Event ID 4776

Définition

L'Event ID 4776, intitulé The computer attempted to validate the credentials for an account, est un événement de sécurité Windows généré lors d'une tentative d'authentification NTLM, qu'elle réussisse ou échoue, sur un contrôleur de domaine ou une machine assurant localement cette validation, constituant l'un des rares journaux natifs offrant une visibilité directe sur l'usage résiduel de ce protocole d'authentification hérité au sein d'un environnement Active Directory. Cet événement capture notamment le nom du compte concerné et le nom de la machine source ayant initié la demande, sans toutefois fournir systématiquement l'adresse IP d'origine, une limitation connue nécessitant fréquemment une corrélation avec d'autres sources de journalisation pour une investigation complète. La surveillance de l'Event ID 4776 se révèle particulièrement utile pour deux objectifs distincts de sécurité : d'une part, identifier et quantifier l'usage résiduel de NTLM dans un domaine ayant entamé une démarche de désactivation progressive au profit de Kerberoasting exclusif, une transition nécessitant une visibilité précise sur les applications et systèmes dépendant encore de ce protocole legacy ; d'autre part, détecter des tentatives d'attaque par force brute ou password spraying ciblant directement NTLM, un volume anormal d'échecs consécutifs pour des comptes distincts en provenance d'une même machine source constituant un indicateur fort de reconnaissance offensive en cours contre le domaine surveillé.