フォローする 管理者は管理者権限のあるプロンプトからのみすべてのイベントログを読み取ったりエクスポートしたりできます。他のすべてのユーザーにとっては、組み込みの イベントログリーダー グループが管理者権限なしでほとんどのログへの読み取りアクセスをローカルおよびリモートで許可します。アカウントを net localgroup “Event Log Readers” <ユーザー> /add で追加し、一旦サインアウトして再度サインインします。一部のチャネルは独自の権限を設定しています；wevtutil gl <log> で誰が指定されたログを読み取ることができるかを正確に確認できます。
アナリスト、ログ収集者、IRパートナーはすべてイベントログを必要としますが、そのためにローカル管理者である必要はありません。このガイドでは、最小権限の設定と、権限を持っていると思っていても「アクセスが拒否されました」というメッセージが表示される理由を説明します。
誰が何をできるか
| アクション | デフォルトでは誰が可能か |
|---|---|
| ほとんどのログを読み取ってエクスポート | 管理者（昇格した）とイベントログリーダー |
| セキュリティログを読み取る | 管理者（昇格した）；イベントログリーダー |
| セキュリティログをクリアまたは監査を変更 | 「監査とセキュリティログの管理」を許可されているアカウント（管理者） |
| ログのサイズまたは保持を変更 | 管理者 |
| 別のマシンからログを読み取る | ローカルと同じ権限、およびリモートイベントログアクセスのためのファイアウォール開放 |
なぜ管理者でも「アクセスが拒否されました」が表示されるか
ユーザーアカウント制御。昇格されていないセッションはフィルタリングされたトークンで実行され、管理者グループなしで動作します。イベントビューアと wevtutil は通常のユーザーとして動作します。右クリックで 管理者として実行し、再試行します。これが最も一般的な原因です。
アカウントをイベントログリーダーに追加
1つのマシンで:
net localgroup "Event Log Readers" analyst /add
または PowerShell で:
Add-LocalGroupMember -Group "Event Log Readers" -Member "CORPanalyst"
サインアウトして再びサインインします；グループメンバーシップはログオン時に読み取られます。
ドメイン全体では、グループポリシー（制限付きグループ、またはグループポリシープレファレンス → ローカルユーザーおよびグループ）を使用して、イベントログリーダーズにドメイングループを追加します。ドメインコントローラーでは、イベントログリーダーズはドメイン全体に組み込まれたグループなので、1回の変更で全DCがカバーされます。
特定のログの権限を確認
wevtutil gl Security
channelAccess を確認します。それはSDDL文字列で、重要なのは (A;;0x1;;;S-1-5-32-573): のように見える部分です。 A 許可を意味し、 0x1 読み取りを意味し、 S-1-5-32-573 はイベントログリーダーです。チャネルのSDDLにそのSIDが含まれていない場合、イベントログリーダーはそれを読むことができません。チャネルのアクセスを wevtutil sl <ログ> /ca:<SDDL> で変更できますが、間違いがちです。可能な限りグループメンバーシップを推奨します。
リモートアクセス
- ファイアウォール。 イベントビューアの「別のコンピューターに接続」、wevtutil /r: および Get-WinEvent -ComputerName はRPCを使用します。ターゲットでルールグループを有効にします: Enable-NetFirewallRule -DisplayGroup “Remote Event Log Management”。
- PowerShell リモーティング （Invoke-Command）はWinRMを使用します。それは通常RPCが開いていないところでも開いています。
- Windowsイベント転送。 セキュリティログを転送するには、ソースマシンのイベントログリーダーにNETWORK SERVICEを追加します。それなしでは、サブスクリプションは正常に見えてもセキュリティイベントを配信しません。
EVTXのアップロードに関する注意
ログをエクスポートする権利があっても、あらゆる宛先が適切とは限りません。LogTotalはまだEVTXファイルのサニタイズを行いません。EVTXのアップロードは生ファイルの引き渡しと見なすか、先にJSONに変換してください。
問題が発生した場合
| 症状 | 考えられる原因 | Fix |
|---|---|---|
| 管理者として「アクセスが拒否されました」 | セッションが昇格していない | 管理者として実行 |
| イベントログリーダー内で「アクセスが拒否されました」 | メンバーシップがまだ有効でない、またはチャネルにカスタム権限がある | サインアウトして再サインイン；wevtutil gl をチェック |
| RPCサーバーが使用不能 | リモートイベントログファイアウォールルールがオフ | ターゲットで「リモートイベントログ管理」を有効にする |
| WEFがセキュリティ以外のすべてを配送 | NETWORK SERVICE がイベントログリーダーに含まれていない | ソースに追加 |
| ログは読み取れるが、エクスポートが失敗する | ターゲットフォルダへの書き込み権限がない | C:Users<you> など、書き込める場所にエクスポート |
