Si un analyste recherche l’Événement 4663 sur une machine Windows standard et ne trouve rien, ce n’est pas une erreur ; c’est la configuration par défaut. Générer ces événements nécessite une mise en place délibérée en deux étapes.
Configuration ordinateur > Stratégies > Paramètres Windows > Paramètres de sécurité > Configuration avancée de la stratégie d'audit > Accès aux objets
Auditer le système de fichiers sur Succès et Échec.Auditer le partage de fichiers sur Succès et Échec (pour les événements 5140/5145).C:\Secrets\mots_de_passe.txt).
Propriétés → Sécurité → Avancé → Audit.Tout le monde) et les types d’accès spécifiques à journaliser (ex: Lecture, Écriture, Suppression).Lorsqu’un fichier surveillé par une SACL fait l’objet d’une interaction, l’Événement 4663 (Une tentative d’accès à un objet a été effectuée) est généré. L’analyse de cet enregistrement XML révèle le contexte complet de l’action.
Security ID) et le nom du compte (Account Name) de l’utilisateur effectuant l’action.Object Name, le chemin absolu du fichier) et le type d’objet (File ou Key pour le registre).Process Name, ex: C:\Windows\System32\notepad.exe). C’est crucial pour corréler l’accès au fichier avec l’Événement 4688 (Création de processus) afin de comprendre la filiation parent-enfant.ReadData (lecture du fichier) ou WriteData (modification du fichier).Lorsque les adversaires se déplacent latéralement ou exfiltrent des données, ils accèdent fréquemment aux partages de fichiers administratifs ou d’entreprise via le réseau.
Événement 5140
Un objet de partage réseau a été accédé.
Cela journalise la connexion initiale à la racine du partage (ex: \\SERVER\SYSVOL). Il fournit l’adresse source (Source Address, l’IP de l’attaquant), ce qui en fait un excellent point de pivot pour le traçage réseau.
Événement 5145
Un objet de partage réseau a été vérifié pour voir si le client peut obtenir l’accès souhaité.
Ceci est très granulaire. Il journalise l’accès à des fichiers spécifiques à l’intérieur du partage. Notamment, il enregistre le nom cible relatif (Relative Target Name). Comme détaillé dans l’articles sur les Tubes nommés (Named Pipes), si le partage accédé est IPC$, cet événement consigne le nom exact du tube nommé auquel l’attaquant se connecte.
Déployer des SACL partout est une erreur opérationnelle catastrophique (surcharge du SIEM). Les équipes DFIR utilisent l’audit d’accès aux objets de manière stratégique.
L’utilisation la plus élégante de l’Événement 4663 est la tromperie. Créez un faux fichier hautement attrayant (ex: C:\Users\Administrateur\Desktop\Q4_MotsDePasse_Financiers.docx) et appliquez une SACL surveillant ReadData par Tout le monde. Puisqu’aucun utilisateur légitime ne devrait jamais ouvrir ce fichier leurre, tout Événement 4663 le ciblant est une alerte d’intrusion confirmée à 100 % avec zéro faux positif.
Sur un contrôleur de domaine, la base de données Active Directory (ntds.dit) est la cible ultime. En appliquant une SACL à ce fichier, les analystes peuvent surveiller l’extraction d’identifiants. Si l’Événement 4663 montre un processus autre que le processus légitime lsass.exe tentant de lire ntds.dit, un attaquant exécute une attaque DCSync ou une extraction locale.
Lors d’une Investigation de Ransomware, l’Événement 4663 fournit une signature comportementale distincte. Un seul compte utilisateur (via un seul processus comme cmd.exe ou un binaire personnalisé) générant des milliers de journaux 4663 avec des droits d’accès WriteData et DELETE en quelques secondes est la signature indéniable d’une routine de chiffrement de masse.
Déployez ces requêtes pour chasser les modèles d’accès à haut risque dans votre SIEM.
// Détecte un comportement potentiel de ransomware en identifiant des modifications de fichiers excessives (Événement 4663)// par un seul processus dans une courte fenêtre de temps.SecurityEvent| where EventID == 4663| where AccessList has "%%4417" // %%4417 se traduit par WriteData// Regrouper les événements par Processus, Compte, et une fenêtre de temps d'1 minute| summarize ModifiedFiles = dcount(ObjectName), FileList = make_set(ObjectName) by bin(TimeGenerated, 1m), Computer, Account, ProcessName// Seuil : Plus de 100 fichiers distincts modifiés en 1 minute| where ModifiedFiles > 100| project TimeGenerated, Computer, Account, ProcessName, ModifiedFiles| sort by TimeGenerated desc# Détecte l'accès non autorisé à la base de données Active Directoryindex=windows sourcetype="WinEventLog:Security" EventCode=4663| search Object_Name="*\\ntds.dit"# Exclure le processus système légitime| search NOT Process_Name="*\\lsass.exe"| table _time, host, Account_Name, Process_Name, Accesses