Accesso o modifica del registro di controllo

Question

Voglio controllare le modifiche al registro o i tentativi in ​​caso di fallimento. A tal fine, ho impostato la politica di controllo come segue:

auditpol /set /subcategory:"Registry" /success:enable /failure:enable

Tuttavia, anche se modifico il registro o tento di modificare le chiavi per le quali non ho l'autorizzazione alla modifica, non sono in grado di vedere alcun registro nel Visualizzatore eventi, sotto Registro di sicurezza.

L'utente con cui sto impostando il criterio e quindi modificando il registro è un utente amministratore locale. Il computer non è membro di un dominio.

Cosa mi manca qui?

Answer 1

Apparentemente, oltre a impostare la politica di controllo, è necessario impostare in modo esplicito le chiavi di registro che vogliamo controllare tramite il loro ACL.

Nel caso in cui desideriamo automatizzare questa impostazione, è possibile farlo utilizzando PowerShell come segue:

    $key = "HKLM:\System\" # the key we want to audit $sid = New-Object System.Security.Principal.SecurityIdentifier("S-1-1-0") # User, in this case "Everyone"
    $RegKey_ACL = Get-Acl $key
    $AccessRule = New-Object System.Security.AccessControl.RegistryAuditRule($sid,"SetValue,CreateSubKey,Delete","ObjectInherit,ContainerInherit","none","Success,Failure")
    $RegKey_ACL.AddAuditRule($AccessRule)
    $RegKey_ACL | Set-Acl $key