ID d'événement Windows 808 – Sécurité : Journal d'audit effacé

Commencez par examiner les détails spécifiques de l'occurrence de l'ID d'événement 808 pour comprendre qui a effacé les journaux et quand.

1. Ouvrez Observateur d'événements en appuyant sur Win + R, en tapant eventvwr.msc, et en appuyant sur Entrée
2. Accédez à Journaux Windows → Sécurité
3. Filtrez pour l'ID d'événement 808 en cliquant avec le bouton droit sur le journal Sécurité et en sélectionnant Filtrer le journal actuel
4. Entrez 808 dans le champ ID d'événements et cliquez sur OK
5. Double-cliquez sur l'entrée de l'ID d'événement 808 pour voir les informations détaillées
6. Examinez l'onglet Général pour l'horodatage et les détails de base
7. Vérifiez l'onglet Détails pour le SID de l'utilisateur, la session de connexion et les informations de processus
8. Documentez l'Utilisateur, l'Ordinateur, et l'Heure de l'événement à des fins d'enquête

Utilisez PowerShell pour récupérer des informations complètes sur toutes les occurrences de l'ID d'événement 808 et analyser les modèles.

1. Ouvrez PowerShell en tant qu'administrateur
2. Exécutez la commande suivante pour récupérer toutes les occurrences de l'ID d'événement 808:

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=808} | Select-Object TimeCreated, Id, LevelDisplayName, Message | Format-Table -AutoSize

3. Pour une analyse plus détaillée, exportez les événements vers un fichier CSV:

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=808} | Select-Object TimeCreated, Id, UserId, ProcessId, Message | Export-Csv -Path "C:\Temp\Event808_Analysis.csv" -NoTypeInformation

4. Pour vérifier les événements des 30 derniers jours:

   $StartDate = (Get-Date).AddDays(-30)
   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=808; StartTime=$StartDate} | Format-Table TimeCreated, Message -AutoSize

5. Extraire les informations utilisateur des événements:

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=808} | ForEach-Object { [xml]$xml = $_.ToXml(); $xml.Event.EventData.Data | Where-Object {$_.Name -eq 'SubjectUserName'} | Select-Object '#text' }

Analysez les informations du compte utilisateur et de la session de connexion pour déterminer si le nettoyage des journaux a été effectué par du personnel autorisé.

1. À partir des détails de l'ID d'événement 808, notez le Nom d'utilisateur du sujet et le Domaine du sujet
2. Vérifiez que le compte utilisateur existe et dispose des autorisations appropriées :

   Get-ADUser -Identity "username" -Properties MemberOf, LastLogonDate, PasswordLastSet | Select-Object Name, SamAccountName, MemberOf, LastLogonDate, PasswordLastSet

3. Vérifiez si l'utilisateur est membre de groupes privilégiés :

   Get-ADUser -Identity "username" -Properties MemberOf | Select-Object -ExpandProperty MemberOf | Get-ADGroup | Where-Object {$_.Name -match "Admin|Operator|Backup"}

4. Examinez les événements de connexion simultanés autour du moment du nettoyage des journaux :

   $EventTime = (Get-Date "2026-03-17 10:30:00") # Remplacez par l'heure réelle de l'événement
   $TimeWindow = 30 # minutes
   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4624,4625; StartTime=$EventTime.AddMinutes(-$TimeWindow); EndTime=$EventTime.AddMinutes($TimeWindow)} | Where-Object {$_.Message -match "username"}

5. Vérifiez s'il existe une stratégie de groupe ou une tâche planifiée qui pourrait avoir déclenché le nettoyage :

   Get-ScheduledTask | Where-Object {$_.Actions.Execute -match "Clear-EventLog|wevtutil"} | Select-Object TaskName, State, LastRunTime

Implémentez des mécanismes de surveillance et d'alerte supplémentaires pour détecter les futures activités de nettoyage des journaux et renforcer l'intégrité de la piste d'audit.

1. Activez la politique d'audit avancée pour l'accès aux objets afin de suivre l'utilisation de l'Observateur d'événements :

   auditpol /set /subcategory:"File System" /success:enable /failure:enable
   auditpol /set /subcategory:"Registry" /success:enable /failure:enable

2. Configurez le transfert d'événements Windows pour envoyer l'ID d'événement 808 à un collecteur central :

   # Sur le serveur collecteur
   wecutil qc /q
   # Sur les ordinateurs sources
   winrm qc -q

3. Créez une tâche planifiée pour alerter sur les occurrences de l'ID d'événement 808 :

   $Action = New-ScheduledTaskAction -Execute "PowerShell.exe" -Argument "-Command \"Send-MailMessage -To 'security@company.com' -From 'alerts@company.com' -Subject 'Security Log Cleared' -Body 'Event ID 808 detected' -SmtpServer 'mail.company.com'\""
   $Trigger = New-ScheduledTaskTrigger -AtStartup
   $Settings = New-ScheduledTaskSettingsSet -AllowStartIfOnBatteries
   Register-ScheduledTask -TaskName "SecurityLogClearAlert" -Action $Action -Trigger $Trigger -Settings $Settings

4. Configurez les politiques de rétention des journaux d'événements pour empêcher le nettoyage automatique :

   # Définir le journal de sécurité à 1 Go avec réécriture si nécessaire
   wevtutil sl Security /ms:1073741824 /rt:true

5. Implémentez la journalisation des scripts PowerShell pour capturer toute commande Clear-EventLog :

   # Activer la journalisation des modules PowerShell via la stratégie de groupe ou le registre
   New-ItemProperty -Path "HKLM:\SOFTWARE\Policies\Microsoft\Windows\PowerShell\ModuleLogging" -Name "EnableModuleLogging" -Value 1 -PropertyType DWORD -Force
   New-ItemProperty -Path "HKLM:\SOFTWARE\Policies\Microsoft\Windows\PowerShell\ModuleLogging\ModuleNames" -Name "*" -Value "*" -PropertyType String -Force

Effectuez une analyse médico-légale complète lorsque l'ID d'événement 808 indique des incidents de sécurité potentiels ou une altération non autorisée des journaux.

1. Créez une chronologie médico-légale des événements entourant l'effacement des journaux :

   # Exporter tous les événements de sécurité 24 heures avant l'incident
   $IncidentTime = (Get-Date "2026-03-17 10:30:00") # Remplacez par l'heure réelle
   $StartTime = $IncidentTime.AddHours(-24)
   $EndTime = $IncidentTime.AddHours(1)
   Get-WinEvent -FilterHashtable @{LogName='Security'; StartTime=$StartTime; EndTime=$EndTime} | Export-Csv -Path "C:\Forensics\SecurityEvents_Timeline.csv" -NoTypeInformation

2. Vérifiez les preuves de mouvements latéraux ou d'escalade de privilèges :

   # Rechercher des modèles de connexion inhabituels
   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4624,4625,4648,4672} | Where-Object {$_.TimeCreated -ge $StartTime -and $_.TimeCreated -le $EndTime} | Group-Object Id | Select-Object Name, Count

3. Analysez les événements d'exécution de processus qui pourraient indiquer des outils malveillants :

   # Vérifiez les événements de création de processus suspects
   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4688} | Where-Object {$_.Message -match "wevtutil|Clear-EventLog|eventvwr" -and $_.TimeCreated -ge $StartTime}

4. Examinez l'accès au système de fichiers aux fichiers de journaux d'événements :

   # Vérifiez l'accès aux fichiers .evtx dans System32\winevt\Logs
   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4656,4658} | Where-Object {$_.Message -match "\.evtx" -and $_.TimeCreated -ge $StartTime}

5. Générez un rapport d'incident complet :

   # Créer un résumé de l'incident
   $Report = @{
       IncidentTime = $IncidentTime
       ClearingUser = "Extraire de l'événement 808"
       ConcurrentEvents = (Get-WinEvent -FilterHashtable @{LogName='Security'; StartTime=$StartTime; EndTime=$EndTime}).Count
       SuspiciousProcesses = "Lister tous les processus inhabituels"
       RecommendedActions = "Étapes immédiates de confinement et d'enquête"
   }
   $Report | ConvertTo-Json | Out-File "C:\Forensics\Event808_IncidentReport.json"