Стежити Адміністратори можуть читати та експортувати кожен журнал подій, але тільки з підвищеної підказки. Для всіх інших, вбудована група Читачів Журналу Подій надає доступ для читання до більшості журналів, локально та віддалено, без прав адміністратора. Додайте обліковий запис за допомогою команди net localgroup “Event Log Readers” <користувач> /add, потім вийдіть та увійдіть знову. Декілька каналів мають свої власні дозволи; wevtutil gl <журнал> показує точно, хто може читати даний журнал.
Аналітики, збирачі журналів та партнери з реагування на інциденти всі потребують журналів подій, і жоден з них не повинен бути локальним адміністратором для цього. Цей посібник охоплює налаштування з мінімальними привілеями і причини, чому «Доступ заборонено» з’являється навіть тоді, коли ви вважаєте, що маєте права.
Хто може що робити
| Дія | Хто за замовчуванням |
|---|---|
| Читати та експортувати більшість журналів | Адміністратори (підвищені) та Читачі Журналу Подій |
| Читати журнал Безпеки | Адміністратори (підвищені); Читачі Журналу Подій |
| Очистити журнал Безпеки або змінити аудит | Облікові записи з «Керування аудитом і журналом безпеки» (Адміністратори) |
| Змінити розмір журналу або збереження | Адміністратори |
| Читати журнали з іншої машини | Такі ж права, як локально, плюс відкритий файл для віддаленого доступу до журналу подій |
Чому адміністратори все ще отримують «Доступ заборонено»
Контроль облікових записів користувача. Несанкціонована сесія працює з відфільтрованим токеном, без групи Адміністраторів. Переглядач подій і wevtutil тоді ведуть себе так, ніби ви звичайний користувач. Натисніть правою кнопкою миші, Запустити як адміністратор, і спробуйте знову. Це найбільш поширена причина.
Додати обліковий запис до Читачів Журналу Подій
На одній машині:
net localgroup "Event Log Readers" analyst /add
або в PowerShell:
Add-LocalGroupMember -Group "Event Log Readers" -Member "CORPanalyst"
Вийдіть і увійдіть знову; членство в групі читається під час входу.
Через домен використовуйте Групову політику (Обмежені групи або Групові політики предпочень → Локальні користувачі та групи) для додавання доменної групи до Читачів Журналу Подій на кожній машині. На контролерах домену, Читачі Журналу Подій є вбудованою групою домена, тому одна зміна охоплює всі DC.
Перевірити дозволи на конкретний журнал
wevtutil gl Security
Подивіться на channelAccess. Це рядок SDDL, і важлива частина виглядає як (A;;0x1;;;S-1-5-32-573): A означає дозволяти, 0x1 означає читання, а S-1-5-32-573 є Читачами Журналу Подій. Якщо SDDL каналу не включає цей SID, Читачі Журналу Подій не можуть його читати. Ви можете змінити доступ до каналу за допомогою wevtutil sl <журнал> /ca:<SDDL>, але це легко зробити неправильно. Віддавайте перевагу членству в групі, де це можливо.
Віддалений доступ
- Міжмережевий екран. «Підключитися до іншого комп’ютера» у перегляді Подій, wevtutil /r: і Get-WinEvent -ComputerName використовують RPC. Увімкніть правила групи на цілі: Enable-NetFirewallRule -DisplayGroup “Remote Event Log Management”.
- Віддалене управління PowerShell (Invoke-Command) натомість використовує WinRM. Це часто вже відкрито там, де RPC немає.
- Переадресація подій Windows. Для переадресації журналу Безпеки, додайте NETWORK SERVICE до Читачів Журналу Подій на вихідних машинах. Без цього підписка може здаватися робочою, але не передаватиме жодних подій Безпеки.
Примітка щодо завантаження EVTX
Наявність прав на експорт журналу не робить кожне місце призначення придатним. LogTotal ще не очищає файли EVTX. Розглядайте завантаження EVTX як передачу необробленого файлу або спочатку конвертуйте його в JSON.
Коли все йде не так
| Симптом | Імовірна причина | Fix |
|---|---|---|
| Доступ заборонено як адміністратору | Сесія не підвищена | Запустити як адміністратор |
| Доступ заборонено в Читачах Журналу Подій | Членство ще не активне або канал має власні дозволи | Вийдіть та увійдіть; перевірте wevtutil gl |
| Сервер RPC недоступний | Відключені правила міжмережевого екрану для віддалених журналів подій | Увімкніть «Управління віддаленими журналами подій» на цілі |
| WEF передає все, крім Безпеки | NETWORK SERVICE не в Читачах Журналу Подій | Додайте його на джерелах |
| Може читати журнал, але експорт не вдається | Немає прав на запис у цільовий каталог | Експортуйте туди, де ви можете записувати, наприклад C:Users<ви> |
