ID d'événements de sécurité Active Directory : référence DC

Le journal Security d'un contrôleur de domaine peut enregistrer quelques centaines d'ID d'événements distincts. Une quarantaine d'entre eux vous apprennent quelque chose d'utile sur une attaque contre Active Directory, et un nombre bien plus restreint vous disent ce qui s'est passé lorsqu'on les lit isolément. Cette référence liste les événements qui comptent sur les DC et les serveurs AD CS. Pour chacun, elle indique la sous-catégorie d'audit qui le produit, ce qu'il enregistre et les champs sur lesquels filtrer lors d'une chasse aux menaces.

L'article pilier sur l'audit et la détection couvre l'activation de la stratégie d'audit avancée et des SACL. Cette page suppose ce travail réalisé et se concentre sur la lecture du résultat. Toutes les sous-catégories se trouvent sous Computer Configuration > Policies > Windows Settings > Security Settings > Advanced Audit Policy Configuration > Audit Policies.

Comment lire cette référence

Trois règles font gagner du temps :

• L'endroit où l'événement est journalisé compte. Kerberos (4768, 4769, 4771) et la validation NTLM (4776) pour les comptes du domaine sont journalisés sur le DC qui a traité la demande. Les événements d'ouverture de session (4624, 4625) sont journalisés sur la machine sur laquelle l'utilisateur a ouvert une session. Une ouverture de session sur un serveur de fichiers produit un 4769 sur un DC et un 4624 sur le serveur de fichiers.
• Rien n'est journalisé si la sous-catégorie n'est pas activée. Les événements d'annuaire nécessitent en outre une SACL sur l'objet.
• Filtrez sur les champs, pas sur le texte du message. Les messages d'événements sont localisés et évoluent dans le temps, mais les noms de champs XML (TargetUserName, TicketEncryptionType, Status) sont stables.

Requête par ID et par champ sur un DC :

# Les 50 derniers échecs de pré-authentification Kerberos sur ce DC
Get-WinEvent -FilterHashtable @{ LogName = 'Security'; Id = 4771 } -MaxEvents 50 |
  ForEach-Object {
    $x = [xml]$_.ToXml()
    [pscustomobject]@{
      Time    = $_.TimeCreated
      Account = ($x.Event.EventData.Data | Where-Object Name -eq 'TargetUserName').'#text'
      Client  = ($x.Event.EventData.Data | Where-Object Name -eq 'IpAddress').'#text'
      Code    = ($x.Event.EventData.Data | Where-Object Name -eq 'Status').'#text'
    }
  }

Événements d'ouverture de session et de session

Sous-catégories : Logon/Logoff > Audit Logon, Audit Special Logon, Audit Logoff, Audit Other Logon/Logoff Events.

Types d'ouverture de session sur lesquels vous filtrerez : 2 interactive, 3 réseau, 4 batch, 5 service, 7 déverrouillage, 8 réseau en texte clair, 9 NewCredentials (runas /netonly, également produit par certains outils d'injection d'identifiants), 10 RemoteInteractive (RDP), 11 interactive mise en cache.

Codes de sous-statut 4625 courants :

Une rafale de 0xC000015B pour des comptes Tier 0 sur des postes de travail correspond souvent à vos droits de refus d'ouverture de session par tier qui fonctionnent comme prévu, et mérite d'être suivie dans le temps.

Événements Kerberos

Sous-catégories : Account Logon > Audit Kerberos Authentication Service (4768, 4771, 4772) et Audit Kerberos Service Ticket Operations (4769, 4770, 4773).

Valeurs des types de chiffrement : 0x11 AES128, 0x12 AES256, 0x17 RC4-HMAC, 0x18 RC4-HMAC-EXP, 0x1 / 0x3 DES (ne devraient jamais apparaître). Suivre 0x17 dans les 4768 et 4769 permet de mesurer votre progression vers la désactivation de RC4. Les builds récentes ajoutent des champs comme les clés disponibles pour le compte et le type de chiffrement de la clé de session. Ils facilitent grandement cette mesure : mettez à jour vos analyseurs pour les exploiter.

Un 4769 en échec avec le Status 0x1F (échec du contrôle d'intégrité d'un champ déchiffré) peut signaler des tickets forgés ou altérés. Attendez-vous à des faux positifs liés à l'horloge et aux approbations : traitez-les comme des pistes d'enquête, pas comme des verdicts.

Événements NTLM

Sous-catégorie : Account Logon > Audit Credential Validation.

Pour connaître l'usage de NTLM par version de protocole et par serveur cible, activez Network security: Restrict NTLM: Audit NTLM authentication in this domain (Sécurité réseau : restreindre NTLM : auditer l'authentification NTLM dans ce domaine) et lisez le journal Microsoft-Windows-NTLM/Operational (8001 à 8004). Cette démarche est décrite dans auditer et restreindre NTLM.

Événements de gestion des comptes

Sous-catégories : Account Management > Audit User Account Management, Audit Computer Account Management, Audit Security Group Management.

Utilisateurs

Groupes

Déclenchez des alertes en temps réel sur les 4728, 4732 et 4756 dont la cible est un groupe Tier 0. Filtrez sur TargetSid plutôt que sur le nom, afin de couvrir aussi les groupes renommés ou localisés.

Ordinateurs

Événements du service d'annuaire

Sous-catégories : DS Access > Audit Directory Service Access (4662) et Audit Directory Service Changes (5136 à 5141). SACL requises.

Le 5136 journalise un événement par valeur d'attribut ajoutée ou retirée, avec un OperationType %%14674 (valeur ajoutée) ou %%14675 (valeur supprimée). Une seule modification d'ACL produit un événement de suppression pour l'ancien descripteur et un événement d'ajout pour le nouveau. Corrélez la paire via OpCorrelationID.

Événements utiles en dehors du journal Security :

• Journal Directory Service, 2889 : liaisons LDAP sans signature. Voir la signature LDAP et la liaison de canal.
• Journal Directory Service, 2089 : partition non sauvegardée dans l'intervalle de latence de sauvegarde.
• Journal System, 7045 : nouveau service installé sur un DC.

Événements de stratégie, d'approbation et d'intégrité du système

Traitez les 1102, 4719 et tout 4706 sur les DC comme des événements justifiant d'alerter quelqu'un immédiatement. Les occurrences légitimes sont rares et doivent toujours correspondre à un ticket de changement.

Événements AD CS

Sous-catégorie : Object Access > Audit Certification Services. L'autorité de certification a également besoin de son propre filtre d'audit, à définir sur le serveur de l'AC :

certutil -setreg CA\AuditFilter 127
Restart-Service certsvc

Sur les DC, les événements 39, 40 et 41 du journal System (Kerberos-Key-Distribution-Center) signalent des mappages de certificats faibles. Ils sont traités dans le mappage fort des certificats. La vue d'ensemble des modèles se trouve dans le durcissement d'AD CS.

Pièges

• Volumes inattendus. Les 4624 de type 3, 4634, 4769 et 4662 dominent le volume des journaux des DC. Transférez-les malgré tout, mais dimensionnez le journal Security (plusieurs Go sur les DC chargés) pour que les journaux locaux couvrent au moins quelques jours si la chaîne de transfert se bloque.
• Confusion entre 4771 et 4625. Les échecs Kerberos ne produisent pas de 4625 sur le DC. Une détection de spraying fondée uniquement sur le 4625 manque la plupart des attaques à l'échelle du domaine.
• Noms localisés. Les noms de groupes figurant dans les événements sont localisés sur les DC non anglophones. Faites correspondre sur les SID : les RID de domaine bien connus (512 Domain Admins, 519 Enterprise Admins, 518 Schema Admins) et le SID intégré S-1-5-32-544 (Administrators), qui n'a pas de préfixe de domaine.
• Stratégie d'audit mixte. Si des paramètres de catégories hérités sont appliqués en même temps que la stratégie d'audit avancée sans que Audit: Force audit policy subcategory settings soit activé, les événements cessent silencieusement.
• Dérive du périmètre des SACL. Une SACL pour Tout le monde en lecture de toutes les propriétés à la racine du domaine inondera le journal. Limitez l'audit des lectures aux leurres et l'audit des écritures aux objets Tier 0.
• Décalage d'horloge. Corréler un 4768 sur un DC avec un 4624 sur un serveur ne fonctionne que si la synchronisation horaire est saine dans tout le domaine.

Pour aller plus loin : sortez ces événements des DC avec Windows Event Forwarding, transformez-en une poignée en alertes quasiment sans faux positifs grâce aux honeytokens, et parcourez le reste de la thématique audit, journalisation et détection.