Segui Gli amministratori possono leggere ed esportare tutti i log degli eventi, ma solo da un prompt elevato. Per tutti gli altri, il gruppo predefinito Lettori dei log eventi concede l’accesso in lettura alla maggior parte dei log, localmente e da remoto, senza diritti amministrativi. Aggiungi l’account con net localgroup “Event Log Readers” <utente> /add, quindi esci e accedi nuovamente. Alcuni canali impostano i propri permessi; wevtutil gl <log> mostra esattamente chi può leggere un determinato log.
Analisti, raccoglitori di log e partner IR hanno tutti bisogno dei log degli eventi e nessuno di loro dovrebbe essere amministratore locale per farlo. Questa guida copre la configurazione con il minimo di privilegi e le ragioni per cui “Accesso negato” appare anche quando pensi di avere i diritti.
Chi può fare cosa
| Azione | Chi, di default |
|---|---|
| Leggere ed esportare la maggior parte dei log | Amministratori (elevati) e Lettori dei log eventi |
| Leggere il log di Sicurezza | Amministratori (elevati); Lettori dei log eventi |
| Cancellare il log di Sicurezza o cambiare l’auditing | Account con “Gestire l’auditing e il log di sicurezza” (Amministratori) |
| Cambiare la dimensione o la conservazione di un log | Amministratori |
| Leggere i log da un’altra macchina | Stessi diritti che localmente, oltre al firewall aperto per l’accesso remoto ai log eventi |
Perché gli admin continuano a ricevere “Accesso negato”
Controllo dell’account utente. Una sessione non elevata funziona con un token filtrato, senza il gruppo Amministratori. Visualizzatore eventi e wevtutil si comportano quindi come se fossi un utente normale. Fai clic con il tasto destro, Esegui come amministratore, e riprova. È di gran lunga la causa più comune.
Aggiungi un account ai Lettori dei log eventi
Su una macchina:
net localgroup "Event Log Readers" analista /add
o in PowerShell:
Add-LocalGroupMember -Group "Event Log Readers" -Member "CORPanalyst"
Esci e accedi nuovamente; l’appartenenza al gruppo viene letta al login.
Su un dominio, usa i Criteri di gruppo (Gruppi con restrizioni o Preferenze di Criteri di gruppo → Utenti e Gruppi locali) per mettere un gruppo di dominio nei Lettori dei log eventi su ogni macchina. Sui controller di dominio, Lettori dei log eventi è un gruppo integrato a livello di dominio, quindi una modifica copre tutti i DC.
Verificare i permessi di un log specifico
wevtutil gl Sicurezza
Guarda a channelAccess. È una stringa SDDL, e la parte che conta sembra come (A;;0x1;;;S-1-5-32-573): A significa consenti, 0x1 significa lettura, e S-1-5-32-573 è Lettori dei log eventi. Se l’SDDL di un canale non include quel SID, Lettori dei log eventi non possono leggerlo. Puoi cambiare l’accesso di un canale con wevtutil sl <log> /ca:<SDDL>, ma è facile sbagliare. Preferisci l’appartenenza al gruppo dove puoi.
Accesso remoto
- Firewall. Il “Connetti a un altro computer” del Visualizzatore eventi, wevtutil /r: e Get-WinEvent -ComputerName utilizzano RPC. Abilita il gruppo di regole sulla destinazione: Enable-NetFirewallRule -DisplayGroup “Remote Event Log Management”.
- Remoting PowerShell (Invoke-Command) usa WinRM invece. Spesso è già aperto dove RPC non lo è.
- Windows Event Forwarding. Per inoltrare il log di Sicurezza, aggiungi NETWORK SERVICE ai Lettori dei log eventi sulle macchine sorgente. Senza di esso, un’abbonamento può sembrare attivo e non fornire eventi di Sicurezza.
Una nota sull’upload di EVTX
Avere i diritti per esportare un log non rende automaticamente accettabile ogni destinazione. LogTotal non sanifica ancora i file EVTX. Tratta un upload di EVTX come se stessi consegnando il file originale, o converti prima in JSON.
Quando qualcosa va storto
| Sintomo | Causa probabile | Fix |
|---|---|---|
| Accesso negato come admin | La sessione non è elevata | Esegui come amministratore |
| Accesso negato nei Lettori dei log eventi | Appartenenza non ancora attiva, o il canale ha permessi personalizzati | Esci e accedi; verifica con wevtutil gl |
| Il server RPC non è disponibile | Le regole del firewall dei log eventi remoti sono disattivate | Abilita “Gestione remota dei log eventi” sulla destinazione |
| WEF fornisce tutto tranne Sicurezza | NETWORK SERVICE non è nei Lettori dei log eventi | Aggiungilo alle sorgenti |
| Può leggere il log, ma l’esportazione fallisce | Nessun accesso in scrittura alla cartella di destinazione | Esporta da qualche parte dove puoi scrivere, es. C:Users<tu> |
