Folgen Administratoren können jedes Ereignisprotokoll lesen und exportieren, aber nur von einer erhöhten Eingabeaufforderung aus. Für alle anderen gewährt die integrierte Gruppe der Event Log Readers Lesezugriff auf die meisten Protokolle, lokal und remote, ohne Administratorrechte. Fügen Sie das Konto mit net localgroup „Event Log Readers“ <user> /add hinzu und melden Sie sich dann ab und wieder an. Eine Handvoll Kanäle legt eigene Berechtigungen fest; wevtutil gl <log> zeigt genau, wer ein bestimmtes Protokoll lesen kann.
Analysten, Protokollsammler und IR-Partner benötigen alle Ereignisprotokolle, und keiner von ihnen sollte lokale Administratorenrechte dafür benötigen. Dieser Leitfaden behandelt das Setup mit den geringsten Privilegien und die Gründe, warum „Zugriff verweigert“ angezeigt wird, selbst wenn Sie denken, dass Sie Rechte haben.
Wer kann was tun
| Aktion | Wer, standardmäßig |
|---|---|
| Die meisten Protokolle lesen und exportieren | Administratoren (erhöht) und Event Log Readers |
| Das Sicherheitsprotokoll lesen | Administratoren (erhöht); Event Log Readers |
| Das Sicherheitsprotokoll löschen oder Auditing ändern | Konten mit „Auditing und Sicherheitsprotokoll verwalten“ (Administratoren) |
| Die Größe eines Protokolls oder die Aufbewahrung ändern | Administratoren |
| Protokolle von einem anderen Rechner lesen | Gleiche Rechte wie lokal, plus die Firewall für den Remote-Ereignisprotokollzugriff offen |
Warum Administratoren immer noch „Zugriff verweigert“ erhalten
Benutzerkontensteuerung. Eine nicht erhöhte Sitzung läuft mit einem gefilterten Token, ohne die Administratorengruppe. Der Event Viewer und wevtutil verhalten sich dann, als wären Sie ein normaler Benutzer. Rechtsklicken, Als Administrator ausführen, und erneut versuchen. Das ist bei weitem die häufigste Ursache.
Ein Konto zu Event Log Readers hinzufügen
Auf einem Rechner:
net localgroup "Event Log Readers" analyst /add
oder in PowerShell:
Add-LocalGroupMember -Group "Event Log Readers" -Member "CORPanalyst"
Abmelden und wieder anmelden; Die Gruppenmitgliedschaft wird beim Anmelden gelesen.
In einer Domäne verwenden Sie Gruppenrichtlinie (Eingeschränkte Gruppen oder Gruppenrichtlinienvoreinstellungen → Lokale Benutzer und Gruppen), um eine Domänengruppe in Event Log Readers auf jedem Rechner zu platzieren. Auf Domänencontrollern ist Event Log Readers eine domänenweite integrierte Gruppe, sodass eine Änderung alle DCs abdeckt.
Berechtigungen eines spezifischen Protokolls überprüfen
wevtutil gl Security
Schauen Sie sich channelAccess an. Es ist eine SDDL-Zeichenfolge, und der wichtige Teil sieht aus wie (A;;0x1;;;S-1-5-32-573): A bedeutet erlauben, 0x1 bedeutet lesen und S-1-5-32-573 sind die Event Log Readers. Wenn die SDDL eines Kanals diese SID nicht enthält, können Event Log Readers sie nicht lesen. Sie können den Zugriff eines Kanals mit wevtutil sl <log> /ca:<SDDL> ändern, aber es ist leicht, es falsch zu machen. Bevorzugen Sie die Gruppenmitgliedschaft, wo immer Sie können.
Remotezugriff
- Firewall. Der Event Viewer’s „Mit einem anderen Computer verbinden“, wevtutil /r: und Get-WinEvent -ComputerName verwenden RPC. Aktivieren Sie die Regelgruppe auf dem Ziel: Enable-NetFirewallRule -DisplayGroup „Remote Event Log Management“.
- PowerShell-Remoting (Invoke-Command) verwendet stattdessen WinRM. Das ist oft schon offen, wo RPC das nicht ist.
- Windows-Ereignisweiterleitung. Um das Sicherheitsprotokoll weiterzuleiten, fügen Sie NETWORK SERVICE zu Event Log Readers auf den Quellcomputern hinzu. Ohne das kann ein Abonnement gesund erscheinen und keine Sicherheitsereignisse liefern.
Eine Anmerkung zum Hochladen von EVTX
Rechte zum Exportieren eines Protokolls zu haben, macht noch nicht jedes Ziel angemessen. LogTotal bereinigt EVTX-Dateien noch nicht. Behandeln Sie einen EVTX-Upload als Übergabe der Rohdatei, oder konvertieren Sie sie zuerst in JSON.
Wenn es schiefgeht
| Symptom | Wahrscheinliche Ursache | Fix |
|---|---|---|
| Zugriff wird als Admin verweigert | Sitzung ist nicht erhöht | Als Administrator ausführen |
| Zugriff wird in Event Log Readers verweigert | Mitgliedschaft noch nicht aktiv oder der Kanal hat benutzerdefinierte Berechtigungen | Abmelden und anmelden; wevtutil gl überprüfen |
| Der RPC-Server ist nicht verfügbar | Remote-Ereignisprotokoll-Firewallregeln sind ausgeschaltet | Aktivieren Sie „Remote Event Log Management“ auf dem Ziel |
| WEF liefert alles außer Sicherheit | NETWORK SERVICE ist nicht in Event Log Readers | Fügen Sie es an den Quellen hinzu |
| Kann das Protokoll lesen, aber der Export schlägt fehl | Kein Schreibzugriff auf den Zielordner | Exportieren Sie an einen Ort, an dem Sie schreiben können, z.B. C:Users<you> |
