Event ID 4662

Définition

L'Event ID 4662, intitulé An operation was performed on an object, est un événement de sécurité Windows généré lorsqu'une opération précise est effectuée sur un objet Active Directory disposant d'une SACL configurée pour auditer ce type d'accès, offrant une granularité de détection supérieure à l'Event ID 5136 en capturant notamment les opérations sur des droits étendus (Extended Rights) qui ne correspondent pas nécessairement à une modification d'attribut classique. Cet événement se révèle particulièrement précieux pour détecter des techniques d'attaque exploitant précisément ces droits étendus, comme une tentative d'exercice du droit DS-Replication-Get-Changes-All caractéristique d'une attaque DCSync, ou l'exercice du droit User-Force-Change-Password associé à une réinitialisation forcée de mot de passe. L'Event ID 4662 nécessite l'identification du GUID de l'opération concernée pour être pleinement exploitable en détection, ces GUID correspondant à des droits étendus spécifiques du schéma Active Directory, une correspondance qu'il faut établir au préalable pour construire des règles de corrélation SIEM pertinentes, par exemple le GUID 1131f6aa-9c07-11d1-f79f-00c04fc2dcd2 associé au droit de réplication complet exploité par DCSync. La configuration correcte de la SACL sur les objets sensibles, combinée à une intégration fine de cet événement dans les outils de détection, constitue une pratique de sécurité avancée recommandée pour identifier les tentatives d'exploitation de droits étendus critiques en environnement Active Directory.