Журналирование аудита Windows для доступа к ключам RemoteRegistry

Есть ли какой-либо способ включить аудит в Windows для событий реестра, таких как открытие пользователем ключа реестра через сеть с помощью службы RemoteRegistry (доступ через именованный канал winreg)?

Я пытался включить журнал аудита для доступа к объекту и выбрал операции с реестром, но, похоже, это включает только локальные, а не удаленные операции доступа.

Обновление:

Информация, которую я хотел бы записывать: откуда поступил запрос (IP-источник), аутентифицированное имя пользователя и, если доступно, какое право разрешило доступ, или почему доступ был заблокирован (если есть более подробная информация, чем просто отказано в доступе).

Я хотел бы, чтобы та же информация записывалась, если кто-то читал значение или класс ключа реестра.

Включение аудита удаленного реестра

1. Включите службу Remote Registry, если она еще не работает.

Get-Service -Name RemoteRegistry -ComputerName $computerName | Set-Service -StartupType Manual -Status Running

Настройка политик аудита

2. Включите политикe “Аудит доступа к объектам” для событий как успешных, так и неудачных. (Используйте Управление групповой политикой или локальную политику безопасности для настройки).

3. Настройте аудит на конкретных ключах реестра.

4. Откройте редактор реестра и перейдите к ключу, который вы хотите аудитировать.

5. Кликните правой кнопкой мыши на ключ, выберите “Разрешения“, затем “Дополнительно“, и нажмите “Аудит“.

6. Добавьте запись аудита для “Все” с разрешениями “Полный доступ“, применяемыми к “Этому ключу и подключам“.

7. Включите подкатегорию “Аудит реестра” в Расширенной конфигурации политики аудита.

Invoke-Command -ComputerName $targetComputer -ScriptBlock {
    # Включение политик аудита
    auditpol /set /subcategory:"Registry" /success:enable /failure:enable

    # Настройка правил аудита для конкретного ключа реестра
    $registryPath = "HKLM:\SOFTWARE\YourKeyPath"
    $acl = Get-Acl -Path $registryPath
    $rule = New-Object System.Security.AccessControl.RegistryAuditRule("Everyone", "ReadKey", "ContainerInherit,ObjectInherit", "None", "Success,Failure")
    $acl.AddAuditRule($rule)
    Set-Acl -Path $registryPath -AclObject $acl
}

Настройка списков управления доступом системы (SACLs)

8. Откройте редактор реестра (regedit).

9. Перейдите к ключу реестра, который вы хотите аудитировать. Кликните правой кнопкой мыши на ключ → Разрешения → Дополнительно → Аудит.

10. Добавьте запись для “Все” или конкретных пользователей/групп с желаемыми типами доступа (например, Чтение, Запись).

$registryPath = "HKLM:\SOFTWARE\YourKeyPath"
$identity = "Everyone"
$rights = "FullControl"
$inheritanceFlags = "ContainerInherit,ObjectInherit"
$propagationFlags = "None"
$auditFlags = "Success,Failure"

Invoke-Command -ComputerName $targetComputer -ScriptBlock {
    param($regPath, $id, $r, $iFlags, $pFlags, $aFlags)
    
    $acl = Get-Acl -Path $regPath
    $rule = New-Object System.Security.AccessControl.RegistryAuditRule($id, $r, $iFlags, $pFlags, $aFlags)
    $acl.AddAuditRule($rule)
    Set-Acl -Path $regPath -AclObject $acl
} -ArgumentList $registryPath, $identity, $rights, $inheritanceFlags, $propagationFlags, $auditFlags

Проверка:

Invoke-Command -ComputerName $targetComputer -ScriptBlock {
    param($regPath)
    (Get-Acl -Path $regPath).Audit
} -ArgumentList $registryPath

ID событий для мониторинга

• 4656: Запрошена ручка к объекту
• 4663: Совершена попытка доступа к объекту
• 4660: Объект был удален

Отправьте их на сервер SYSlog по вашему выбору:

Invoke-Command -ComputerName $targetComputer -ScriptBlock {
    wecutil qc /q
    winrm quickconfig -q
    Set-ItemProperty -Path HKLM:\SOFTWARE\Policies\Microsoft\Windows\EventLog\EventForwarding\SubscriptionManager -Name 1 -Value "Server=http://collector.domain.com:5985/wsman/SubscriptionManager/WEC"
}

Вы можете настроить подписку, чтобы принудительно отправлять их в нужный конечный статус:

wecutil cs "Remote Registry Audit" /e:true /tn:"Microsoft-Windows-Security-Auditing" /tid:4656,4663,4660 /l:Custom

Если это сервер, для которого вы хотите отправлять логи, вы можете установить nxlog для отправки логов:

# Установка NXLog (пример)
choco install nxlog-ce -y

# Настройка NXLog для пересылки событий Windows в syslog
$nxlogConfig = @"
<Input eventlog>
    Module im_msvistalog
    Query <QueryList><Query Id="0"><Select Path="Security">*[System[(EventID=4656 or EventID=4663 or EventID=4660)]]</Select></Query></QueryList>
</Input>

<Output syslog>
    Module om_udp
    Host syslog.server.com
    Port 514
</Output>

<Route 1>
    Path eventlog => syslog
</Route>
"@

Set-Content -Path "C:\Program Files\nxlog\conf\nxlog.conf" -Value $nxlogConfig

# Перезапуск службы NXLog
Restart-Service nxlog