Suivre Les administrateurs peuvent lire et exporter chaque journal d’événements, mais uniquement à partir d’une invite élevée. Pour tout le monde, le groupe intégré Lecteurs du journal des événements accorde l’accès en lecture à la plupart des journaux, localement et à distance, sans droits d’administrateur. Ajoutez le compte avec net localgroup « Event Log Readers » <user> /add, puis déconnectez-vous et reconnectez-vous. Une poignée de canaux définissent leurs propres autorisations ; wevtutil gl <log> montre exactement qui peut lire un journal donné.
Les analystes, les collecteurs de journaux et les partenaires de réponse aux incidents ont tous besoin des journaux d’événements, et aucun d’eux ne devrait avoir besoin d’être administrateurs locaux pour cela. Ce guide couvre la configuration du principe du moindre privilège et les raisons pour lesquelles « Accès refusé » apparaît même lorsque vous pensez avoir les droits.
Qui peut faire quoi
| Action | Qui, par défaut |
|---|---|
| Lire et exporter la plupart des journaux | Administrateurs (élevés) et Lecteurs du journal des événements |
| Lire le journal de sécurité | Administrateurs (élevés) ; Lecteurs du journal des événements |
| Effacer le journal de sécurité ou changer l’audit | Comptes avec « Gérer l’audit et le journal de sécurité » (Administrateurs) |
| Changer la taille ou la rétention d’un journal | Administrateurs |
| Lire les journaux d’une autre machine | Les mêmes droits que localement, plus le pare-feu ouvert pour l’accès aux journaux d’événements à distance |
Pourquoi les admins reçoivent encore « Accès refusé »
Contrôle de compte utilisateur. Une session non élevée s’exécute avec un jeton filtré, sans le groupe Administrateurs. L’Observateur d’événements et wevtutil agissent alors comme si vous étiez un utilisateur normal. Cliquez-droit, Exécuter en tant qu’administrateur, et essayez à nouveau. C’est de loin la cause la plus courante.
Ajouter un compte aux Lecteurs du journal des événements
Sur une machine :
net localgroup "Event Log Readers" analyst /add
ou dans PowerShell :
Add-LocalGroupMember -Group "Event Log Readers" -Member "CORPanalyst"
Déconnectez-vous et reconnectez-vous ; l’appartenance au groupe est lue lors de la connexion.
Sur un domaine, utilisez la stratégie de groupe (groupes restreints ou préférences de stratégie de groupe → utilisateurs et groupes locaux) pour placer un groupe de domaine dans Lecteurs du journal des événements sur chaque machine. Sur les contrôleurs de domaine, Lecteurs du journal des événements est un groupe intégré à l’échelle du domaine, donc une modification couvre tous les DC.
Vérifiez les permissions d’un journal spécifique
wevtutil gl Security
Regardez channelAccess. C’est une chaîne SDDL, et la partie qui importe ressemble à (A;;0x1;;;S-1-5-32-573): A signifie autoriser, 0x1 signifie lire, et S-1-5-32-573 est Lecteurs du journal des événements. Si le SDDL d’un canal n’inclut pas cet SID, Lecteurs du journal des événements ne peut pas le lire. Vous pouvez changer l’accès d’un canal avec wevtutil sl <log> /ca:<SDDL>, mais il est facile de se tromper. Préférez l’appartenance à un groupe lorsque vous le pouvez.
Accès à distance
- Pare-feu. L’Observateur d’événements « Se connecter à un autre ordinateur », wevtutil /r: et Get-WinEvent -ComputerName utilisent RPC. Activez le groupe de règles sur la cible : Enable-NetFirewallRule -DisplayGroup « Remote Event Log Management ».
- PowerShell remoting (Invoke-Command) utilise WinRM à la place. Cela est souvent déjà ouvert là où RPC ne l’est pas.
- Transfert d’événements Windows. Pour transférer le journal de sécurité, ajoutez SERVICE RÉSEAU à Lecteurs du journal des événements sur les machines sources. Sans cela, un abonnement peut sembler sain et ne livrer aucun événement de sécurité.
Une note sur le téléchargement EVTX
Avoir les droits pour exporter un journal ne rend pas toutes les destinations acceptables. LogTotal ne nettoie pas encore les fichiers EVTX. Considérez un téléchargement EVTX comme la remise du fichier brut, ou convertissez-le d’abord en JSON.
Quand ça tourne mal
| Symptôme | Cause probable | Fix |
|---|---|---|
| Accès refusé en tant qu’administrateur | Session non élevée | Exécuter en tant qu’administrateur |
| Accès refusé dans Lecteurs du journal des événements | Appartenance non encore active, ou le canal a des autorisations personnalisées | Déconnectez-vous et reconnectez-vous ; vérifiez wevtutil gl |
| Le serveur RPC est indisponible | Les règles du pare-feu journal d’événements à distance sont désactivées | Activez « Gestion des journaux d’événements à distance » sur la cible |
| WEF diffuse tout sauf Sécurité | SERVICE RÉSEAU n’est pas dans Lecteurs du journal des événements | Ajoutez-le sur les sources |
| Peut lire le journal, mais l’exportation échoue | Pas d’accès en écriture au dossier cible | Exportez vers un endroit où vous pouvez écrire, par exemple C:Users<you> |
