Windows Event Forwarding: quellinitiierte Subscription, wecutil und die Gruppe EventLog Readers

Ziel

Ereignisprotokolleinträge von Windows von vielen Quellcomputern auf einem Collector sammeln. Dazu dient eine quellinitiierte Subscription: Neue Computer lassen sich per Richtlinie hinzufügen, ohne die Subscription auf dem Collector für jeden einzelnen Computer zu bearbeiten.

Voraussetzungen

Administrativer Zugriff auf den Collector und auf jede Quelle. Für die unten beschriebene Kerberos-basierte Einrichtung müssen sich alle Computer in derselben Active-Directory-Domäne befinden (Quellen ausserhalb der Domäne benötigen eine separate, zertifikatsbasierte Einrichtung). WinRM muss auf dem Collector und auf jeder Quelle konfiguriert sein (winrm qc -q, wie in der Anleitung von Microsoft).

Schritte

1. Auf dem Collector den Windows-Event-Collector-Dienst aktivieren: wecutil qc /q:true (die Option /q:true überspringt die interaktive Bestätigung und ist für unbeaufsichtigte Ausführung nötig).
2. Eine Subscription-XML-Datei für eine quellinitiierte Subscription erstellen: SubscriptionType auf SourceInitiated setzen, einen ConfigurationMode wählen (Normal, Custom, MinLatency oder MinBandwidth), eine Query angeben, die Kanal und Kriterien auswählt, sowie AllowedSourceDomainComputers, einen SDDL-Security-Descriptor, der festlegt, wer Ereignisse weiterleiten darf. Laut der Dokumentation von Microsoft gilt bei leerem Wert der Standard O:NSG:NSD:(A;;GA;;;DC)(A;;GA;;;NS), der allen Domänencomputern (Domain Computers) die Berechtigung erteilt.
3. Die Subscription auf dem Collector anlegen: wecutil cs subscription.xml. Anschliessend zeigt wecutil gs <SubscriptionID> die gespeicherte Konfiguration dieser Subscription an, und wecutil gr <SubscriptionID> (get-subscriptionruntimestatus) zeigt den aktuellen Laufzeitstatus jedes darin enthaltenen Quellcomputers.
4. Die Quellcomputer per Gruppenrichtlinie auf den Collector ausrichten: Computerkonfiguration > Administrative Vorlagen > Windows-Komponenten > Ereignisweiterleitung > "Configure target Subscription Manager", mit einem Wert wie Server=http://<collector FQDN>:5985/wsman/SubscriptionManager/WEC,Refresh=60. Die Richtlinie anwenden und zur Kontrolle auf einer Quelle gpupdate /force ausführen.
5. Für die Weiterleitung speziell des Security-Logs muss laut Dokumentation das Konto NETWORK SERVICE zur Gruppe EventLog Readers hinzugefügt werden. Dies ist auf jedem Quellcomputer nötig, da der Forwarder unter diesem Konto läuft und den Kanal sonst nicht lesen kann. Die neue Gruppenmitgliedschaft wird in der Regel erst wirksam, nachdem die Quelle (oder zumindest deren WinRM-Dienst) neu gestartet wurde.
6. Auf dem Collector landen weitergeleitete Ereignisse standardmässig im Log "ForwardedEvents" (sofern die Subscription kein anderes Ziel-Log angibt). Sie lassen sich mit Get-WinEvent -LogName ForwardedEvents -MaxEvents 20 prüfen.

Erwartetes Ergebnis

wecutil gr <SubscriptionID> zeigt auf dem Collector für jede Quelle einen aktiven Laufzeitstatus. Get-WinEvent -LogName ForwardedEvents liefert aktuelle Ereignisse, die mit dem Namen des ursprünglichen Computers versehen sind.

Grenzen und Prüfbasis

Grundlage ist die Dokumentation von Microsoft Learn zu quellinitiierten Subscriptions, zu wecutil und zum Windows Event Collector. Zum Rückgängigmachen die Subscription löschen (wecutil ds <SubscriptionID>) und das Gruppenrichtlinienobjekt zurücksetzen; die Quellen hören auf weiterzuleiten, sobald die Richtlinie den Collector nicht mehr nennt. Eine Quelle, die nicht in der Gruppe EventLog Readers ist, leitet andere Kanäle normal weiter, lässt Security-Ereignisse aber stillschweigend aus. Fehlen Security-Ereignisse auf dem Collector, zuerst diese Gruppenmitgliedschaft prüfen.