Logboekregistratie inschakelen

Hoi Noah,

Om te controleren dat je PowerShell-auditbeleid werkt, moet je opdrachten uitvoeren die de loggingmechanismen per auditcategorie expliciet activeren. Voor modulelogging kun je eenvoudig een module importeren of gebruiken, bijvoorbeeld Import-Module ActiveDirectory; je zou dan vermeldingen moeten zien onder Event ID 4103 in het Microsoft-Windows-PowerShell/Operational-logboek. Voor script block logging kun je een script uitvoeren met meerdere opdrachten of een eenvoudige inline-opdracht zoals Invoke-Expression "Get-Process | Where-Object { $_.CPU -gt 100 }"; dit genereert Event ID 4104 met de geparseerde scriptblokken. Voor transcriptie start je een nieuwe PowerShell-sessie en voer je een willekeurige opdracht uit, bijvoorbeeld Get-Service; dit maakt transcriptiebestanden aan in het pad dat je via Group Policy hebt ingesteld. Het bekijken van deze logboeken in Event Viewer onder Applications and Services Logs → Microsoft → Windows → PowerShell → Operational bevestigt dat auditing de activiteit zoals verwacht vastlegt. Ik hoop dat je hier iets nuttigs aan hebt. Als dit helpt om je probleem op te lossen, accepteer dan het antwoord zodat ik weet dat het is afgerond.

Harry.

Bedankt voor je reactie. De genoemde voorbeelden zijn een goed begin, maar voor volledige verificatie van PowerShell-auditing moeten alle drie de auditcategorieën (module logging, script block logging en transcriptie) elk met specifieke acties worden getriggerd. Hieronder de opdrachten die gegarandeerd de juiste event-ID’s activeren:

1. Module Logging (Event ID 4103)

Voer opdrachten uit die modules laden of cmdlets uit verschillende modules gebruiken, bijvoorbeeld:

Import-Module ActiveDirectory

Get-ADUser -Filter *

Dit genereert 4103-events met gedetailleerde module- en cmdletinformatie.

2. Script Block Logging (Event ID 4104)

Voer opdrachten uit die scriptblokken bevatten, zoals:

Get-Process | Where-Object { $_.CPU -gt 100 }

Of een expliciet scriptblock:

Invoke-Command { Get-Service }

Dit triggert 4104-events met de geparseerde scriptblokken.

3. PowerShell Transcriptie

Start een nieuwe PowerShell-sessie en voer willekeurige opdrachten uit, bijvoorbeeld:

Get-Service

Get-ChildItem C:\

Hiermee worden transcriptiebestanden aangemaakt in het pad dat via Group Policy is ingesteld.

Door deze acties uit te voeren kun je per auditcategorie bevestigen dat de logging werkt zoals bedoeld. De relevante logboeken staan onder:

Event Viewer → Applications and Services Logs → Microsoft → Windows → PowerShell → Operational.