ทำไมฉันถึงได้รับข้อผิดพลาดที่ไม่ได้รับอนุญาตกับ Powershell get-winevent

9

ฉันเป็นผู้ดูแลโดเมนที่เทียบเท่าฉันได้ลองใช้งานในคอนโซลยกระดับ (คลิกขวา> เรียกใช้ในฐานะผู้ดูแลระบบ) และฉันได้รับข้อผิดพลาดอย่างต่อเนื่องขณะดำเนินการ

get-winevent -logname application | where {$_.message -match "Faulting application"} | `
                                    select TimeCreated,message

ฉันจะได้ผลลัพธ์สามบรรทัดจากนั้น

Get-WinEvent : Attempted to perform an unauthorized operation.
At line:1 char:13 Get-WinEvent : Attempted to perform an unauthorized operation.
 + CategoryInfo          : NotSpecified: (:) [Get-WinEvent], UnauthorizedAccessException
 + FullyQualifiedErrorId : Attempted to perform an unauthorized operation.,Microsoft.PowerShell.Commands.GetWinEventCommand

สิ่งนี้ดูเหมือนจะเป็นการพัฒนาใหม่ไม่เคยมีข้อผิดพลาดมาก่อน

มันสอดคล้อง - ถ้าฉันเรียกใช้ด้วย -computername จากเซิร์ฟเวอร์อื่นรูปแบบยังคงเป็น 3 สายตกลงจากนั้นข้อผิดพลาด X จากนั้น 5 สายตกลง ฯลฯ

powershell user-accounts

— user209162
แหล่งที่มา

1

คุณใช้ระบบปฏิบัติการและรุ่นใดของ PowerShell (gwmi Win32_OperatingSystem).VersionและGet-Host

— Chris S

Windows Server 2008 R2 + SP1, Powershell 2.0

— user209162

สิ่งนี้ถูกเรียกใช้จากพรอมต์ PowerShell ที่ยกระดับ

— MDMoore313

จากget-help get-winevent Note: [...] And, it requires the Microsoft .NET Framework 3.5 or a later version.คุณตอบสนองความต้องการนี้หรือไม่?

— Brice

1

ใช่มันมาจากเชลล์ยกระดับ

— user209162

0

มันเกิดขึ้นกับบันทึกเหตุการณ์อื่น ๆ หรือไม่ ตัวอย่างเช่นถ้าคุณเรียกใช้สิ่งต่อไปนี้เพื่อดูเหตุการณ์การเข้าสู่ระบบด้วยรหัสเหตุการณ์เฉพาะ:

Get-WinEvent -FilterHashtable @{logname='security'; id=@(4624,4634,4672,4648)}

หากใช้งานได้อาจมีบางรายการในบันทึกเหตุการณ์ของแอปพลิเคชันที่คุณไม่สามารถเข้าถึงได้ ในกรณีนี้คุณต้องใช้บางอย่างเช่นProcess Monitorเพื่อค้นหาสาเหตุที่การเข้าถึงของคุณถูกปฏิเสธ

คุณอาจได้ผลลัพธ์ที่ดีขึ้นโดยใช้พารามิเตอร์ FilterHashtable เพื่อส่งผ่านเกณฑ์ตัวกรองไปยัง cmdlet Get-WinEvent ดูhttp://ss64.com/ps/get-winevent.htmlเพื่อดูตัวอย่าง

— Greg Bray
แหล่งที่มา

0

ฉันสามารถเรียกใช้สิ่งนี้กับผู้ใช้ที่ไม่ใช่ผู้ดูแลระบบบนระบบล็อค ตรวจสอบสิทธิ์และนโยบายการตรวจสอบของคุณสำหรับบันทึกเหตุการณ์ใน GPO คุณอาจตั้งค่าไว้เพื่อให้ผู้ตรวจสอบเท่านั้นที่สามารถดูบันทึกได้ ขอให้โชคดีในการแก้ไขปัญหาหากเป็นกรณีนี้

— Xalorous
แหล่งที่มา

0

ฉันมีปัญหานี้กับบันทึกความปลอดภัย get-winevent -logname securityไม่มีรายการที่จะได้รับกลับมาจากระยะไกล ผู้ใช้ก็สามารถที่จะเข้าถึงการรักษาความปลอดภัย eventlog eventvwr.mscระยะไกลผ่านทาง

การแก้ไขเป็นแฮ็ค reg - เพิ่มสิทธิ์ในคีย์นี้:

HKLM\System\CurrentControlSet\Services\eventlog\Security

ฉันเพิ่มกลุ่มโฆษณาของผู้ใช้ด้วยการเข้าถึงแบบอ่านและget-wineventทำงานได้อย่างสมบูรณ์หลังจากนั้น

— KERR
แหล่งที่มา