Уведомление в telegram при блокировке пользователя AD или локального пользователя

Данная статья описывает как реализовать уведомление в телеграм при блокировке пользователя. Я постараюсь полностью описать процесс реализации уведомления о блокировке, уточнения и поправки категорически приветствуются.

Перед тем как начать писать скрипт формирования и отправки уведомления вам необходимо убедиться в 2-х вещах:

1. На целевом сервере/компьютере настроена политика аудита блокировки учетных записей, неудачного входа в учетную запись (События 4740,4771,4625 в журнале Security ) и желательно аудит NTLM трафика(Событие 8004 в журнале Microsoft-Windows-NTLM/Operational)

2. В создали бота в ТГ при помощи https://telegram.me/BotFather, получили его токен, добавили в необходимый чат, и при помощи например https://www.t.me/username_to_id_bot узнали ID чата

Для решения 1-й задачи необходимо отредактировать политики целевого компьютера/групп компьютеров(Например контроллеров домена) следующим образом:

Для событий 4740,4771,4625: Перейти в редакторе групповой политики в раздел

Конфигурация компьютераПолитикиКонфигурация WindowsПараметры безопасностиКонфигурация расширенного аудита

или

Computer ConfigurationPoliciesWindows settingssecurity settingsAdvanced Audit Policy Configuration

4625: В подразделе Вход/выход или Logon/Logoff

4771: В подразделе Вход учетной записи или Account Logon

4740: В подразделе Управление учетными записями или Account Management

Для событий 8004: Перейти в редакторе групповой политики в раздел

Конфигурация компьютераПолитикиКонфигурация WindowsПараметры безопасностиЛокальные политикиПараметры безопасности или Computer ConfigurationPoliciesWindows settingssecurity settingsLocal Policies Security Options

О решении 2-й задачи в интернете и так достаточно статей(Например Эта), потому процесс описывать не стану.

Итак, подготовительный процесс пройден, следущий этап - создать скрипт, который ищет лог с идентификатором 4740(Блокировка учетной записи) забирает из него необходимые данные, далее с этими данными ищет подходящие логи с событиями 4625 или 4771(События входа) и 8004(NTLM Аутентификация).

Напишем такой скрипт, назовем его, например send_tg_event_userblock.ps1

[Net.ServicePointManager]::SecurityProtocol = [Net.SecurityProtocolType]::Tls12

$tg_token="Ваш Токен TG"
$tg_chat_id="Ваш ID Чата"

$event= Get-WinEvent -MaxEvents 1 -FilterHashtable @{
    LogName = 'Security'
    ID = 4740
}



if($event.Id -eq 4740){
    $event_host=$event.MachineName
    $banned_login=([xml]$event.ToXml()).Event.EventData.Data | ? {$_.Name -eq “TargetUserName”} | %{$_."#text"}
    $from_machine=([xml]$event.ToXml()).Event.EventData.Data | ? {$_.Name -eq “TargetDomainName”} | %{$_."#text"}
    $event_time=$event.TimeCreated
    $sid = ([xml]$event.ToXml()).Event.EventData.Data | ? {$_.Name -eq “TargetSid”} | %{$_."#text"}
    $objSID = New-Object -TypeName System.Security.Principal.SecurityIdentifier -ArgumentList $sid
    $banned_fullusername = $objSID.Translate([System.Security.Principal.NTAccount]).Value

    $Message = "⚠ Пользователь Windows заблокирован!`n
Код события: 4740`n
Имя пользователя: $banned_fullusername `n
Имя вызывающего компьютера: $from_machine `n
Имя компьютера на котором прочитано событие: $event_host"

    $event2=Get-WinEvent -MaxEvents 1 -FilterHashtable @{
        LogName = 'Security'
        StartTime=$event_time.AddMinutes(-1)
        data = $banned_login
        ID = 4625,4771
    }
    if($event2.Id -eq 4625 -or $event2.Id -eq 4771){
        $event2_id=$event2.Id
        $ip_adress=([xml]$event2.ToXml()).Event.EventData.Data | ? {$_.Name -eq “IpAddress”} | %{$_."#text"}
        if($event2_id -eq 4625){$Process=([xml]$event2.ToXml()).Event.EventData.Data | ? {$_.Name -eq “ProcessName”} | %{$_."#text"}}
        if($event2_id -eq 4771){$Process=([xml]$event2.ToXml()).Event.EventData.Data | ? {$_.Name -eq “ServiceName”} | %{$_."#text"}}
        $Message="$Message `n`n
Код события: $event2_id`n
IP адрес вызывающего: $ip_adress`n
Имя вызывающего процесса: $Process"
    }
        
        
    $event3= Get-WinEvent -MaxEvents 1 -FilterHashtable @{
        LogName = 'Microsoft-Windows-NTLM/Operational'
        data = $banned_login
        StartTime=$event_time.AddMinutes(-1)
        ID = 8004
    }


    if($event3.Id -eq 8004){
            
        $schanel_name=([xml]$event3.ToXml()).Event.EventData.Data | ? {$_.Name -eq “SChannelName”} | %{$_."#text"}
        $workstation_name=([xml]$event3.ToXml()).Event.EventData.Data | ? {$_.Name -eq “WorkstationName”} | %{$_."#text"}
        $Message="$Message `n`n
Код события: 8004`n
Имя компьютера в который пытаются авторизироваться: $schanel_name`n
Имя вызывающего компьютера: $workstation_name"
    }
    $Message="$Message `n`n`n$event_time"
    #echo $Message
    $Response = Invoke-RestMethod -Uri "https://api.telegram.org/bot$($tg_token)/sendMessage?chat_id=$($tg_chat_id)&text=$($Message)"
    exit 0
}else{exit 1}

Далее нам нужно поместить данный скрипт в удобное для исполнения место.
Можно руками закинуть его на машины по нестандартному пути, или распространить файл при помощи групповой политики в разделе
Конфигурация компьютераНастройкаКонфигурация WindowsФайлы
или
Computer ConfigurationPreferencesWindows SettingsFiles

Или расположить файл в какой нибудь сетевой папке, правда в таком случае нужно хорошенько подумать о правах доступа, ведь в случае подмены скрипта может произойти что угодно. Потому в случае с контроллерами домена рационально закинуть файл руками.

Последним шагом будет создание задачи в планировщике заданий
Опять же создать задачу можно как руками, так и распространить при помощи групповой политики в разделе
Конфигурация компьютераНастройкаПараметры панели управленияНазначенные задания
или
Computer ConfigurationPreferencesControl panel settingsScheduled tasks

Я расскажу как распространить задачу при помощи групповой политики, вручную настройки такие же

Переходим в редактор групповых политик в раздел указанный выше и нажминаем создать>запланированное задание или create>scheduled task

<QueryList><Query Id="0" Path="Security"><Select Path="Security">*[System[ EventID=4740]]</Select></Query></QueryList>

Все готово для тестрирования, можете проверить отправку при помощи WinRM,RDP,RPC,runas и т.д.