Seguir Los administradores pueden leer y exportar cada registro de eventos, pero solo desde un símbolo elevado. Para todos los demás, el grupo incorporado Lectores de registros de eventos otorga acceso de lectura a la mayoría de los registros, local y remotamente, sin derechos de administrador. Agregue la cuenta con net localgroup «Event Log Readers» <usuario> /add, luego cierre sesión y vuelva a iniciar sesión. Un puñado de canales establece sus propios permisos; wevtutil gl <registro> muestra exactamente quién puede leer un registro determinado.
Analistas, recolectores de registros y socios de IR todos necesitan registros de eventos, y ninguno de ellos debería necesitar ser admin local para ello. Esta guía cubre la configuración de menor privilegio y las razones por las que aparece «Acceso denegado» incluso cuando piensas que tienes derechos.
Quién puede hacer qué
| Acción | Quién, por defecto |
|---|---|
| Leer y exportar la mayoría de los registros | Administradores (elevados) y Lectores de registros de eventos |
| Leer el registro de seguridad | Administradores (elevados); Lectores de registros de eventos |
| Borrar el registro de seguridad o cambiar la auditoría | Cuentas con “Gestionar auditoría y registro de seguridad” (Administradores) |
| Cambiar el tamaño o retención de un registro | Administradores |
| Leer registros desde otra máquina | Mismos derechos que localmente, además del firewall abierto para acceso remoto al registro de eventos |
Por qué los administradores todavía obtienen «Acceso denegado»
Control de cuentas de usuario. Una sesión no elevada se ejecuta con un token filtrado, sin el grupo de Administradores. El visor de eventos y wevtutil entonces se comportan como si fueras un usuario normal. Haz clic derecho, Ejecutar como administrador, e inténtalo de nuevo. Es, de lejos, la causa más común.
Agregar una cuenta a Lectores de registros de eventos
En una máquina:
net localgroup "Event Log Readers" analista /add
o en PowerShell:
Add-LocalGroupMember -Group "Event Log Readers" -Member "CORPanalista"
Cierra sesión y vuelve a iniciar sesión; la membresía del grupo se lee al iniciar sesión.
En todo un dominio, use la Política de Grupo (Grupos Restringidos, o Preferencias de la Política de Grupo → Usuarios y Grupos Locales) para incluir un grupo de dominio en Lectores de registros de eventos en cada máquina. En los controladores de dominio, Lectores de registros de eventos es un grupo incorporado a nivel de dominio, por lo que un cambio cubre todos los DC.
Comprobar los permisos de un registro específico
wevtutil gl Security
Mira channelAccess. Es una cadena SDDL, y la parte que importa se ve como (A;;0x1;;;S-1-5-32-573): A significa permitir, 0x1 significa leer, y S-1-5-32-573 son Lectores de registros de eventos. Si un SDDL de un canal no incluye ese SID, los Lectores de registros de eventos no pueden leerlo. Puedes cambiar el acceso de un canal con wevtutil sl <registro> /ca:<SDDL>, pero es fácil equivocarse. Prefiera la membresía de grupo cuando sea posible.
Acceso remoto
- Cortafuegos. «Conectar a otro ordenador» del visor de eventos, wevtutil /r: y Get-WinEvent -ComputerName usan RPC. Habilite el grupo de reglas en el destino: Enable-NetFirewallRule -DisplayGroup «Remote Event Log Management».
- Remoto con PowerShell (Invoke-Command) utiliza WinRM en su lugar. Eso a menudo ya está abierto donde RPC no lo está.
- Reenvío de eventos de Windows. Para reenviar el registro de seguridad, agregue SERVICIO DE RED a Lectores de registros de eventos en las máquinas de origen. Sin él, una suscripción puede parecer saludable y no entregar eventos de seguridad.
Una nota sobre cargar EVTX
Tener derechos para exportar un registro no hace que cada destino esté bien. LogTotal aún no sanitiza archivos EVTX. Trate una carga de EVTX como entregar el archivo sin procesar, o conviértalo a JSON primero.
Cuando algo sale mal
| Síntoma | Causa probable | Fix |
|---|---|---|
| Acceso denegado como admin | La sesión no está elevada | Ejecutar como administrador |
| Acceso denegado en Lectores de registros de eventos | La membresía aún no está activa, o el canal tiene permisos personalizados | Cierre sesión y vuelva a iniciar; verifique wevtutil gl |
| El servidor RPC no está disponible | Las reglas del firewall de registro de eventos remoto están desactivadas | Habilite «Gestión remota de registros de eventos» en el destino |
| WEF entrega todo excepto Seguridad | SERVICIO DE RED no está en Lectores de registros de eventos | Agrégalo en las fuentes |
| Puede leer el registro, pero la exportación falla | Sin acceso de escritura a la carpeta de destino | Exporte a algún lugar donde pueda escribir, por ejemplo, C:Users<tú> |
