Beveiliging van gebeurtenislogboeken lokaal of met behulp van groepsbeleid instellen

U kunt de toegangsrechten voor de beveiliging van hun gebeurtenislogboeken in Windows aanpassen. Deze instellingen kunnen lokaal of via Groepsbeleid worden geconfigureerd. In dit artikel wordt beschreven hoe u beide methoden gebruikt.

Van toepassing op: Alle versies van Windows
Oorspronkelijk KB-nummer: 323076

Samenvatting

U kunt gebruikers een of meer van de volgende toegangsrechten verlenen voor gebeurtenislogboeken:

• Lezen
• Schrijven
• Veilig

Belangrijk

U kunt het beveiligingslogboek op dezelfde manier configureren. U kunt echter alleen lees- en wistoegangsmachtigingen wijzigen. Schrijftoegang tot het beveiligingslogboek is alleen voorbehouden aan de Windows Local Security Authority (LSA) en identiteiten waarvoor de bevoegdheid Controle en beveiligingslogboek beheren is ingeschakeld.

U kunt een beheersjabloonbeleid gebruiken voor het doel. Het pad voor het systeemgebeurtenislogboek is bijvoorbeeld:

Computerconfiguratie\Beheersjablonen\Windows-onderdelen\Gebeurtenislogboekservice\System

De instelling configureert logboektoegang en gebruikt dezelfde SDDL-tekenreeks (Security Descriptor Definition Language).

Microsoft stelt voor om over te stappen op deze methode.

Lokaal beveiliging van gebeurtenislogboeken configureren

Belangrijk

Deze sectie, methode of taak bevat stappen voor het bewerken van het register. Als u het register op onjuiste wijze wijzigt, kunnen er echter grote problemen optreden. Zorg er daarom voor dat u de volgende stappen zorgvuldig volgt. Voor optimale veiligheid maakt u dagelijks een back-up van het register voordat u het wijzigt. Als er een probleem optreedt, kunt u het register altijd nog herstellen. Raadpleeg Een back-up maken van en het herstellen van het register in Windows voor meer informatie over het maken van een back-up en het herstellen van het register.

De beveiliging van elk logboek wordt lokaal geconfigureerd via de waarden in de registersleutel HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\Eventlog.

De security descriptor voor toepassingslogboeken wordt bijvoorbeeld geconfigureerd via de volgende registerwaarde: HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\Eventlog\Application\CustomSD

En de Security Descriptor van het systeemlogboek wordt geconfigureerd via HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\Eventlog\System\CustomSD.

De Security Descriptor voor elk logboek wordt opgegeven met behulp van SDDL-syntaxis. Zie de Platform-SDK voor meer informatie over SDDL-syntaxis of zie het artikel dat wordt vermeld in de sectie Verwijzingen van dit artikel.

Als u een SDDL-tekenreeks wilt maken, moet u er rekening mee houden dat er drie afzonderlijke rechten zijn die betrekking hebben op gebeurtenislogboeken: Lezen, Schrijven en Wissen. Deze rechten komen overeen met de volgende bits in het veld toegangsrechten van de ACE-tekenreeks:

• 1 = Lezen
• 2 = Schrijven
• 4 = Wissen

Hieronder volgt een voorbeeld-SDDL waarmee de standaard-SDDL-tekenreeks voor het systeemlogboek wordt weergegeven. De toegangsrechten (in hexadecimaal) worden vetgedrukt weergegeven voor illustratie:

O:BAG:SYD:(A;;0xf0007;;;SY)(A;;0x7;;;BA)(A;;0x3;;;BO)(A;;0x5;;;SO)(A;;0x1;;;IU)(A;;0x3;;;SU)(A;;0x1;;;S-1-5-3)(A;;0x2;;;S-1-5-33)(A;;0x1;;;S-1-5-32-573)

De eerste ACE geeft het systeem bijvoorbeeld volledige controle over toegang tot het logboek. De vijfde ACE geeft interactieve gebruikers de mogelijkheid om toegang tot het logboek te lezen.

Gebruik het lokale groepsbeleid van de computer om uw toepassing en systeemlogboekbeveiliging in te stellen

1. Selecteer Start, selecteer Uitvoeren, typ gpedit.msc en selecteer vervolgens OK.
2. Vouw in de Groepsbeleidseditor de volgende mappenstructuur uit onder Computerconfiguratie>Beheersjablonen>Windows Components>Event Log Service.
3. Dubbelklik in de submap Applicatie in het voorbeeld van een toepassingsgebeurtenislogboek op Logboektoegang configureren, selecteer Inschakelen, typ de SDDL-tekenreeks die u wilt voor de logboekbeveiliging en selecteer vervolgens OK.
4. Het is niet nodig om Logboektoegang configureren (verouderd) in te stellen. De optie is voor besturingssystemen ouder dan Windows Vista.

Groepsbeleid gebruiken om uw toepassings- en systeemlogboekbeveiliging in te stellen

1. Start de Groepsbeleidsbeheerconsole.
2. Selecteer de organisatie-eenheid waar de doelcomputers zich bevinden, of de domeinroot als u dit wilt definiëren voor alle computers in het domein.
3. Selecteer een bestaand beleid waaraan u de machtigingen wilt toevoegen of maak een nieuw beleid met de toegangsmachtigingen voor Eventlog.
4. Right-Click het beleid en selecteer Bewerken.
5. De MMC-module Lokaal groepsbeleid wordt weergegeven.
6. Vouw Computerconfiguratie uit, vouw Windows-instellingen uit, vouw Beveiligingsinstellingen uit, vouw Lokaal beleid uit en selecteer vervolgens Beveiligingsopties.
7. Dubbelklik op Gebeurtenislogboek: Toepassingslogboek SDDL, typ de GEWENSTE SDDL-tekenreeks voor de logboekbeveiliging en selecteer VERVOLGENS OK.
8. Dubbelklik op Gebeurtenislogboek: Systeemlogboek SDDL, typ de GEWENSTE SDDL-tekenreeks voor de logboekbeveiliging en selecteer VERVOLGENS OK.

Verwijzingen

Zie Security Descriptor String Format (Security Descriptor String Format) voor meer informatie over SDDL-syntaxis en over het maken van een SDDL-tekenreeks.