ID d'événement Windows 5617 – Winlogon : Session de connexion utilisateur détruite

Commencez par examiner les détails spécifiques de l'ID d'événement 5617 pour comprendre le contexte de la terminaison de la session.

1. Ouvrez Observateur d'événements en appuyant sur Win + R, en tapant eventvwr.msc, et en appuyant sur Entrée
2. Accédez à Journaux Windows → Système
3. Filtrez pour l'ID d'événement 5617 en cliquant avec le bouton droit sur le journal Système et en sélectionnant Filtrer le journal actuel
4. Entrez 5617 dans le champ ID d'événements et cliquez sur OK
5. Double-cliquez sur les entrées récentes de l'ID d'événement 5617 pour examiner les détails, y compris :
   • ID de session pour la corrélation avec d'autres événements
   • SID utilisateur et informations de compte
   • Type de connexion (Interactive, Réseau, Service, etc.)
   • Raison de la terminaison et horodatage
6. Notez la fréquence et les modèles de synchronisation de ces événements
7. Recoupez les ID de session avec les entrées de l'ID d'événement 4624 (connexion) pour construire des chronologies complètes de session

Utilisez PowerShell pour analyser les modèles d'ID d'événement 5617 et les corréler avec les événements de connexion associés pour un suivi de session complet.

1. Ouvrez PowerShell en tant qu'administrateur
2. Interrogez les entrées récentes de l'ID d'événement 5617 :

   Get-WinEvent -FilterHashtable @{LogName='System'; Id=5617} -MaxEvents 50 | Select-Object TimeCreated, Id, LevelDisplayName, Message | Format-Table -AutoSize

3. Analysez la corrélation de session en extrayant les ID de session :

   $sessions = Get-WinEvent -FilterHashtable @{LogName='System'; Id=5617} -MaxEvents 20
   $sessions | ForEach-Object {
       $xml = [xml]$_.ToXml()
       [PSCustomObject]@{
           TimeCreated = $_.TimeCreated
           SessionId = $xml.Event.EventData.Data[0].'#text'
           UserSid = $xml.Event.EventData.Data[1].'#text'
           LogonType = $xml.Event.EventData.Data[2].'#text'
       }
   } | Format-Table -AutoSize

4. Recoupez avec les événements de connexion pour le cycle de vie complet de la session :

   $logonEvents = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4624} -MaxEvents 50
   $logoffEvents = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4634} -MaxEvents 50
   $sessionDestroyEvents = Get-WinEvent -FilterHashtable @{LogName='System'; Id=5617} -MaxEvents 50

5. Exportez les données de session pour analyse :

   $sessions | Export-Csv -Path "C:\temp\session_analysis.csv" -NoTypeInformation

Implémentez une surveillance pour identifier les modèles de terminaison de session inhabituels qui pourraient indiquer des problèmes ou des préoccupations de sécurité.

1. Créez un script PowerShell pour surveiller les modèles de session :

   # Surveiller la fréquence de terminaison des sessions
   $startTime = (Get-Date).AddHours(-24)
   $sessionEvents = Get-WinEvent -FilterHashtable @{
       LogName='System'
       Id=5617
       StartTime=$startTime
   }
   
   # Regrouper par heure pour identifier les modèles
   $sessionEvents | Group-Object {$_.TimeCreated.Hour} | Sort-Object Name | Select-Object Name, Count

2. Vérifiez les raisons anormales de terminaison de session :

   # Analyser les contextes de terminaison
   $sessionEvents | ForEach-Object {
       $xml = [xml]$_.ToXml()
       [PSCustomObject]@{
           Time = $_.TimeCreated
           Reason = $xml.Event.EventData.Data[3].'#text'
           SessionType = $xml.Event.EventData.Data[2].'#text'
       }
   } | Group-Object Reason | Sort-Object Count -Descending

3. Mettez en place une surveillance automatisée à l'aide du Planificateur de tâches :
   • Ouvrez Planificateur de tâches et créez une nouvelle tâche
   • Définissez le déclencheur pour une exécution quotidienne
   • Configurez l'action pour exécuter le script PowerShell surveillant l'ID d'événement 5617
   • Activez les notifications par email pour les modèles inhabituels
4. Examinez la configuration des services Terminal si les sessions RDP se terminent de manière inattendue :
   • Accédez à HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server
   • Vérifiez la valeur de fDenyTSConnections
   • Examinez les politiques de délai d'expiration de session dans la stratégie de groupe

Lorsque l'ID d'événement 5617 apparaît fréquemment ou de manière inattendue, enquêtez sur les causes potentielles des terminaisons forcées de session.

1. Vérifiez les terminaisons de session administratives dans les journaux d'événements :

   # Rechercher les événements de déconnexion administrative
   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4647} -MaxEvents 20 | Select-Object TimeCreated, Message

2. Examinez les événements d'arrêt/redémarrage du système qui forcent le nettoyage de session :

   # Vérifier les événements d'arrêt du système
   Get-WinEvent -FilterHashtable @{LogName='System'; Id=1074,1076} -MaxEvents 10 | Select-Object TimeCreated, Id, Message

3. Examinez les paramètres de stratégie de groupe affectant la gestion des sessions :
   • Ouvrez la Console de gestion des stratégies de groupe
   • Accédez à Configuration de l'ordinateur → Modèles d'administration → Composants Windows → Services Bureau à distance
   • Vérifiez les politiques de limite de temps de session
   • Examinez les paramètres Configuration utilisateur → Modèles d'administration → Système → Ouverture/fermeture de session
4. Enquêtez sur les plantages d'applications causant le nettoyage de session :

   # Vérifier les événements d'erreur d'application autour des heures de terminaison de session
   Get-WinEvent -FilterHashtable @{LogName='Application'; Level=2} -MaxEvents 50 | Where-Object {$_.TimeCreated -gt (Get-Date).AddHours(-2)} | Select-Object TimeCreated, Id, ProviderName, LevelDisplayName

5. Vérifiez la configuration des services Terminal Server :

   # Vérifier les limites de session RDP
   Get-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp" | Select-Object MaxInstanceCount, MaxConnectionTime

Effectuez une analyse médico-légale complète des sessions en utilisant l'ID d'événement 5617 en conjonction avec d'autres événements d'audit Windows pour les enquêtes de sécurité.

1. Activez la journalisation d'audit complète pour le suivi des sessions:

   # Activer l'audit détaillé des connexions
   auditpol /set /subcategory:"Logon" /success:enable /failure:enable
   auditpol /set /subcategory:"Logoff" /success:enable
   auditpol /set /subcategory:"Special Logon" /success:enable

2. Créez une analyse chronologique complète des sessions:

   # Construire une chronologie complète des sessions
   $timeRange = (Get-Date).AddDays(-7)
   $allSessionEvents = @()
   
   # Collecter les événements de connexion (4624)
   $logons = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4624; StartTime=$timeRange}
   $allSessionEvents += $logons | Select-Object TimeCreated, Id, @{Name='EventType';Expression={'Logon'}}, Message
   
   # Collecter les événements de déconnexion (4634)
   $logoffs = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4634; StartTime=$timeRange}
   $allSessionEvents += $logoffs | Select-Object TimeCreated, Id, @{Name='EventType';Expression={'Logoff'}}, Message
   
   # Collecter les événements de destruction de session (5617)
   $destructions = Get-WinEvent -FilterHashtable @{LogName='System'; Id=5617; StartTime=$timeRange}
   $allSessionEvents += $destructions | Select-Object TimeCreated, Id, @{Name='EventType';Expression={'SessionDestroy'}}, Message
   
   # Trier chronologiquement
   $allSessionEvents | Sort-Object TimeCreated | Export-Csv -Path "C:\temp\complete_session_timeline.csv" -NoTypeInformation

3. Analysez les modèles de durée des sessions:

   # Calculer les durées des sessions
   $sessionPairs = @{}
   foreach ($event in $allSessionEvents | Sort-Object TimeCreated) {
       if ($event.EventType -eq 'Logon') {
           # Extraire l'ID de session et stocker l'heure de connexion
           $sessionId = ([xml]$event.Message).Event.EventData.Data[3].'#text'
           $sessionPairs[$sessionId] = @{LogonTime = $event.TimeCreated}
       }
       elseif ($event.EventType -eq 'SessionDestroy') {
           # Calculer la durée
           $sessionId = ([xml]$event.Message).Event.EventData.Data[0].'#text'
           if ($sessionPairs[$sessionId]) {
               $duration = $event.TimeCreated - $sessionPairs[$sessionId].LogonTime
               Write-Output "Durée de la session $sessionId : $($duration.TotalMinutes) minutes"
           }
       }
   }

4. Vérifiez les terminaisons de session liées à la sécurité:

   # Rechercher des événements de sécurité autour de la destruction de session
   $securityEvents = Get-WinEvent -FilterHashtable @{
       LogName='Security'
       Id=4625,4648,4672,4720,4726
       StartTime=(Get-Date).AddDays(-1)
   } | Select-Object TimeCreated, Id, LevelDisplayName, Message

5. Générez un rapport de sécurité des sessions:

   # Créer un rapport de sécurité des sessions complet
   $report = @{
       TotalSessions = ($destructions | Measure-Object).Count
       AverageSessionDuration = ($sessionDurations | Measure-Object -Average).Average
       UnexpectedTerminations = ($destructions | Where-Object {$_.Message -like '*unexpected*'} | Measure-Object).Count
       SecurityAlerts = ($securityEvents | Measure-Object).Count
   }
   $report | ConvertTo-Json | Out-File "C:\temp\session_security_report.json"