Audit-Registrierungszugriff oder -änderung

Question

Ich möchte Registrierungsänderungen oder Versuche im Fehlerfall prüfen. Zu diesem Zweck habe ich die Prüfungsrichtlinie wie folgt festgelegt:

auditpol /set /subcategory:"Registry" /success:enable /failure:enable

Selbst wenn ich die Registrierung ändere oder versuche, Schlüssel zu ändern, für die ich keine Änderungsberechtigung habe, können in der Ereignisanzeige unter Sicherheitsprotokoll keine Protokolle angezeigt werden.

Der Benutzer, mit dem ich die Richtlinie einstelle und dann die Registrierung bearbeite, ist ein lokaler Administrator. Der Computer ist kein Mitglied einer Domain.

Was vermisse ich hier?

Answer 1

Abgesehen von der Festlegung der Überwachungsrichtlinie ist es anscheinend erforderlich, die Registrierungsschlüssel, die wir über ihre ACL überwachen möchten, explizit festzulegen.

Wenn wir diese Einstellung automatisieren möchten, können Sie PowerShell wie folgt ausführen:

    $key = "HKLM:\System\" # the key we want to audit $sid = New-Object System.Security.Principal.SecurityIdentifier("S-1-1-0") # User, in this case "Everyone"
    $RegKey_ACL = Get-Acl $key
    $AccessRule = New-Object System.Security.AccessControl.RegistryAuditRule($sid,"SetValue,CreateSubKey,Delete","ObjectInherit,ContainerInherit","none","Success,Failure")
    $RegKey_ACL.AddAuditRule($AccessRule)
    $RegKey_ACL | Set-Acl $key