गैर-प्रशासनिक उपयोगकर्ता के साथ सुरक्षा लॉग कैसे प्राप्त करें

हाय हमर! व्यवस्थापक विशेषाधिकारों के बिना विंडोज सुरक्षा लॉग का उपयोग करने के लिए बिल्ली के नीचे पढ़ें। यह विंडोज लॉग्स से जुड़ा हैबर पर पहला लेख नहीं होगा और शायद सबसे मूल एक नहीं है, लेकिन मेरी राय में मैंने एक साधारण उपयोगकर्ता के रूप में लॉग पढ़ने के लिए एक सरल समाधान खोजने में बहुत समय बिताया, इसलिए मैंने "सफलता की कहानी" साझा करने का फैसला किया।

मुझे गेटवे-विनवेंट और गेट-इवेंटलॉग cmdlets के साथ पॉवर्सशेल cmdlets के प्रदर्शन की तुलना भी करनी थी।

कट के तहत जो कुछ भी है वह विंडोज सर्वर 2008R2 / 2012R2, विंडोज 10 प्रो (1809) के लिए प्रासंगिक है, मैंने अन्य संस्करणों पर जांच नहीं की, मुझे लगता है कि 2016 और 2019 के उत्पादों के साथ स्थिति समान है।

और इसलिए, डिफ़ॉल्ट रूप से, औसत उपयोगकर्ता को सुरक्षा लॉग पढ़ने की अनुमति नहीं है।
जब आप लॉग प्राप्त करने का प्रयास करते हैं, तो आपको एक त्रुटि मिलती है।



और इवेंट व्यूअर के माध्यम से भी प्रवेश से वंचित कर दिया जाएगा।

शोटाइम

उपयोगकर्ता को स्थानीय ईवेंट लॉग रीडर समूह में जोड़ें।



इसके बाद, हम MACHINE \ System \ CurrentControlSet \ Services \ Eventlog \ Security रजिस्ट्री शाखा को रीड परमिशन देते हैं।



इस रजिस्ट्री शाखा के अधिकारों को बदले बिना, आप सुरक्षा लॉग के मापदंडों को पढ़ने में सक्षम नहीं होंगे, तदनुसार, आप लॉग फ़ाइल के स्थान और नाम का पता लगाने में सक्षम नहीं होंगे। सुरक्षा , यह Eventlog सेवा का एकमात्र खंड है जो रूट से एक्सेस अधिकार प्राप्त नहीं करता है।

यह वही है जो MACHINE \ System \ CurrentControlSet \ Services \ Eventlog के लिए अनुमतियाँ जैसा दिखता है।



जाँच लें कि दोनों Get-WinEvent और Get-EventLog cmdlets काम करते हैं!
बाद में, इन cmdlets की तुलना करने के लिए वापस ...

ऑडिटिंग और सुरक्षा लॉग प्रबंधित करें

यदि उपयोगकर्ता को लॉग को खाली करने के लिए अधिकार दिए जाने की आवश्यकता है, तो आपको समूह नीति को संपादित करना होगा। एक उपयोगकर्ता या उपयोगकर्ताओं के समूह को ऑडिटिंग और सुरक्षा लॉग अनुमतियाँ प्रबंधित करने की आवश्यकता होती है।

यह समूह यहां कंप्यूटर कॉन्फ़िगरेशन \ Windows सेटिंग्स \ सुरक्षा सेटिंग्स \ स्थानीय नीतियाँ \ उपयोगकर्ता अधिकार असाइनमेंट स्थित है ।



आप यहां ऑडिटिंग और सिक्योरिटी लॉग के बारे में अधिक पढ़ सकते हैं ।

यह नीति सेटिंग निर्धारित करती है कि कौन से उपयोगकर्ता फ़ाइल, सक्रिय निर्देशिका ऑब्जेक्ट और रजिस्ट्री कुंजियों जैसे व्यक्तिगत संसाधनों के लिए ऑब्जेक्ट एक्सेस ऑडिट विकल्प निर्दिष्ट कर सकते हैं। ये ऑब्जेक्ट उनके सिस्टम एक्सेस कंट्रोल लिस्ट (SACL) को निर्दिष्ट करते हैं। एक उपयोगकर्ता जिसे यह उपयोगकर्ता अधिकार सौंपा गया है, वह इवेंट व्यूअर में सुरक्षा लॉग को देख और साफ़ कर सकता है। ऑब्जेक्ट एक्सेस ऑडिट नीति के बारे में अधिक जानकारी के लिए, ऑडिट ऑब्जेक्ट एक्सेस देखें।

हम जांच करते हैं, सब कुछ वादे के अनुसार काम करता है, लॉग साफ किए गए थे ...



अधिकारों को साफ करने के लिए कोई अन्य लॉजिक्स नहीं हैं।



ईमानदारी से, मैं एक ऐसे परिदृश्य के साथ नहीं आ सकता जहाँ उपयोगकर्ता को सुरक्षा लॉग को साफ करने का अधिकार दिया जाना चाहिए, लेकिन ऐसा अवसर है।

Get-WinEvent VS Get-EventLog

इन दो cmdlets की तुलना करने का समय आ गया है

Get-इवेंटलॉग

विवरण:

Get-EventLog cmdlet को स्थानीय और दूरस्थ कंप्यूटर पर ईवेंट और इवेंट लॉग मिलते हैं।

आप घटनाओं की खोज करने के लिए cmdlet के मापदंडों और संपत्ति मूल्यों का उपयोग कर सकते हैं। इस cmdlet में ऐसी घटनाएँ मिलती हैं जो निर्दिष्ट संपत्ति मूल्यों से मेल खाती हैं।

ईवेंटलॉग संज्ञा वाले cmdlets केवल क्लासिक ईवेंट लॉग पर काम करते हैं। Windows Vista और बाद के Windows संस्करणों में Windows इवेंट लॉग तकनीक का उपयोग करने वाले लॉग से इवेंट प्राप्त करने के लिए, Get-WinEvent का उपयोग करें।

Get-WinEvent

विवरण:

Get-WinEvent cmdlet ईवेंट लॉग्स से इवेंट्स प्राप्त करता है, जिसमें क्लासिक लॉग्स, जैसे सिस्टम और एप्लीकेशन लॉग्स शामिल हैं, और विंडोज विस्टा में पेश किए गए विंडोज इवेंट लॉग टेक्नोलॉजी द्वारा उत्पन्न इवेंट लॉग्स। यह विंडोज (ईटीडब्ल्यू) के लिए इवेंट ट्रेसिंग द्वारा उत्पन्न लॉग फाइलों में भी घटनाओं को प्राप्त करता है।

मापदंडों के बिना, Get-WinEvent आदेश कंप्यूटर पर सभी ईवेंट लॉग से सभी ईवेंट प्राप्त करता है। कमांड को बाधित करने के लिए, CTRL + C दबाएं।

Get-WinEvent ईवेंट लॉग और ईवेंट लॉग प्रोवाइडर्स को भी सूचीबद्ध करता है। आप चयनित लॉग से या चयनित ईवेंट प्रदाताओं द्वारा उत्पन्न लॉग से ईवेंट प्राप्त कर सकते हैं। और, आप एक ही कमांड में कई स्रोतों से घटनाओं को जोड़ सकते हैं। यह cmdlet आपको XPath क्वेरीज़, संरचित XML क्वेरीज़ और सरलीकृत हैश-टेबल क्वेरीज़ का उपयोग करके घटनाओं को फ़िल्टर करने की अनुमति देता है

विवरण के अनुसार, Get-WinEvent बड़ी संख्या में पत्रिकाओं के साथ काम कर सकता है जो कि WIndows Vista में दिखाई दिए।

स्पष्टता के लिए, ये सूचियाँ इन cmdlets के साथ काम करती हैं ; मैंने Get-WinEvent के लिए आउटपुट बंद कर दिया है।



लेकिन एक बात है, प्रदर्शन के मामले, क्वेरी निष्पादन समय की तुलना करें।



Get-WinEvent का चलने का समय बस अद्भुत है, Applocation और Security लॉग में प्रविष्टियों की संख्या पर ध्यान दें, घटनाओं की संख्या लगभग 3400-3600 है, लेकिन निष्पादन समय में अंतर लगभग 20 गुना है ...

Get-WinEvent एप्लीकेशन इवेंट्स पढ़ने के लिए 127 सेकंड बनाम 52 सेकंड Get-EventLog खर्च करता है।

और चेकमेट, Get-WinEvent सुरक्षा घटनाओं को पढ़ने के लिए 2020 सेकंड बनाम 45 सेकंड Get-EventLog खर्च करता है।

यदि आप समान आदेशों को स्थानीय रूप से निष्पादित करते हैं, तो सब कुछ इतना बुरा नहीं लगता है, लेकिन यहां तक ​​कि स्थानीय रूप से Get-EventLog , Get-WinEvent की तुलना में 50 गुना तेजी से सुरक्षा लॉग के साथ काम करता है।



और एक अन्य उदाहरण, पहले से ही थोड़ा अधिक सार्थक, कोड 4624 के साथ ईवेंट प्राप्त करने का एक खाता सफलतापूर्वक लॉग ऑन किया गया था ।



मैं क्या कह सकता हूं, संख्या झूठ नहीं है ...

डीसी इवेंट लॉग के लिए गैर-व्यवस्थापक पहुँच

और निष्कर्ष में, मैंने डोमेन नियंत्रक पर सुरक्षा लॉग तक पहुंच प्राप्त करने का विषय छोड़ दिया।

उपरोक्त सभी कुछ संशोधन के साथ डोमेन नियंत्रक के लिए भी प्रासंगिक है।

1 - आप अंतर्निहित सुरक्षा प्रिंसिपल ऑब्जेक्ट्स में इवेंट लॉग रीडर्स समूह पाएंगे।



इस समूह में एक उपयोगकर्ता जोड़कर आप केवल डोमेन नियंत्रकों को पढ़ने की अनुमति देते हैं।

और यह मत भूलो कि प्रत्येक डोमेन नियंत्रक पर आपको रजिस्ट्री शाखा MACHINE \ System \ CurrentControlSet \ Services \ Eventlog \ Security को पढ़ने की अनुमति देनी होगी।

यहां एक उदाहरण है, एक सदस्य सर्वर के लॉग को पढ़ने की अनुमति नहीं है, यदि आपको डोमेन में अन्य मशीनों से लॉग पढ़ने की आवश्यकता है, तो स्थानीय ईवेंट लॉग रीडर समूह में उपयोगकर्ताओं या उपयोगकर्ता समूहों को जोड़ने के लिए समूह नीतियों का उपयोग करें।



2 - लॉग साफ़ करने के अधिकार जोड़ने के लिए, आपको डिफ़ॉल्ट डोमेन नियंत्रक नीति को संपादित करना होगा।

3 - डोमेन नियंत्रक पर उपयोगकर्ता की ओर से कार्यों के शुभारंभ की अनुमति देने के लिए, आपको डिफ़ॉल्ट डोमेन नियंत्रक नीति को भी संपादित करना होगा और उपयोगकर्ता को बैच कार्य अनुमतियों के रूप में लॉग ऑन करना होगा ।

4 - डिफ़ॉल्ट डोमेन नीतियों का संपादन करते समय बहुत सावधान रहें!

पुनश्च

संसाधनों की एक छोटी सूची जिसने मेरी मदद की:

• गैर-व्यवस्थापकों को इवेंट लॉग्स विंडोज 2003 और विंडोज 2008 पढ़ने की अनुमति देना
• समूह लॉग सुरक्षा को समूह नीति या समूह नीति का उपयोग करके कैसे सेट करें
• डीसी सुरक्षा - सुरक्षा इवेंट लॉग पढ़ें
• गैर-प्रशासनिक उपयोगकर्ता के साथ Get-WinEvent
• डोमेन नियंत्रक सुरक्षा लॉग - उन पर कैसे प्राप्त करें * बिना * डोमेन व्यवस्थापक के

मेरी राय में, हैबर पर उपयोगी प्रकाशन, जिनके विषय विंडोज लॉग से संबंधित हैं:

• पॉवरशेल परिवर्तन अलर्ट के साथ सक्रिय निर्देशिका का ऑडिट करता है। भाग 1
• एक्टिव डिक्टेक्ट्री में यूजर लॉक के स्रोत का पता लगाना
• विंडोज लॉग में मॉनिटरिंग और अलर्टिंग इवेंट्स: विंडोज सर्वर 2012 R2 में ई-मेलिंग
• सर्वर पर सुरक्षा ऑडिट। सुरक्षा जर्नल खोजें। शक्ति शक्तियाँ

अंत