Journaux d'événements et transfert d'événements Windows (WEF)

Windows enregistre ce qui se passe sur chaque machine dans des journaux d'événements : ouvertures de session, créations de comptes, erreurs des services, modifications de l'annuaire. Encore faut-il activer les bons audits, garder les journaux assez longtemps et les rassembler en un point central, hors de portée d'un attaquant. Ce chapitre configure la stratégie d'audit, donne les identifiants d'événements à connaître, puis met en place le transfert d'événements Windows (WEF), qui centralise les journaux des postes et des serveurs sur un collecteur. L'analyse des journaux et le SIEM sont traités dans le cours Réponse à incident.

Les journaux de Windows

La console Observateur d'événements (eventvwr.msc) affiche les journaux d'une machine, locale ou distante.

Chaque événement porte un identifiant (Event ID), un niveau (information, avertissement, erreur, critique ; succès ou échec de l'audit pour le journal Sécurité), une source, une date, la machine et, souvent, le compte concerné. L'identifiant ne suffit pas toujours : le détail de l'événement (type d'ouverture de session, adresse source, code d'échec) dit ce qui s'est réellement passé.

Configurer la stratégie d'audit

Le journal Sécurité ne contient que ce que la stratégie d'audit demande d'enregistrer. Sur les contrôleurs de domaine, une partie est activée par défaut ; sur les postes et les serveurs membres, beaucoup moins. On règle l'audit par GPO, avec la configuration avancée de la stratégie d'audit : Configuration ordinateur > Stratégies > Paramètres Windows > Paramètres de sécurité > Configuration avancée de la stratégie d'audit > Stratégies d'audit. Elle propose une soixantaine de sous-catégories, plus précises que les neuf catégories de l'ancienne stratégie d'audit (qu'il ne faut pas mélanger avec elle).

Une base raisonnable, inspirée des recommandations de Microsoft et de l'ANSSI :

Pour que la configuration avancée soit prise en compte, active aussi l'option Audit : force les paramètres de sous-catégorie de stratégie d'audit à se substituer aux paramètres de catégorie de stratégie d'audit (Options de sécurité). Vérifie le résultat sur une machine avec auditpol /get /category:*.

L'audit des accès aux fichiers demande deux réglages : la sous-catégorie Accès à l'objet > Système de fichiers, et une liste de contrôle d'accès système (SACL) sur le dossier à surveiller (paramètres de sécurité avancés > onglet Audit : par exemple, échecs et suppressions pour Tout le monde sur D:\Partages\Paie). On ne l'active que sur des dossiers sensibles : auditer tous les accès à tous les fichiers noie l'information.

Les événements à connaître

Quelques lectures types :

• une série de 4625 sur un même compte depuis une même adresse, puis un 4624 : un mot de passe deviné par force brute ;
• des 4625 sur de nombreux comptes différents, un ou deux essais chacun, depuis la même adresse : une pulvérisation de mots de passe (password spraying), qui reste sous le seuil de verrouillage ;
• un 4728 qui ajoute un compte inconnu à Admins du domaine, en dehors des heures de travail : à traiter comme un incident ;
• un 1102 : quelqu'un a effacé le journal Sécurité, souvent pour masquer ses traces ;
• un 7045 inattendu sur un serveur : un outil d'administration à distance ou une charge malveillante installés comme service.

Taille et rétention des journaux

Par défaut, chaque journal a une taille maximale limitée et remplace les événements les plus anciens quand il est plein. Sur un contrôleur de domaine chargé, le journal Sécurité peut ainsi ne couvrir que quelques heures ou quelques jours : le jour où l'on cherche la trace d'une intrusion vieille de trois semaines, elle a disparu.

On augmente la taille par GPO (Configuration ordinateur > Stratégies > Modèles d'administration > Composants Windows > Service Journal des événements > Sécurité > Spécifier la taille maximale du fichier journal) ou en ligne de commande, et surtout on centralise.

# Taille et mode de rétention du journal Sécurité
wevtutil gl Security
# Porter la taille maximale à 1 Go (en octets)
wevtutil sl Security /ms:1073741824

La durée de conservation dépend des besoins et des obligations : la CNIL recommande en général une conservation des journaux d'activité de six mois à un an. Le chapitre Journalisation du cours Réponse à incident détaille quoi journaliser et combien de temps.

Centraliser avec le transfert d'événements Windows

Les journaux restés sur chaque machine ont trois défauts : il faut aller les lire un par un, ils sont écrasés quand ils sont pleins, et un attaquant qui a les droits d'administrateur sur la machine peut les effacer. Le transfert d'événements Windows (WEF, Windows Event Forwarding), inclus gratuitement dans Windows, envoie au fil de l'eau les événements choisis vers un serveur collecteur.

Deux composants :

• sur le collecteur, le service Collecteur d'événements de Windows (wecsvc) reçoit les événements et les range dans le journal Événements transférés ;
• sur les sources (postes, serveurs, contrôleurs), le service Gestion à distance de Windows (WinRM) envoie les événements demandés par un abonnement, sur le port TCP 5985 (HTTP, avec un contenu chiffré par Kerberos dans un domaine) ou 5986 (HTTPS).

Deux modes d'abonnement :

Mettre en place WEF initié par la source chez Sorbier :

1. Sur le collecteur srv-collecte (192.168.10.182, un serveur Windows membre dédié, de tier 1, ou de tier 0 s'il collecte les contrôleurs) : configurer le service.
   powershellCopier le code de la section Centraliser avec le transfert d'événements Windows

   wecutil qc /q          # démarre le collecteur et le règle en démarrage automatique
   

2. Créer l'abonnement dans l'Observateur d'événements du collecteur > Abonnements > Créer un abonnement : type Initié par l'ordinateur source, groupes d'ordinateurs concernés (par exemple Ordinateurs du domaine et Contrôleurs de domaine), événements à collecter (le journal Sécurité avec les identifiants choisis, le journal Système avec 7045, le journal PowerShell avec 4104), et l'option de remise Réduire la latence pour les événements critiques.
3. Une GPO pour les sources, liée aux OU des ordinateurs et à l'OU Domain Controllers :

4. Vérifier : sur une source, gpupdate /force, puis le journal Microsoft-Windows-Forwarding/Operational ; sur le collecteur, l'état de l'abonnement (wecutil gr <nom de l'abonnement>) et l'arrivée des événements dans Événements transférés.

Le collecteur ne remplace pas un SIEM : il rassemble, il n'analyse pas. On y installe en général l'agent du SIEM (ou un relais Syslog), qui envoie les événements vers srv-journaux (192.168.10.180), le serveur central de journaux et de supervision de Sorbier, où ils sont analysés et corrélés (Journaux, SIEM et détection des incidents, Centraliser les logs : syslog, SIEM et SOC et le cours Supervision).

Interroger les journaux en PowerShell

Get-WinEvent lit les journaux locaux, distants ou transférés. Le paramètre -FilterHashtable filtre côté système, bien plus vite qu'un Where-Object :

# Les échecs d'ouverture de session des dernières 24 heures sur ce contrôleur
Get-WinEvent -FilterHashtable @{ LogName = 'Security'; Id = 4625; StartTime = (Get-Date).AddDays(-1) } |
    Select-Object TimeCreated, @{ n = 'Compte'; e = { $_.Properties[5].Value } }, @{ n = 'Source'; e = { $_.Properties[19].Value } }

# Les ajouts à des groupes de sécurité (global, local, universel) sur la dernière semaine
Get-WinEvent -FilterHashtable @{ LogName = 'Security'; Id = 4728, 4732, 4756; StartTime = (Get-Date).AddDays(-7) } |
    Format-List TimeCreated, Id, Message

# Les comptes verrouillés, sur les deux contrôleurs
Invoke-Command -ComputerName srv-ad, srv-ad2 -ScriptBlock {
    Get-WinEvent -FilterHashtable @{ LogName = 'Security'; Id = 4740 } -MaxEvents 20
} | Select-Object PSComputerName, TimeCreated, Message

# Sur le collecteur : les journaux effacés n'importe où dans le parc
Get-WinEvent -FilterHashtable @{ LogName = 'ForwardedEvents'; Id = 1102 }

Dans l'événement 4625, la propriété 5 est le nom du compte visé et la propriété 19 l'adresse IP source ; la position des propriétés est propre à chaque identifiant d'événement. Pour un usage ponctuel, les affichages personnalisés de l'Observateur d'événements font la même chose à la souris, et peuvent être exportés pour l'équipe.

Exercices

Get-WinEvent -FilterHashtable @{ LogName = 'Security'; Id = 4720, 4726; StartTime = (Get-Date).AddDays(-30) } |
    Select-Object TimeCreated, Id, Message