Détails de l'événement avec ID 4900 de la source Audit de sécurité de Microsoft Windows

Source de l'événement :	Audit de sécurité de Microsoft Windows
ID de l'événement :	4900 (0x1324)
Journal des événements :	Sécurité
Type d'événement :	Information
Texte de l'événement (en anglais) :	Certificate Services template security was updated. %1 v%2 (Schema V%3) %4 %5 Template Change Information: Old Template Content: %9 New Template Content: %7 Old Security Descriptor: %10 New Security Descriptor: %8 Additional Information: Domain Controller: %6
Texte de l'événement (en allemand) :	Die Sicherheit der Zertifikatdienstvorlage wurde aktualisiert. Die Zertifikatdienste haben eine Vorlage geladen. %1 v%2 (Schema V%3) %4 %5 Informationen zur Vorlagenänderung: Alter Vorlageninhalt: %9 Neuer Vorlageninhalt: %7 Alte Sicherheitsbeschreibung: %10 Neue Sicherheitsbeschreibung: %8 Zusätzliche Informationen: Domänencontroller: %6

Paramètres

Les paramètres contenus dans le texte d'événement sont remplis avec les champs suivants :

• %1 : TemplateInternalName (win:UnicodeString)
• %2 : TemplateVersion (win:UnicodeString)
• %3 : TemplateSchemaVersion (win:UnicodeString)
• %4 : TemplateOID (win:UnicodeString)
• %5 : TemplateDSObjectFQDN (win:UnicodeString)
• %6 : DCDNSName (win:UnicodeString)
• %7 : NewTemplateContent (win:UnicodeString)
• %8: NewSecurityDescriptor (win:UnicodeString)
• %9: OldTemplateContent (win:UnicodeString)
• %10: OldSecurityDescriptor (win:UnicodeString)

Contrairement aux événements d'exploitation, qui sont souvent compris sous le terme de „monitoring“, l'audit pour l'autorité de certification est la configuration de la journalisation des événements liés à la sécurité.

Description

Connaissez-vous TameMyCerts? TameMyCerts est un add-on pour l'autorité de certification Microsoft (Active Directory Certificate Services). Il étend la fonction de l'autorité de certification et permet de Application de la réglementationIl s'agit d'un logiciel de gestion des certificats qui permet d'automatiser l'émission de certificats en toute sécurité. TameMyCerts est unique dans l'écosystème Microsoft, a déjà fait ses preuves dans d'innombrables entreprises du monde entier et est disponible sous une licence libre. Il peut téléchargé via GitHub et être utilisé gratuitement. Une maintenance professionnelle est également proposée.

Pour que les autorités de certification enregistrent les modifications apportées aux paramètres de sécurité des modèles de certificats, la commande suivante doit être exécutée une seule fois sur chaque autorité de certification :

certutil -setreg policy\EditFlags +EDITF_AUDITCERTTEMPLATELOAD 

Nach der Inbetriebnahme einer Zertifikatvorlage sollte es nur selten notwendig sein, die Sicherheitseinstellungen zu verändern. Ein Angreifer könnte, die entsprechenden Rechte vorausgesetzt, eine Hintertür über Schreib- oder Beantragungsberechtigungen einrichten.

Évaluation de la sécurité

L'approche de la sécurité est axée sur les trois dimensions de la confidentialité (Confidentiality), de l'intégrité (Integrity) et de la disponibilité (Availability).

Dieses Ereignis sollte im laufenden Betrieb nur selten auftreten. Eine Änderung an den Berechtigungen der Zertifikatvorlagen sollte über eine Change erfolgen. Sofern die Schreibrechte auf Zertifikatvorlagen nicht sauber konfiguriert sind, könnte dies jedoch unberechtigen Benutzern die Möglichkeit einräumen, Zertifikate im Namen anderer Benutzer zu erhalten. Je nach Schweregrad kann eine Kompromittierung des Active Directory hierdurch möglich sein.

Évaluation par Microsoft

Microsoft évalue cet événement dans le Sécurisation de l'infrastructure à clés publiques (PKI) Livre blanc avec un niveau de gravité „Moyen.

Liens complémentaires :

• Aperçu des événements d'audit générés par l'organisme de certification
• Aperçu des événements d'audit générés par le répondeur en ligne (OCSP)

Sources externes

• Sécurisation de l'infrastructure à clés publiques (PKI) (Microsoft)
• Securing PKI : surveillance de l'infrastructure à clés publiques (Microsoft)