{"id":4304,"date":"2015-02-08T18:29:37","date_gmt":"2015-02-08T16:29:37","guid":{"rendered":"http:\/\/www.imacandi.net\/sin\/blog\/?p=4304"},"modified":"2015-02-08T18:29:37","modified_gmt":"2015-02-08T16:29:37","slug":"citire-windows-security-events-remote","status":"publish","type":"post","link":"https:\/\/www.imacandi.net\/sin\/blog\/2015\/02\/08\/citire-windows-security-events-remote.html","title":{"rendered":"citire windows security events remote"},"content":{"rendered":"

In viata oricarui om care are treaba cu Windows vine momentul ala in care vrei sa citesti remote Security events de pe un server remote.<\/p>\n

Pentru ca Windows, pentru ca Security si pentru ca vrei remote – e un pic complicat :)<\/p>\n

In Windows 2008 exista un grup built-in numit Event Log Readers<\/strong> care are permisiune sa citeasca ce scrie in logurile de Security<\/strong> (are un SID predeterminat care este trecut in permisiunile pentru Event Viewer Security). Daca ai un user local si vrei sa-i dai voie sa citeasca logurile, il bagi un grupul asta si treaba e terminata.<\/p>\n

Cand vrei sa faci asta remote, trebuie sa te scarpini un pic.<\/p>\n

    \n
  1. Se creeaza un user obisnuit (sa-i zicem logreader<\/strong>) si se face membru in Event Log Readers<\/strong>.<\/li>\n
  2. Ne logam ca administrator pe masina target<\/li>\n
  3. Umblam la permisiunile de DCOM<\/strong> astfel:\n
      \n
    1. Start<\/strong> -> Run<\/strong> -> dcomcnfg<\/strong><\/li>\n
    2. In casuta Component Services<\/strong>, se expandeaza Component Services<\/strong>, dupa aia Computers<\/strong> si dupa aia dai click dreapta pe My Computer<\/strong><\/li>\n
    3. In casuta de dialog, click pe tab-ul COM Security<\/strong><\/li>\n
    4. Dupa aia, se selecteaza Launch and Activation Permissions<\/strong>.<\/li>\n
    5. In campul de Launch Permissions<\/strong>, click pe Edit Limits<\/strong>, se adauga acolo grupul Event Log Readers<\/strong> si ca permisiuni pentru el\u00a0se selecteaza Remote Launch<\/strong> si Remote Activation<\/strong><\/li>\n
    6. In campul Access Permissions<\/strong>, click pe Edit Limits<\/strong>, se adauga grupul Event Log Reader<\/strong> si la permisiuni se selecteaza Remote Access<\/strong><\/li>\n
    7. Click pe OK<\/strong> in toate casutele de dialog si am terminat cu DCOM<\/strong><\/li>\n<\/ol>\n<\/li>\n
    8. Umblam la permisiunile WMI<\/strong> asttfel:\n
        \n
      1. Control Panel<\/strong> -> Administrative Tools<\/strong> -> Computer Management<\/strong><\/li>\n
      2. In fereastra de Computer Management<\/strong>, click pe Services and Applications<\/strong>, apoi click dreapta pe WMI Control<\/strong> si dupa aia click pe Properties<\/strong><\/li>\n
      3. Se selecteaza tab-ul Security<\/strong><\/li>\n
      4. Se selecteaza Root<\/strong> -> CIMV2<\/strong> si dupa aia click pe Security<\/strong><\/li>\n
      5. Se adauga grupul Event Log Readers<\/strong> si dupa aia click pe Advanced<\/strong><\/li>\n
      6. In fereastra\u00a0Advanced<\/strong>, se da click pe grupul Event Log Readers<\/strong> dupa aia click pe butonul Edit<\/strong> si acolo se selecteaza ca permisiuni Enable Account<\/strong> si Remote Enable<\/strong>, iar la Apply to<\/strong> se selecteaza This namespace and subnamespaces<\/strong><\/li>\n
      7. Se da OK<\/strong> pana se termina cu toate casutele de dialog<\/li>\n<\/ol>\n<\/li>\n
      8. Din Services<\/strong> se da restart la Windows Management Instrumentation<\/strong> (daca e Domain Controller, trebuie reboot)<\/li>\n<\/ol>\n

        Si voila, acum putem citi remote logurile de securitate de pe o masina Windows Server 2008+ folosind un utilizator fara nici un drept special.<\/p>\n

        Ce-am descris mai sus este varianta kosher si corecta, adica aplicand principiul Least Privilege.<\/p>\n

        Mai exista si o varianta si mai complicata, care presupune drepturi pe user si nu pe grup, insa trebuie modificate si permisiunile pe Event Viewer Security care sunt un picut mai voodoo de facut. Asta poate necesara cand ai un mediu de tip\u00a0High Security Assurance si ai si resurse sa inspectezi fiecare bit si fiecare permisiune sa nu scape ceva pe langa.<\/p>\n

        Daca ne doare la bascheti de securitate, varianta simpla e sa faci userul cu care vrei sa citesti logurile remote membru in Domain Admins si ai rezolvat problema din 3 click-uri.<\/p>\n

        Mai invatai si io ceva azi :)<\/p>\n","protected":false},"excerpt":{"rendered":"

        In viata oricarui om care are treaba cu Windows vine momentul ala in care vrei sa citesti remote Security events de pe un server remote. Pentru ca Windows, pentru ca Security si pentru ca vrei remote – e un pic complicat :) In Windows 2008 exista un grup built-in numit Event Log Readers care are … Continue reading citire windows security events remote<\/span> →<\/span><\/a><\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"_monsterinsights_skip_tracking":false,"_monsterinsights_sitenote_active":false,"_monsterinsights_sitenote_note":"","_monsterinsights_sitenote_category":0,"ngg_post_thumbnail":0,"footnotes":""},"categories":[2],"tags":[7],"class_list":["post-4304","post","type-post","status-publish","format-standard","hentry","category-diverse","tag-computers"],"_links":{"self":[{"href":"https:\/\/www.imacandi.net\/sin\/blog\/wp-json\/wp\/v2\/posts\/4304","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.imacandi.net\/sin\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.imacandi.net\/sin\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.imacandi.net\/sin\/blog\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.imacandi.net\/sin\/blog\/wp-json\/wp\/v2\/comments?post=4304"}],"version-history":[{"count":8,"href":"https:\/\/www.imacandi.net\/sin\/blog\/wp-json\/wp\/v2\/posts\/4304\/revisions"}],"predecessor-version":[{"id":4312,"href":"https:\/\/www.imacandi.net\/sin\/blog\/wp-json\/wp\/v2\/posts\/4304\/revisions\/4312"}],"wp:attachment":[{"href":"https:\/\/www.imacandi.net\/sin\/blog\/wp-json\/wp\/v2\/media?parent=4304"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.imacandi.net\/sin\/blog\/wp-json\/wp\/v2\/categories?post=4304"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.imacandi.net\/sin\/blog\/wp-json\/wp\/v2\/tags?post=4304"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}