Seguir Os administradores podem ler e exportar todos os logs de eventos, mas apenas a partir de um prompt elevado. Para todos os outros, o grupo “Readers de Log de Eventos” embutido concede acesso de leitura à maioria dos logs, localmente e remotamente, sem direitos de administrador. Adicione a conta com net localgroup “Readers de Log de Eventos” <usuário> /add, depois faça logoff e logue novamente. Um punhado de canais define suas próprias permissões; wevtutil gl <log> mostra exatamente quem pode ler um determinado log. Readers de Log de Eventos O grupo concede acesso de leitura à maioria dos logs, localmente e remotamente, sem direitos de administrador. Adicione a conta com net localgroup “Readers de Log de Eventos” <usuário> /add, depois faça logoff e logue novamente. Um punhado de canais define suas próprias permissões; wevtutil gl <log> mostra exatamente quem pode ler um determinado log.
Analistas, coletores de logs e parceiros de resposta a incidentes todos precisam de logs de eventos, e nenhum deles deve precisar ser admin local para isso. Este guia cobre a configuração de menor privilégio e as razões pelas quais “Acesso negado” aparece mesmo quando você acha que tem direitos.
Quem pode fazer o quê
| Ação | Quem, por padrão |
|---|---|
| Ler e exportar a maioria dos logs | Administradores (elevados) e Readers de Log de Eventos |
| Ler o log de Segurança | Administradores (elevados); Readers de Log de Eventos |
| Limpar o log de Segurança ou alterar auditoria | Contas com “Gerenciar auditoria e log de segurança” (Administradores) |
| Alterar o tamanho ou retenção de um log | Administradores |
| Ler logs de outra máquina | Mesmos direitos que localmente, além de o firewall estar aberto para acesso remoto a logs de eventos |
Por que admins ainda recebem “Acesso negado”
Controle de Conta de Usuário. Uma sessão não elevada é executada com um token filtrado, sem o grupo de Administradores. O Visualizador de Eventos e wevtutil então se comportam como se você fosse um usuário normal. Clique com o botão direito, Executar como administrador, e tente novamente. É de longe a causa mais comum.
Adicionar uma conta a Readers de Log de Eventos
Em uma máquina:
net localgroup "Readers de Log de Eventos" analista /add
ou em PowerShell:
Add-LocalGroupMember -Group "Readers de Log de Eventos" -Member "CORPanalyst"
Faça logoff e logue novamente; a associação ao grupo é lida no logon.
Em todo um domínio, use a Política de Grupo (Grupos Restritos ou Preferências de Política de Grupo → Usuários e Grupos Locais) para colocar um grupo de domínio em Readers de Log de Eventos em cada máquina. Em controladores de domínio, Readers de Log de Eventos é um grupo embutido em todo o domínio, então uma mudança cobre todos os DCs.
Verificar permissões de um log específico
wevtutil gl Security
Veja o channelAccess. É uma string SDDL, e a parte que importa parece (A;;0x1;;;S-1-5-32-573): A significa permitir, 0x1 significa ler, e S-1-5-32-573 é Readers de Log de Eventos. Se o SDDL de um canal não incluir esse SID, Readers de Log de Eventos não pode lê-lo. Você pode mudar o acesso de um canal com wevtutil sl <log> /ca:<SDDL>, mas é fácil errar. Prefira a associação ao grupo onde puder.
Acesso remoto
- Firewall. “Conectar a Outro Computador” do Visualizador de Eventos, wevtutil /r: e Get-WinEvent -ComputerName usam RPC. Ative o grupo de regras no alvo: Enable-NetFirewallRule -DisplayGroup “Gerenciamento Remoto de Logs de Eventos”.
- Remoto em PowerShell (Invoke-Command) usa WinRM em vez disso. Isso frequentemente já está aberto onde RPC não está.
- Encaminhamento de Eventos do Windows. Para encaminhar o log de Segurança, adicione o serviço de REDE aos Readers de Log de Eventos nas máquinas de origem. Sem isso, uma assinatura pode parecer saudável e não entregar eventos de Segurança.
Uma nota sobre o upload de EVTX
Ter direitos para exportar um log não torna todo destino adequado. O LogTotal ainda não sanitiza arquivos EVTX. Trate o upload de um EVTX como entregar o arquivo bruto, ou converta-o para JSON primeiro.
Quando dá errado
| Sintoma | Provável causa | Fix |
|---|---|---|
| Acesso negado como admin | Sessão não está elevada | Executar como administrador |
| Acesso negado nos Readers de Log de Eventos | Membrado ainda não ativo, ou o canal tem permissões personalizadas | Saia e entre novamente; verifique wevtutil gl |
| O servidor RPC está indisponível | Regras de firewall de log de evento remoto estão desligadas | Habilite “Gerenciamento Remoto de Logs de Evento” no alvo |
| WEF entrega tudo exceto Segurança | SERVIÇO DE REDE não está em Readers de Log de Eventos | Adicione-o nas fontes |
| Pode ler o log, mas a exportação falha | Sem acesso de escrita à pasta de destino | Exporte para algum lugar onde você possa escrever, por exemplo, C:Users<you> |
