팔로우 관리자는 모든 이벤트 로그를 읽고 내보낼 수 있지만, 이는 상승된 프롬프트에서만 가능합니다. 다른 사용자에게는 내장된 이벤트 로그 읽기 권한이 관리자 권한 없이 대부분의 로그에 대해 로컬 및 원격으로 읽기 권한을 부여합니다. 계정을 ‘net localgroup “Event Log Readers” <user> /add’ 명령어로 추가한 후 로그아웃했다가 다시 로그인하십시오. 일부 채널은 자체 권한을 설정합니다; ‘wevtutil gl <log>’ 명령어로 누가 특정 로그를 읽을 수 있는지 정확히 보여줍니다.
분석가, 로그 수집기 및 IR 파트너 모두가 이벤트 로그가 필요하며, 이들 중 누구도 이를 위해 로컬 관리자가 될 필요가 없습니다. 이 가이드에서는 최소 권한 설정 및 ‘액세스 거부됨’이 권한이 있는 것 같을 때 나타나는 이유를 다룹니다.
누가 무엇을 할 수 있나요
| 작업 | 기본적으로 누가 |
|---|---|
| 대부분의 로그 읽기 및 내보내기 | 관리자(상승된 권한) 및 이벤트 로그 읽기 권한자 |
| 보안 로그 읽기 | 관리자(상승된 권한); 이벤트 로그 읽기 권한자 |
| 보안 로그 지우기 또는 감사 변경 | ‘감사 및 보안 로그 관리’ 권한이 있는 계정(관리자) |
| 로그 크기 또는 보존 변경 | 관리자 |
| 다른 기기에서 로그 읽기 | 로컬과 동일한 권한, 원격 이벤트 로그 액세스를 위한 방화벽 열기 |
왜 관리자들이 여전히 ‘액세스 거부됨’을 받는가
사용자 계정 컨트롤. 비상승된 세션은 관리자 그룹 없이 필터링된 토큰으로 실행됩니다. 이벤트 뷰어와 wevtutil은 그러면 일반 사용자처럼 동작합니다. 오른쪽 클릭하고 관리자 권한으로 실행하고 다시 시도하십시오. 이것이 가장 흔한 원인입니다.
이벤트 로그 읽기 권한에 계정 추가
하나의 기기에서:
net localgroup "Event Log Readers" analyst /add
또는 PowerShell에서:
Add-LocalGroupMember -Group "Event Log Readers" -Member "CORPanalyst"
로그아웃 후 다시 로그인하십시오; 그룹 멤버십은 로그인 시에 읽힙니다.
도메인 전체에서는 그룹 정책(제한된 그룹 또는 그룹 정책 기본 설정 → 로컬 사용자 및 그룹)을 사용하여 모든 기기에 이벤트 로그 읽기 권한에 도메인 그룹을 추가하십시오. 도메인 컨트롤러의 경우 이벤트 로그 읽기 권한은 도메인 전역 내장 그룹이므로, 한 번의 변경으로 모든 도메인 컨트롤러를 적용합니다.
특정 로그의 권한 확인
wevtutil gl Security
채널 접근을 확인하십시오. 이는 SDDL 문자열이며, 중요한 부분은 (A;;0x1;;;S-1-5-32-573)처럼 보입니다: A 허용을 의미하고, 0x1 읽기를 의미하며, S-1-5-32-573 은 이벤트 로그 읽기 권한입니다. 채널의 SDDL에 해당 SID가 포함되어 있지 않으면, 이벤트 로그 읽기 권한자는 읽을 수 없습니다. ‘wevtutil sl <log> /ca:<SDDL>’ 명령어로 채널 접근을 변경할 수 있지만 잘못될 수 있습니다. 가능하다면 그룹 멤버십을 우선하십시오.
원격 접근
- 방화벽. 이벤트 뷰어의 ‘다른 컴퓨터에 연결’, wevtutil /r: 및 Get-WinEvent -ComputerName은 RPC를 사용합니다. 대상에서 규칙 그룹을 활성화하십시오: Enable-NetFirewallRule -DisplayGroup “Remote Event Log Management”.
- PowerShell 원격 관리 (Invoke-Command)은 대신 WinRM을 사용합니다. 이는 RPC가 열려 있지 않은 경우에도 이미 열려 있을 때가 많습니다.
- Windows 이벤트 전달. 보안 로그를 전달하려면, 소스 기기에서 네트워크 서비스를 이벤트 로그 읽기 권한에 추가하십시오. 그렇지 않으면 구독이 건강하게 보일 수 있지만, 보안 이벤트를 전달하지 않습니다.
EVTX 업로드에 대한 주의 사항
로그 내보내기 권한이 있다고 해서 모든 목적지가 적절한 것은 아닙니다. LogTotal은 아직 EVTX 파일을 정리하지 않습니다. EVTX 업로드를 원본 파일을 넘기는 것으로 취급하거나 먼저 JSON으로 변환하십시오.
문제가 발생할 때
| 증상 | 가능성 있는 원인 | Fix |
|---|---|---|
| 관리자로서 액세스가 거부됨 | 세션이 상승되지 않음 | 관리자 권한으로 실행 |
| 이벤트 로그 읽기 권한에서 액세스 거부됨 | 멤버십이 아직 활성화되지 않았거나 채널에 맞춤 권한이 설정됨 | 로그아웃 후 다시 로그인하고 ‘wevtutil gl’을 확인하십시오 |
| RPC 서버를 사용할 수 없음 | 원격 이벤트 로그 방화벽 규칙이 꺼져 있음 | 대상에서 ‘원격 이벤트 로그 관리’를 활성화하십시오 |
| WEF가 보안을 제외한 모든 것을 전달함 | 네트워크 서비스가 이벤트 로그 읽기 권한에 없음 | 소스에 추가하십시오 |
| 로그를 읽을 수 있지만 내보내기가 실패 | 대상 폴더에 대한 쓰기 권한이 없음 | 쓰기가 가능한 곳에 내보내십시오, 예: C:Users<you> |
