Śledź Administratorzy mogą odczytywać i eksportować każdy dziennik zdarzeń, ale tylko z podniesionego wiersza poleceń. Dla wszystkich innych, wbudowana grupa Czytelnicy dzienników zdarzeń umożliwia dostęp do odczytu większości dzienników, lokalnie i zdalnie, bez uprawnień administratora. Dodaj konto za pomocą net localgroup „Event Log Readers” <użytkownik> /add, a następnie wyloguj się i zaloguj ponownie. Kilka kanałów ustawia własne uprawnienia; wevtutil gl <log> pokazuje dokładnie, kto może odczytać dany dziennik.
Analitycy, kolekcjonerzy logów i partnerzy IR wszyscy potrzebują dzienników zdarzeń, a żaden z nich nie powinien być lokalnym administratorem, aby je uzyskać. Ten przewodnik obejmuje konfigurację z minimalnymi uprawnieniami oraz powody, dla których „Odmowa dostępu” pojawia się nawet wtedy, gdy myślisz, że masz uprawnienia.
Kto może robić co
| Działanie | Kto, domyślnie |
|---|---|
| Odczytuj i eksportuj większość dzienników | Administratorzy (podniesieni) i Czytelnicy dzienników zdarzeń |
| Odczytaj dziennik zabezpieczeń | Administratorzy (podniesieni); Czytelnicy dzienników zdarzeń |
| Wyczyść dziennik zabezpieczeń lub zmień audytowanie | Konta z uprawnieniem „Zarządzaj audytowaniem i logiem zabezpieczeń” (Administratorzy) |
| Zmień rozmiar lub retencję dziennika | Administratorzy |
| Odczytuj dzienniki z innej maszyny | Te same uprawnienia jak lokalnie, plus otwarty firewall dla zdalnego dostępu do dziennika zdarzeń |
Dlaczego administratorzy wciąż otrzymują „Odmowa dostępu”
Kontrola Konta Użytkownika. Sesja bez podniesienia uprawnień działa z przefiltrowanym tokenem, bez grupy Administratorów. Podgląd zdarzeń i wevtutil wtedy zachowują się, jakbyś był normalnym użytkownikiem. Kliknij prawym przyciskiem myszy, Uruchom jako administrator, i spróbuj ponownie. To zdecydowanie najczęstsza przyczyna.
Dodaj konto do Czytelników dzienników zdarzeń
Na jednej maszynie:
net localgroup "Event Log Readers" analyst /add
lub w PowerShell:
Add-LocalGroupMember -Group "Event Log Readers" -Member "CORPanalityk"
Wyloguj się i zaloguj ponownie; członkostwo w grupie jest odczytywane przy logowaniu.
W całej domenie, użyj Zasad Grupy (Ograniczone grupy, lub Preferencje Zasad Grupy → Użytkownicy i Grupy Lokalne), aby umieścić grupę domeny w Czytelnikach dzienników zdarzeń na każdej maszynie. Na kontrolerach domeny, Czytelnicy dzienników zdarzeń to wbudowana grupa na poziomie domeny, więc jedna zmiana obejmuje wszystkie kontrolery domeny.
Sprawdź uprawnienia konkretnego dziennika
wevtutil gl Security
Spójrz na channelAccess. Jest to ciąg SDDL, a część, która ma znaczenie, wygląda jak (A;;0x1;;;S-1-5-32-573): A oznacza pozwól, 0x1 oznacza czytaj, a S-1-5-32-573 to Czytelnicy dzienników zdarzeń. Jeżeli SDDL kanału nie zawiera tego SID, Czytelnicy dzienników zdarzeń nie mogą go odczytać. Możesz zmienić dostęp do kanału za pomocą wevtutil sl <log> /ca:<SDDL>, ale łatwo się pomylić. Preferuj członkostwo w grupie, gdzie jest to możliwe.
Dostęp zdalny
- Firewall. Podgląd zdarzeń „Połącz się z innym komputerem”, wevtutil /r: i Get-WinEvent -ComputerName używają RPC. Włącz grupę reguł na celu: Enable-NetFirewallRule -DisplayGroup „Zarządzanie zdalnym dziennikiem zdarzeń”.
- Zdalne wykonanie PowerShell (Invoke-Command) używa WinRM zamiast tego. Często jest już otwarte tam, gdzie RPC nie jest.
- Przesyłanie zdarzeń Windows. Aby przesłać dziennik zabezpieczeń, dodaj USŁUGĘ SIECIOWĄ do Czytelników dzienników zdarzeń na maszynach źródłowych. Bez tego, subskrypcja może wyglądać na zdrową i nie dostarczać żadnych zdarzeń zabezpieczeń.
Uwaga na temat przesyłania plików EVTX
Posiadanie uprawnień do eksportu dziennika nie czyni każdej destynacji odpowiednią. LogTotal jeszcze nie dezynfekuje plików EVTX. Traktuj przesyłanie EVTX jako przekazywanie surowego pliku albo najpierw przekształć go w JSON.
Gdy coś się nie udaje
| Objaw | Prawdopodobna przyczyna | Fix |
|---|---|---|
| Odmowa dostępu jako administrator | Sesja nie jest podniesiona | Uruchom jako administrator |
| Odmowa dostępu w Czytelnikach dzienników zdarzeń | Członkostwo jeszcze nie aktywne, lub kanał ma niestandardowe uprawnienia | Wyloguj się i zaloguj; sprawdź wevtutil gl |
| Serwer RPC jest niedostępny | Zasady firewalla zdalnego dziennika zdarzeń są wyłączone | Włącz „Zarządzanie zdalnym dziennikiem zdarzeń” na celu |
| WEF dostarcza wszystko oprócz Zabezpieczeń | USŁUGA SIECIOWA nie jest w Czytelnikach dzienników zdarzeń | Dodaj ją na źródłach |
| Można odczytać dziennik, ale eksport się nie udaje | Brak dostępu do zapisu do folderu docelowego | Eksportuj tam, gdzie możesz pisać, np. C:Users<ty> |
