# Collecter et consulter les événements de sécurité AD

Canonical: https://www.nsecsoft.com/fr/docs/ping64-identity-access/ad-domain/audit/security-events/

Language: fr-FR

Updated: 2026-11-15T04:10:00.420845Z

L’audit de sécurité AD affiche notamment les événements d’authentification et de modification des comptes ou de l’annuaire collectés dans les journaux de sécurité des contrôleurs de domaine. Il diffère de **Platform Operations**, qui consigne les opérations de domaine effectuées via Ping64 : les événements de sécurité dépendent de ceux produits et collectés sur le contrôleur, tandis que les enregistrements de plateforme décrivent l’opération. Aucun ne remplace l’autre.

## Préparation

1.  Vérifiez la licence de gestion de domaine AD et les droits de l’administrateur pour consulter et modifier la configuration de collecte. La collecte manuelle exige aussi le droit d’opération correspondant. Configurez d’abord la [connexion au domaine](https://www.nsecsoft.com/fr/docs/ping64-identity-access/ad-domain/domain-connection/domain-connection/), vérifiez que le domaine cible est activé et que ses paramètres sont corrects, et disposez d’un environnement Windows disponible pour la connexion au domaine.
2.  Avec l’administrateur du domaine, vérifiez l’accessibilité des contrôleurs ciblés et le droit du compte de connexion à lire leurs journaux de sécurité. Selon les exigences d’audit Windows de l’organisation, vérifiez que les événements requis sont enregistrés sur les contrôleurs. Choisir un périmètre de collecte dans Ping64 ne prouve pas que ces événements ont été produits.
3.  Définissez les domaines, catégories d’événements, durées de conservation et exigences de confidentialité. La collecte est configurée par domaine ; évaluez avant modification les effets sur la collecte et le stockage existants. Pour conserver les données d’événement d’origine, confirmez d’abord les autorisations et exigences de conservation. La consultation des preuves d’origine exige aussi le droit d’opération correspondant.

## Configurer la collecte

1.  Dans la gestion de domaine AD, ouvrez **Audit Events > Security Events** et sélectionnez **Collection Config**. Dans les informations de base, choisissez un **Source Domain** activé et vérifiez **Collection Interval (sec)** et **Batch Size**. Pour un nouveau domaine, la collecte de sécurité est initialement désactivée, avec un intervalle de 300 secondes et un lot de 500. Les valeurs d’un domaine existant peuvent différer ; vérifiez celles affichées.
2.  Dans **Security Event Audit**, activez **Enable Security Event Collection** et sélectionnez au moins un périmètre correspondant à l’objectif. Par exemple, choisissez **Authentication audit** pour les connexions ou **Account change audit** pour les modifications d’utilisateurs. Cette sélection détermine le périmètre collecté, sans remplacer l’audit propre au contrôleur de domaine.
3.  Vérifiez selon le besoin l’option **Keep original event data**, puis enregistrez. Rouvrez la configuration et contrôlez le domaine source, l’activation et les périmètres. Une sauvegarde réussie ne signifie pas qu’une collecte a déjà été exécutée ni que des événements ont été produits.
4.  Pour une vérification immédiate, confirmez le domaine source dans les informations de base de la configuration et sélectionnez **Run collection**. Après soumission, consultez l’état et le résultat dans **Collection Runs**. Une exécution peut attendre, être en cours ou échouer ; la soumission ne signifie pas la fin de la collecte. Ne soumettez pas plusieurs fois si l’état est inconnu.

L’intervalle de collecte enregistré est limité à `60`–`86400` secondes (1 minute à 24 heures) ; les valeurs envoyées hors de cette plage sont ramenées à la borne correspondante. La taille de lot enregistrée est comprise entre `1` et `2000` : une valeur envoyée inférieure à `1` devient `500`, et une valeur supérieure à `2000` devient `2000`. La plage indiquée par le champ peut différer du résultat enregistré ; rouvrez la configuration après l’enregistrement pour la vérifier. L’intervalle et la taille du lot ne garantissent ni l’affichage ponctuel des événements ni le traitement de tout l’arriéré en une seule exécution.

## Vérifier et consulter

1.  Dans un environnement de test autorisé, effectuez une action identifiable correspondant au périmètre choisi, par exemple une connexion avec un compte pilote. Notez l’heure réelle, le contrôleur et le compte. Ne provoquez pas de verrouillage ni d’événement destructif avec un compte de production.
2.  Après génération de l’événement et fin de la collecte, choisissez dans **Security Events** la date, le domaine et les autres filtres pertinents, recherchez puis ouvrez les détails. Comparez l’heure, le contrôleur, le compte, la catégorie et le résultat à l’action réelle ; consultez les autres pages si nécessaire.
3.  Dans **Audit Events**, ouvrez au besoin les rapports de connexion, de modification de comptes ou de groupes et analysez leur périmètre avec les détails. Les enregistrements d’authentification du contrôleur reflètent l’activité enregistrée par les contrôleurs collectés, pas toutes les connexions locales de tous les serveurs membres ou postes.
4.  Pour une modification de domaine initiée par Ping64, consultez aussi l’enregistrement correspondant dans **Audit Events > Platform Operations** et comparez séparément l’heure de soumission, l’objet cible et le résultat à l’événement de sécurité. Une opération de plateforme réussie ne prouve pas que l’événement du contrôleur a déjà été généré ou collecté.

## Examiner les événements d’authentification et d’annuaire

Ces rubriques couvrent l’authentification, les risques de connexion et les modifications de comptes et d’objets d’annuaire. Login Risks concerne certains échecs d’authentification et ne prouve pas une compromission. Les modifications des membres et celles du groupe sont distinctes.

1.  Configurez la collecte des événements de sécurité du domaine comme indiqué ci-dessus et sélectionnez les périmètres correspondant à l’enquête : authentification, risque de connexion, compte, mot de passe, compte ordinateur, membres ou groupe, ou modification d’OU. Vérifiez la génération des journaux et les droits de lecture du compte de connexion ; enregistrez puis contrôlez les collectes.
2.  Dans AD Domain Management > Audit Events, choisissez selon le cas Authentication, Login Risks, Account Changes, Password Operations, Computer Account Changes, Group Membership Changes, Group Changes ou OU Changes.
3.  Sélectionnez le domaine et les dates, puis utilisez les filtres proposés pour le compte, l’objet cible, le contrôleur, l’action ou le résultat. Ouvrez les détails et confrontez l’heure, l’objet, le résultat disponible et les autres preuves. Les filtres et détails varient selon la rubrique.
4.  Si l’événement manque, vérifiez séparément les journaux du contrôleur, les périmètres et exécutions de collecte, les droits, les dates et les filtres. Une liste vide ne prouve ni l’absence d’opération ni la couverture de tous les contrôleurs et périodes. Faites approuver les tests ; ne modifiez pas la production pour créer un événement.

## Consulter les modifications GPO

Le rapport combine les comparaisons de l’annuaire et des paramètres de stratégie avec les événements de sécurité collectés. Il ne prouve ni l’application de la stratégie aux terminaux ni l’exhaustivité des opérations passées.

1.  Suivez **Configurer la collecte** pour le domaine cible, activez la collecte des événements de sécurité et sélectionnez **GPO change audit**. Vérifiez la génération des événements selon les exigences d’audit, les droits de lecture du compte de connexion et le bon déroulement de la collecte. L’enregistrement ne confirme pas encore la création de la référence de comparaison ni des enregistrements.
2.  Dans **AD Domain Management > Audit Events**, choisissez **GPO Changes**. Vérifiez le domaine, les dates et les filtres ; la période locale initiale va d’avant-hier à aujourd’hui. Affinez au besoin par mot-clé, contrôleur de domaine source, type de modification et état d’analyse.
3.  Consultez séparément **Setting changes**, **Scope and permissions** et **Properties and lifecycle**. Le changement d’onglet réinitialise les filtres : revérifiez le domaine, les dates et les autres critères. Une liste vide ne signifie pas que les autres onglets sont vides.
4.  Ouvrez **Details** et comparez l’heure, l’objet, les différences avant/après disponibles et les preuves associées. Utilisez **History** pour un paramètre lorsque cette action est disponible. Vérifiez tout contenu partiellement analysé ou affiché à l’aide des événements d’origine, de la configuration réelle et d’autres preuves.
5.  En cas d’initialisation ou de modifications absentes, vérifiez la collecte et l’établissement de la référence, puis effectuez une modification contrôlée autorisée et attendez sa collecte. La référence initiale ne reconstitue pas toutes les modifications antérieures ; échecs de collecte, droits, dates et nettoyage peuvent aussi influer sur les résultats.

## Configurer et consulter les modifications DNS

Les modifications DNS utilisent une source de journal DNS Audit distincte du commutateur de collecte des événements de sécurité des contrôleurs de domaine. Vérifiez avec l’administrateur du domaine que les serveurs DNS Windows produisent les journaux requis, que l’environnement d’exécution peut les joindre et que le compte de liaison du domaine peut les lire. Ce n’est ni la configuration DNS Zero Trust ni la liste exhaustive des requêtes DNS.

1.  Dans la gestion de domaine AD, ouvrez les événements de sécurité sous Audit Events, puis « Collection Config ». Dans les informations de base, sélectionnez le domaine source, puis l’audit DNS et activez « Enable DNS Audit log collection ».
2.  Saisissez les serveurs dans « DNS servers », séparés par des virgules comme indiqué. Dans « DNS event categories », sélectionnez au moins une catégorie, par exemple « Record changes », et les autres catégories nécessaires. Enregistrez, rouvrez la configuration et vérifiez domaine, commutateur, serveurs et catégories.
3.  Dans les actions des serveurs, sélectionnez « Test source » et vérifiez pour chacun l’accessibilité, le canal d’audit et le droit de lecture. Un test réussi ne prouve que ces conditions au moment du test, pas la production, la collecte ou la conservation complète des événements. Pour vérifier la collecte, lancez une collecte manuelle dans les informations de base, puis contrôlez l’état et le résultat de l’exécution.
4.  Dans un environnement de test autorisé, modifiez un enregistrement DNS contrôlé et notez l’heure et le serveur. Après production de l’événement et fin de la collecte, ouvrez « DNS Changes » sous Audit Events, filtrez par domaine, date, serveur, nom d’enregistrement et autres critères utiles, puis examinez les détails. Si aucun résultat n’apparaît, vérifiez la production de l’événement, les serveurs, catégories, tests de source, exécutions, conservation et filtres. Une liste vide ne prouve pas l’absence de modification.

Ne réinitialisez pas la position de collecte sans précaution : cela modifie le point de départ de la collecte ultérieure et peut affecter la couverture historique. Évaluez l’impact selon la procédure interne et vérifiez la confirmation. La collecte et la consultation ne modifient pas la configuration DNS ; appliquez la procédure DNS autorisée pour modifier un enregistrement.

## Configurer et examiner les opérations des comptes privilégiés

Ce rapport rapproche les événements d’administration collectés du périmètre des membres privilégiés à la date de l’événement. Il ne constitue ni un interrupteur de collecte distinct ni un historique exhaustif des activités privilégiées. Configurez d’abord la collecte des événements de sécurité du domaine comme indiqué ci-dessus et sélectionnez les périmètres correspondant aux opérations recherchées. DNS Audit est une source distincte : ne supposez pas que ses enregistrements figurent dans ce rapport. Configurez et consultez séparément les changements DNS comme indiqué ci-dessus. Vérifiez la synchronisation des utilisateurs et groupes, ainsi que les droits de lecture, de configuration du périmètre et d’opération nécessaires.

1.  Dans AD Domain Management > Audit Events, ouvrez Privileged Account Operations, sélectionnez le domaine puis Privileged Account Scope. Vérifiez les principaux privilégiés intégrés et leur état de résolution ; ils ne peuvent pas être retirés.
2.  Pour étendre le périmètre, choisissez Add Custom Privileged Principal, recherchez des groupes de sécurité ou utilisateurs synchronisés par nom ou compte, sélectionnez-les et confirmez. Vérifiez le périmètre, choisissez Validate, puis Save après réussite. La validation n’enregistre pas ; toute modification nécessite une nouvelle validation.
3.  Revenez au périmètre et vérifiez l’état de l’instantané des membres. Pour actualiser les membres du périmètre enregistré, un administrateur autorisé peut choisir Refresh Member Snapshot. L’action utilise le périmètre enregistré et ne remplace pas l’enregistrement des modifications en attente. En cas d’échec, vérifiez la connexion au domaine, la synchronisation, les droits du compte de connexion et le message affiché.
4.  Dans un environnement de test autorisé, faites exécuter une opération d’administration approuvée par un compte du périmètre et attendez la génération et la collecte. Dans le rapport, filtrez par domaine, date, compte, catégorie ou source privilégiée et ouvrez les détails. Le rapprochement utilise les périodes de validité enregistrées à la date de l’événement ; les membres actuels ne suffisent pas à expliquer l’historique. La reconstitution avant publication du périmètre ou sans instantané n’est pas garantie.
5.  Si un résultat manque, vérifiez séparément la génération de l’événement de sécurité sur le contrôleur de domaine, le périmètre et l’exécution de la collecte, l’appartenance valide du compte acteur, l’instantané, la date et les filtres. Un résultat vide ne prouve ni l’absence d’opération ni la couverture de tous les contrôleurs et périodes passées.

## Examiner les changements de stratégie de domaine

Cette vue examine les changements de stratégie au niveau du domaine collectés, notamment les paramètres de mot de passe et de verrouillage ; le numéro d’événement est `4739`. Elle est distincte de la vue des changements GPO et ne prouve pas l’application sur tous les postes.

1.  Configurez la collecte des événements de sécurité comme ci-dessus et sélectionnez Domain policy change audit. Vérifiez la production de l’événement, les droits de lecture et le résultat de collecte après enregistrement.
2.  Dans les événements d’audit de gestion du domaine AD, ouvrez Policy Change Audit. Choisissez le domaine et les dates, saisissez au besoin le compte, le contrôleur ou les autres critères disponibles, puis lancez la recherche.
3.  Dans les détails, comparez l’heure, le domaine cible, le compte et les valeurs disponibles aux changements approuvés et aux paramètres réels du domaine. Seules les valeurs présentes dans l’événement sont affichées ; ne supposez pas disposer de toutes les valeurs avant et après.
4.  Si un événement manque, vérifiez le journal du contrôleur, le périmètre et l’exécution de collecte, les droits, dates et filtres. Une liste vide ne prouve pas l’absence de changement. Faites approuver les essais par l’administrateur du domaine et ne modifiez pas une stratégie de production uniquement pour créer un enregistrement.

## Examiner les restaurations d’objets AD

Cette vue examine les événements collectés de restauration d’objets d’annuaire, numéro `5138`. Elle consulte les enregistrements sans restaurer d’objet ; un événement ne prouve pas que les appartenances, droits et fonctions métier sont tous rétablis.

1.  Configurez la collecte des événements de sécurité comme indiqué ci-dessus et sélectionnez AD object restore audit. Vérifiez la production de l’événement, les droits de lecture du compte de connexion et le résultat de collecte après enregistrement.
2.  Dans les événements d’audit de gestion du domaine AD, ouvrez Object Restores. Choisissez le domaine et les dates, saisissez au besoin l’objet cible, le compte opérateur, le contrôleur ou d’autres critères disponibles, puis lancez la recherche.
3.  Dans les détails, comparez type d’objet, compte opérateur, heure et emplacements d’annuaire disponibles avant et après restauration aux opérations approuvées et à l’état actuel. Vérifiez appartenances, droits et disponibilité applicative par les procédures autorisées.
4.  Si un événement manque, vérifiez sa production et sa conservation sur le contrôleur, le périmètre et l’exécution de collecte, les droits, dates et filtres. Une liste vide ne prouve pas l’absence de restauration. Ne supprimez ni ne restaurez d’objet de production uniquement pour tester.

## Examiner les effacements du journal de sécurité

Cette vue examine les événements collectés d’effacement du journal de sécurité des contrôleurs de domaine ; elle est distincte du nettoyage de données de la plateforme. Le numéro d’événement est `1102`. Un enregistrement ne prouve pas la collecte de tous les événements antérieurs et ne restaure pas le journal effacé.

1.  Configurez la collecte des événements de sécurité du domaine comme indiqué ci-dessus et sélectionnez Security Log Clearing. Vérifiez que le contrôleur produit l’événement et que le compte de connexion peut le lire, puis contrôlez le résultat de collecte après enregistrement.
2.  Dans les événements d’audit de gestion du domaine AD, ouvrez Security Log Clearing. Choisissez le domaine et les dates ; saisissez au besoin le compte de l’événement ou le contrôleur et appuyez sur Entrée ou quittez le champ. Dans les détails, vérifiez l’heure, le contrôleur et les informations de compte disponibles.
3.  Examinez les résultats et protégez les autres preuves selon la procédure de sécurité. Si la liste est vide, vérifiez le journal du contrôleur, le périmètre et l’exécution de la collecte, les droits et la période. N’effacez pas de journaux de production pour tester et ne considérez pas une liste vide comme une preuve d’absence d’effacement.

## Examiner les changements de permissions de l’annuaire

Cette vue examine les changements de permissions des objets d’annuaire collectés, événement `5136`. Elle ne couvre pas toutes les modifications de droits des fichiers, applications ou autres ressources et ne calcule pas directement les droits effectifs finaux d’un utilisateur sur un objet.

1.  Configurez la collecte des événements de sécurité comme ci-dessus et sélectionnez Directory permission change audit. Vérifiez la production des événements, les droits de lecture et le résultat de collecte après enregistrement.
2.  Dans les événements d’audit de gestion du domaine AD, ouvrez Permission Changes. Choisissez le domaine et les dates, saisissez au besoin l’objet cible, le compte opérateur, le contrôleur ou d’autres critères disponibles, puis lancez la recherche.
3.  Dans les détails, comparez l’heure, l’objet, le compte, l’état de corrélation et les entrées de contrôle d’accès ajoutées ou supprimées disponibles aux changements approuvés et aux droits réels de l’annuaire.
4.  Si la corrélation ou l’une des données avant/après manque, ou si le contenu est illisible, la différence affichée peut être incomplète ; une différence vide ne prouve pas l’absence de modification. Si aucun enregistrement n’apparaît, vérifiez le journal du contrôleur, le périmètre et l’exécution de collecte, les droits et les filtres. Faites approuver les essais par l’administrateur du domaine ; ne modifiez pas des droits de production uniquement pour créer une trace.

## Examiner les changements de configuration AD

Cette vue examine les événements collectés relatifs à la configuration, au schéma, aux sites et aux rôles FSMO. Elle est distincte des vues des stratégies de domaine, GPO et opérations de plateforme. Les enregistrements ne prouvent ni un historique complet ni la synchronisation de tous les contrôleurs.

1.  Configurez la collecte des événements de sécurité comme ci-dessus et sélectionnez AD configuration change audit. Vérifiez la production des événements, les droits de lecture et le résultat de collecte après enregistrement.
2.  Dans les événements d’audit de gestion du domaine AD, ouvrez Configuration Change Audit. Choisissez le domaine et les dates, puis recherchez au besoin par zone, type de changement, objet, compte opérateur ou autre critère disponible.
3.  Dans les détails, comparez les zones, types, objets, attributs, emplacements et états de corrélation disponibles aux changements approuvés et à l’état actuel de l’annuaire. Des champs ou la corrélation peuvent manquer ; un champ vide ne prouve pas l’absence de changement.
4.  Si des enregistrements manquent, vérifiez le journal du contrôleur, le périmètre et l’exécution de collecte, les droits, dates et filtres. Faites approuver les essais par l’administrateur du domaine ; ne modifiez pas la configuration de production uniquement pour créer des traces.

## Résultats absents

-   Vérifiez le domaine source, les dates, les filtres et la page, puis l’activation de collecte du domaine cible, les périmètres choisis, l’état d’exécution et les erreurs.
-   Sur le contrôleur, vérifiez que l’événement attendu a été produit et est encore présent dans le journal. Vérifiez les droits du compte de connexion, l’accessibilité et l’environnement d’exécution. Une absence de génération, un journal effacé ou écrasé, des droits insuffisants, un échec ou un retard de collecte peuvent expliquer des lacunes ou délais.
-   Les enregistrements de collecte, événements d’effacement et statistiques ne prouvent pas individuellement l’exhaustivité de l’historique. Ne réduisez pas sans autorisation les exigences d’audit du contrôleur lors du dépannage ou d’un changement de périmètre, et ne considérez pas la suppression d’enregistrements comme une restauration de données historiques.