de gestion des informations d'identification Windows via PowerShell :

   Add-Type -AssemblyName System.Security
   $creds = [System.Security.Cryptography.ProtectedData]::Unprotect
   # Remarque : L'énumération directe des informations d'identification nécessite des privilèges élevés

6. Vérifiez les entrées d'informations d'identification récemment modifiées en examinant les horodatages des fichiers dans l'emplacement de stockage des informations d'identification :

   Get-ChildItem "$env:LOCALAPPDATA\Microsoft\Credentials" -Force | Sort-Object LastWriteTime -Descending | Select-Object Name, LastWriteTime, Length

7. Examinez les paramètres de la politique du coffre-fort dans la stratégie de groupe :
   • Accédez à Configuration de l'ordinateur → Modèles d'administration → Système → Délégation des informations d'identification
   • Vérifiez les politiques telles que "Autoriser la délégation des informations d'identification par défaut" et "Autoriser la délégation des informations d'identification par défaut avec authentification serveur NTLM uniquement"

Améliorez la surveillance de l'accès aux informations d'identification en configurant des politiques d'audit détaillées et en mettant en œuvre des mesures de sécurité supplémentaires.

1. Activez l'audit avancé des informations d'identification via la stratégie de groupe:
   • Ouvrez Group Policy Management Console (gpmc.msc)
   • Accédez à Configuration de l'ordinateur → Stratégies → Paramètres Windows → Paramètres de sécurité → Configuration avancée de la stratégie d'audit
   • Développez Accès aux objets et configurez Audit de la validation des informations d'identification pour les succès et les échecs
2. Configurez la stratégie d'audit local via la ligne de commande:

   auditpol /set /subcategory:"Credential Validation" /success:enable /failure:enable

3. Configurez le transfert d'événements Windows pour centraliser la collecte de l'ID d'événement 5615:

   wecutil cs subscription.xml

4. Créez un fichier d'abonnement XML personnalisé pour les événements d'identification:

   <Subscription xmlns="http://schemas.microsoft.com/2006/03/windows/events/subscription">
     <SubscriptionId>CredentialAccess</SubscriptionId>
     <Query>
       <![CDATA[
         <QueryList>
           <Query Id="0">
             <Select Path="Security">*[System[EventID=5615]]</Select>
           </Query>
         </QueryList>
       ]]>
     </Query>
   </Subscription>

5. Mettez en œuvre la protection des informations d'identification sur les systèmes pris en charge:

   Enable-WindowsOptionalFeature -Online -FeatureName IsolatedUserMode
   Enable-WindowsOptionalFeature -Online -FeatureName HypervisorPlatform

6. Configurez les paramètres du registre pour améliorer la protection des informations d'identification:

   Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\Lsa" -Name "LsaCfgFlags" -Value 1 -Type DWord

Déployez des capacités de surveillance et de réponse automatisées pour détecter et répondre aux modèles d'accès aux identifiants suspects.

1. Créez un script PowerShell pour la surveillance en temps réel de l'ID d'événement 5615 :

   Register-WmiEvent -Query "SELECT * FROM Win32_NTLogEvent WHERE LogFile='Security' AND EventCode=5615" -Action {
       $Event = $Event.SourceEventArgs.NewEvent
       $ProcessName = $Event.InsertionStrings[9]
       $User = $Event.InsertionStrings[1]
       
       # Vérifiez les processus suspects
       $SuspiciousProcesses = @('mimikatz.exe', 'procdump.exe', 'pwdump.exe')
       if ($SuspiciousProcesses -contains $ProcessName) {
           Write-EventLog -LogName Application -Source "Security Monitor" -EventId 1001 -EntryType Warning -Message "Accès aux identifiants suspect détecté : $ProcessName par $User"
       }
   }

2. Configurez Windows Performance Toolkit (WPT) pour une traçabilité avancée de l'accès aux identifiants :

   wpr -start GeneralProfile -filemode
   # Reproduisez le scénario d'accès aux identifiants
   wpr -stop C:\Temp\credential_trace.etl

3. Configurez Sysmon pour une surveillance améliorée des processus liés à l'accès aux identifiants :

   <Sysmon schemaversion="4.82">
     <EventFiltering>
       <ProcessCreate onmatch="include">
         <Image condition="contains">lsass.exe</Image>
         <Image condition="contains">winlogon.exe</Image>
       </ProcessCreate>
     </EventFiltering>
   </Sysmon>

4. Mettez en œuvre des requêtes de chasse aux menaces en utilisant KQL pour Microsoft Sentinel :

   SecurityEvent
   | where EventID == 5615
   | extend ProcessName = tostring(EventData.ProcessName)
   | extend TargetUserName = tostring(EventData.TargetUserName)
   | summarize count() by ProcessName, TargetUserName, bin(TimeGenerated, 1h)
   | where count_ > 10

5. Créez des canaux personnalisés de journal des événements Windows pour la surveillance des identifiants :

   wevtutil im credential-monitoring.xml

6. Déployez Microsoft Defender for Identity pour corréler l'accès aux identifiants avec d'autres événements de sécurité
7. Configurez des règles d'alerte dans votre solution SIEM pour déclencher sur :
   • Accès aux identifiants à haute fréquence à partir de processus uniques
   • Accès aux identifiants à partir de processus ou de lieux inhabituels
   • Modèles d'accès aux identifiants en dehors des heures de travail
   • Accès aux identifiants après d'autres activités suspectes