Los siguientes procedimientos describen cómo utilizar una cuenta que no sea de administrador para WMI.
Pertenencia a grupos, asignaciones de directivas de seguridad y permisos
- Cree una cuenta de usuario de dominio que se utilice en su entorno para la recopilación de registros.
- Cree un grupo de dominio que reciba los derechos que necesita el usuario de recopilación de WMI.
Nota: Asigne permisos siempre a un grupo de dominio, en lugar de directamente a un usuario.
- Coloque el usuario de recopilación de WMI en este grupo recién creado.
- Coloque el grupo de recopilación de WMI recién creado en los siguientes grupos de dominio:
- Lector de registros de eventos
- Usuarios COM distribuidos
- Ejecute uno de los siguientes tres complementos de Microsoft Management Console (MMC):
- El complemento (secpol.msc) Directiva de seguridad local para los servidores miembro.
- El complemento (dompol.msc) Directiva de seguridad de dominio predeterminada, si desea configurar estas opciones para todo el dominio como GPO.
- El complemento (dcpol.msc) configuración de seguridad predeterminada de controlador de dominio, si desea asignar los derechos únicamente en los controladores de dominio.
- Cuando se haya iniciado el complemento, amplíe configuración de seguridad, Directivas locales, asignación de derechos de usuario.
- Asigne al nuevo grupo, como mínimo, los siguientes derechos:
- Actuar como parte del sistema operativo.
- Inicie sesión como trabajo por lotes.
- Inicie sesión como servicio.
- Sustituir un nivel de proceso token.
- En Windows Server 2012 o posterior: Administrar registro de auditoría y de seguridad.
- Cierre la utilidad de configuración de directivas.
Asignaciones de derechos de modelo de objetos componentes distribuido (DCOM)
Siga estos pasos para configurar la seguridad DCOM para el grupo de recopilación de WMI:
- Haga clic en Inicio, herramientas administrativas, servicios de componentes.
- Expanda la raíz de la consola, equipos, mi PC.
- Haga clic con el botón derecho en mi PC y seleccione propiedades.
- En la ventana que aparece, haga clic en la pestaña seguridad com .
- En permisos de acceso, haga clic en Editar límites.
- Confirme que el Grupo usuarios de com distribuido tiene todos los elementos seleccionados en permitir.
- (Opcional) Agregue el Grupo recopilación de WMI a esta lista y asegúrese de que tienen acceso total a permitir .
Nota: Este paso es opcional porque el grupo de recopilación de WMI normalmente ya es miembro de los usuarios de com distribuido.
- Cuando haya revisado la presencia de usuarios de com distribuidos o agregado el Grupo recopilación de WMI, haga clic en Aceptar para guardar los cambios y volver a la pestaña Seguridad com.
- En permisos de inicio y activación, haga clic en Editar límites.
- En la lista de grupos y permisos, confirme que el Grupo usuarios com distribuidos tiene todos los elementos seleccionados en permitir.
- (Opcional) Agregue el Grupo recopilación de WMI y asigne acceso de permiso completo.
Nota: Este paso es opcional porque el grupo de recopilación de WMI normalmente ya es miembro de los usuarios de com distribuido.
- Haga clic en Aceptar y guarde los cambios.
- Cierre la utilidad servicios de componente .
Asignaciones de seguridad de espacio de nombres de WMI
Siga estos pasos para configurar la seguridad del espacio de nombres de WMI de forma que el grupo recopilación de WMI tenga acceso a los objetos de WMI:
- Haga clic en Inicio, Ejecutar, escriba wmimgmt.msc y, a continuación, haga clic en Aceptar.
- Haga clic con el botón derecho en control WMI (local) y haga clic en propiedades.
- Haga clic en la pestaña seguridad .
- Haga clic en seguridad en la parte inferior de la ventana. Esta acción edita la configuración de seguridad del espacio de nombres WMI raíz.
- Haga clic en avanzado y cambie la configuración de seguridad avanzada para este espacio de nombres de WMI.
- Agregue el Grupo recopilación de WMI a la lista y asígnele al menos los siguientes permisos de permiso :
- Métodos de ejecución
- Seleccione cuenta
- Seleccioneción remota
- Seguridad de lectura
Nota: Asegúrese de que estos permisos se aplican a este espacio de nombres y a todos sus espacios de nombres. Seleccione este espacio de nombres y subespacios de nombres en el cuadro desplegable situado encima de la ventana de la lista de permisos.
- Haga clic en Aceptar y guarde los nuevos permisos.
- Vuelva a hacer clic en Aceptar y cierre la configuración de seguridad avanzada.
- Haga clic en Aceptar una tercera vez y salga de las propiedades de seguridad.
Para Windows Server 2012 o posterior, agregue permiso para leer el registro de seguridad:
- Abra el símbolo del sistema con acceso de administrador.
- Para obtener el SID del grupo que está usando para los permisos de SIEM, ejecute el comando: wmic group where name=”yourgroup” get sid
- Para obtener el valor actual channelAccess de los permisos para el registro de seguridad, ejecute el comando: wevtutil gl security
- Con los dos valores anteriores, ejecute el comando: wevutil sl security /ca:[channelAccess value](A;;0x7;;;[SID])
- Compruebe el channelAccess valor para ver si contiene los resultados esperados por comando: wevtutil gl security
- Aplique los cambios mediante la ejecución del comando: gpupdate /force
- Abra regedit y acceda HKLM\SYSTEM\CurrentControlSet\Services\Eventlog\Security a para otorgar a su grupo permisos de lectura para esta clave y todas sus subclaves.
Ejemplo:
C:\Windows\system32>wmic group where name="siem log reader" get sid
SID
S-1-5-21-2714243513-2981656821-964208712-1125
C:\Windows\system32>wevtutil gl security
name: security
enabled: true
type: Admin
owningPublisher:
isolation: Custom
channelAccess: O:BAG:SYD:(A;;0xf0005;;;SY)(A;;0x5;;;BA)(A;;0x1;;;S-1-5-32-573)
logging:
logFileName: %SystemRoot%\System32\Winevt\Logs\security.evtx
retention: false
autoBackup: false
maxSize: 134217728
publishing:
fileMax: 1
C:\Windows\system32>wevtutil sl security /ca:O:BAG:SYD:(A;;0xf0005;;;SY)(A;;0x5;;;BA)(A;;0x1;;;S-1-5-32-573)(A;;0x7;;;S-1-5-21-2714243513-2981656821-964208712-1125)
C:\Windows\system32>wevtutil gl security
name: security
enabled: true
type: Admin
owningPublisher:
isolation: Custom
channelAccess: O:BAG:SYD:(A;;0xf0005;;;SY)(A;;0x5;;;BA)(A;;0x1;;;S-1-5-32-573)(A;;0x7;;;S-1-5-21-2714243513-2981656821-964208712-1125)
logging:
logFileName: %SystemRoot%\System32\Winevt\Logs\security.evtx
retention: false
autoBackup: false
maxSize: 134217728
publishing:
fileMax: 1
Ahora puede utilizar el usuario de recopilación de WMI para recopilar eventos de WMI sin tener que utilizar derechos de administración de dominio.
