Windows 事件日志权限：谁能导出 EVTX

管理员可以读取并导出所有事件日志，但只能通过提升的提示符进行。对于其他人来说，内置的 “事件日志读取者” 组允许本地和远程读取大多数日志，无需管理员权限。使用 net localgroup “Event Log Readers” <user> /add 添加帐户，然后注销并重新登录。有些通道设置了自己的权限；我们可以通过 wevtutil gl <log> 准确看到谁可以读取特定日志。

分析师、日志收集器和事件响应伙伴都需要事件日志，但他们不应该需要成为本地管理员。本文介绍了最低权限设置以及即使你认为你有权限却依然显示“访问被拒绝”的原因。

免费开始

谁可以做什么

为什么管理员仍然会得到“访问被拒绝”

用户帐户控制。未提升的会话以过滤后的令牌运行，没有管理员组。事件查看器和 wevtutil 因此表现得如同你是普通用户。右键单击， 以管理员身份运行，然后重试。这是迄今为止最常见的原因。

将帐户添加到事件日志读取者

在一台机器上：

net localgroup "Event Log Readers"  分析师 /add

或在 PowerShell 中：

Add-LocalGroupMember -Group "Event Log Readers" -Member "CORPanalyst"

注销并重新登录；组成员身份在登录时读取。

在整个域中，使用组策略（受限组或组策略首选项 → 本地用户和组）将域组添加到每台机器上的事件日志读取者。在域控制器上，事件日志读取者是域范围的内置组，因此一次更改适用于所有 DC。

检查特定日志的权限

wevtutil gl Security

查看 channelAccess。这是一个 SDDL 字符串，重要的部分看起来是 (A;;0x1;;;S-1-5-32-573)： A 表示允许， 0x1 表示读取，和 S-1-5-32-573 是事件日志读取者。如果通道的 SDDL 不包含该 SID，事件日志读取者无法读取它。你可以通过 wevtutil sl <log> /ca:<SDDL> 更改通道访问，但这很容易出错。尽量使用组成员身份。

远程访问

• 防火墙。 事件查看器的“连接到另一台计算机”、wevtutil /r: 和 Get-WinEvent -ComputerName 使用 RPC。在目标上启用规则组：Enable-NetFirewallRule -DisplayGroup “Remote Event Log Management”。
• PowerShell 远程 （Invoke-Command）则改用 WinRM。这通常已经在 RPC 尚未打开的情况下 是可用的。
• Windows 事件转发。 要转发安全日志，请将网络服务添加到源机器上的事件日志读取者中。否则，订阅看起来健康，但不会传递任何安全事件。

关于上传 EVTX 的说明

具有导出日志权限并不意味着所有目的地都合适。LogTotal 还没有清理 EVTX 文件。将 EVTX 上传视为交出原始文件，或先将其转换为 JSON。

出错时