Как я могу определить, кто подключен к журналу событий удаленно?

Question

Есть ли способ выяснить, какой пользователь и / или какой компьютер удаленно обращается к файлам журналов событий Windows на моем компьютере? Эти доступы блокируют приложения на локальном компьютере и, таким образом, предотвращают их удаление.

Этот доступ отображается в ProcessExplorer как TCP-соединение от mmc.exe на удаленной машине до порта 5001 svchost.exe (с запущенной службой "eventlog") на локальной машине, но это все, что я могу определить.

Я искал этот ответ во всем, но не нашел ничего особенного, в том числе копания в объектах WMI с помощью PowerShell. Спасибо за любую помощь, которую вы можете предложить.

Answer 1

Прежде всего - это может быть не кто-то, получающий доступ к вашим журналам событий удаленно. Файлы журнала событий всегда открыты. Это файлы с отображением в памяти, поэтому вы не можете просто удалить их с диска.
Если вам нужно место на диске, вам нужно открыть eventvwr.msc и изменить там максимальный размер файла журнала. Изменение не вступит в силу до следующего перезапуска службы журнала событий (что, вероятно, произойдет при перезагрузке компьютера).
Если вы хотите очистить журналы (то есть удалить данные), вы также можете сделать это в оснастке eventvwr mmc.
Если вам нужно сохранить журналы событий в удаляемом файле, вы можете использовать раздел реестра AutoBackupLogFiles, но файлы, отображаемые в памяти, все равно останутся.
Если вы все еще подозреваете, что учетная запись пользователя осуществляет удаленный доступ к журналу событий на вашем компьютере, и это включает в себя журнал безопасности - вам следует проверить журнал безопасности на наличие событий с идентификатором 4672 и найти учетные записи, в которых включен SeSecurityPrivilege .
Если вы не думаете, что к журналу безопасности обращаются, вы все равно можете искать события в журнале безопасности с идентификатором 4624, который должен показать вам, кто обращался к компьютеру удаленно (но будет включать всех пользователей, а не только один / те, кто получает доступ к журналам событий). Это должно как минимум сузить ваш список подозреваемых.
Вы всегда можете использовать wevtutil, чтобы добавить контрольный SACL в журналы, к которым, по вашему мнению , обращаетесь. Процесс такой же, как и для добавления разрешений (DACL), за исключением того, что вы говорите, какие вещи следует проверять, а не разрешать или запрещать.
Немного менее элегантно, но когда вы заметите соединение с удаленного IP, вы можете попробовать запустить qwinsta / server:remoteIP . Это покажет вам, кто вошел в систему на этом компьютере, либо локально на консоли, либо через терминальные службы. Не поможет, если пользователь является учетной записью службы или запланированной задачей.

Answer 2

Вы можете использовать сетевой монитор для прослушивания входящего трафика на этом конкретном порту, и IP-адрес источника будет отображаться четко. Для этого:

• Загрузите и установите сетевой монитор от Microsoft на ПК, который получает удаленные подключения. Это бесплатный инструмент.
• Создайте новый перехват и отфильтруйте входящие tcp-соединения с портом 5001 (это довольно просто настроить, интерфейс дружественный).
• Начните захват и дождитесь прибытия пакетов, вы увидите исходный IP в поле Source списка. Вы можете даже прослушать пакеты и проверить, отображается ли подсказка об аутентификации при подключении.