Event ID 5136

Définition

L'Event ID 5136, intitulé A directory service object was modified, est un événement de sécurité Windows généré à chaque modification d'un attribut d'un objet Active Directory, à condition qu'une SACL (System Access Control List) ait été explicitement configurée sur cet objet pour auditer ce type d'accès, l'audit n'étant pas activé par défaut sur l'ensemble des objets de l'annuaire. Cet événement constitue l'un des plus fondamentaux pour la détection de modifications malveillantes au sein de l'annuaire, car il capture précisément l'attribut modifié, sa valeur avant et après changement, ainsi que l'identité du principal ayant effectué la modification. Il permet notamment de détecter des attaques d'ACL Abuse comme des modifications de WriteDACL ou WriteOwner sur des objets sensibles, l'écriture de l'attribut msDS-KeyCredentialLink caractéristique des attaques de type Shadow Credentials, ou encore des changements sur msDS-AllowedToDelegateTo et msDS-AllowedToActOnBehalfOfOtherIdentity révélateurs de configurations de délégation malveillantes établies pour des attaques RBCD. La configuration d'une SACL efficace nécessite de cibler prioritairement les objets à haute valeur — groupes privilégiés, objet AdminSDHolder, comptes disposant de délégation — sous peine de générer un volume d'événements ingérable si appliqué indistinctement à l'ensemble de l'annuaire. L'intégration de cet événement dans un SIEM avec des règles de corrélation dédiées constitue une pratique de détection avancée recommandée pour les environnements Active Directory critiques.