編集履歴

質問編集履歴

Windows8.1からノートPCのWindows10であっても7は設定されていた

2021/04/23 22:53

投稿

xail2222

スコア1508

test CHANGED Viewed

File without changes

test CHANGED Viewed

@@ -336,10 +336,14 @@
-という所なのですが、今PCとVM間でリモートデスクトップへの接続でのログを確認していると
+という所なのですが、今PC(Windows8.1)とVM間でリモートデスクトップへの接続でのログを確認していると
 ログオンタイプ:10がない。代わりにログインタイプ:3と7でソース ネットワーク アドレスが設定されていました。
+デスクトップのWindows8.1からノートPCのWindows10であっても7は設定されていました。
+VMと言うより、windows8.1の特徴なのでしょうか。
 [Windowsのログオン成功イベントを監査【連載：ここに注目！セキュリティログをご紹介】](https://blogs.manageengine.jp/needs_of_auditing_4624/)
@@ -356,13 +360,9 @@
 【残っている問題】
-・（機能確認のテストとして）VMにリモートデスクトップ接続した場合、ログオンタイプ:10がない
+・windows8.1からリモートデスクトップ接続した場合、ログオンタイプ:10がない
-→接続はすべて出力していいのでは。という観点で
-　ログオンタイプとIP,マシン名を全て表示する運用にすればよいと判断しました。
-ただ、どうしてログインタイプ:10がないのか。という理由があれば情報をお待ちしております。
+どうしてログインタイプ:10がないのか。という情報があればお待ちしております。
 ・VBSでは、messageの内容文字コードが違う？のか理由はわかりませんが、内容を上記コードで解析できない。

記述にゴミがあったので削除

2021/04/23 22:53

投稿

xail2222

スコア1508

test CHANGED Viewed

File without changes

test CHANGED Viewed

@@ -358,7 +358,7 @@
 ・（機能確認のテストとして）VMにリモートデスクトップ接続した場合、ログオンタイプ:10がない
-→接続ℋはすべて出力していいのでは。という観点で
+→接続はすべて出力していいのでは。という観点で
 　ログオンタイプとIP,マシン名を全て表示する運用にすればよいと判断しました。

お待ちしている情報は…

2021/04/22 14:53

投稿

xail2222

スコア1508

test CHANGED Viewed

File without changes

test CHANGED Viewed

@@ -358,8 +358,16 @@
 ・（機能確認のテストとして）VMにリモートデスクトップ接続した場合、ログオンタイプ:10がない
+→接続ℋはすべて出力していいのでは。という観点で
+　ログオンタイプとIP,マシン名を全て表示する運用にすればよいと判断しました。
+ただ、どうしてログインタイプ:10がないのか。という理由があれば情報をお待ちしております。
 ・VBSでは、messageの内容文字コードが違う？のか理由はわかりませんが、内容を上記コードで解析できない。
+こちらは謎です。情報あればお待ちしております。
 ### 補足情報（FW/ツールのバージョンなど）

残ってる問題点を整理

2021/04/22 14:52

投稿

xail2222

スコア1508

test CHANGED Viewed

File without changes

test CHANGED Viewed

@@ -318,21 +318,47 @@
 ```
-とすることで、セキュリティログはみれました
+とすることで、セキュリティログは取得できました。
+ただ、上述のコードでは「ソース ネットワーク アドレス」が
-VBA、.netで実行するときちんと取れるのだけど、vbsだと取れない。
+VBA、vb.netで実行するときちんと取れるのだけど、vbsだと取れないです。
-そして端末によってセキュリティログが取得出来る所と出来ない所がある。
+また、端末によってセキュリティログが取得出来る所と出来ない所がありました。
-違いは、UACを完全に無効にしてるか否かでした。
+この端末によってというのは、UACを完全に無効にしてるか否かでした。
-また管理者として実行すればUACを完全に無効にしなくても取得出来ました。
+そして管理者として実行すればUACを完全に無効にしなくても取得出来ました。
+という所なのですが、今PCとVM間でリモートデスクトップへの接続でのログを確認していると
+ログオンタイプ:10がない。代わりにログインタイプ:3と7でソース ネットワーク アドレスが設定されていました。
+[Windowsのログオン成功イベントを監査【連載：ここに注目！セキュリティログをご紹介】](https://blogs.manageengine.jp/needs_of_auditing_4624/)
+ログを出力する設定は
+ローカルセキュリティ ポリシー＞ローカルポリシー＞監査ポリシー＞アカウント ログオン イベントの監査
-こっちなら許容です
+で設定しています。
+【残っている問題】
+・（機能確認のテストとして）VMにリモートデスクトップ接続した場合、ログオンタイプ:10がない
+・VBSでは、messageの内容文字コードが違う？のか理由はわかりませんが、内容を上記コードで解析できない。

2021/04/22 14:40

投稿

xail2222

スコア1508

test CHANGED Viewed

File without changes

test CHANGED Viewed

@@ -320,7 +320,7 @@
 とすることで、セキュリティログはみれました
-VBAで実行するときちんと取れるのだけど、vbsだと取れない。
+VBA、.netで実行するときちんと取れるのだけど、vbsだと取れない。
 そして端末によってセキュリティログが取得出来る所と出来ない所がある。
@@ -330,7 +330,9 @@
+また管理者として実行すればUACを完全に無効にしなくても取得出来ました。
-こんな事しないと取得出来ないの？
+こっちなら許容です

2021/04/22 07:30

投稿

xail2222

スコア1508

test CHANGED Viewed

File without changes

test CHANGED Viewed

@@ -324,7 +324,13 @@
 そして端末によってセキュリティログが取得出来る所と出来ない所がある。
+違いは、UACを完全に無効にしてるか否かでした。
-どういうこと？
+こんな事しないと取得出来ないの？

2021/04/22 07:09

投稿

xail2222

スコア1508

test CHANGED Viewed

File without changes

test CHANGED Viewed

@@ -320,9 +320,11 @@
 とすることで、セキュリティログはみれました
-VBAで実行するときちんと取れるのだけど、vbsだと取れない。なんで？
+VBAで実行するときちんと取れるのだけど、vbsだと取れない。
+そして端末によってセキュリティログが取得出来る所と出来ない所がある。
+どういうこと？

2021/04/22 06:16

投稿

xail2222

スコア1508

test CHANGED Viewed

File without changes

test CHANGED Viewed

@@ -168,23 +168,159 @@
 ```vbs
+Dim Locator 'As WbemScripting.SWbemLocator
+Dim Service 'As WbemScripting.SWbemServices
+Dim MesStr
+Dim EveSet 'As WbemScripting.SWbemObjectSet
+Dim Eve 'As WbemScripting.SWbemObject
+Dim Eveex 'As WbemScripting.SWbemObjectEx
+Const CONVERT_TO_LOCAL_TIME = True
+Dim tNow
+tNow = Now
+Dim dtmStartDate
+Dim dtmEndDate
+Set dtmStartDate = CreateObject("WbemScripting.SWbemDateTime")
+Set dtmEndDate = CreateObject("WbemScripting.SWbemDateTime")
+dtmStartDate.SetVarDate Left(tNow, 10), CONVERT_TO_LOCAL_TIME
+dtmEndDate.SetVarDate Left(tNow + 1, 10), CONVERT_TO_LOCAL_TIME
+Dim tRegExp1 'As RegExp
+Set tRegExp1 = CreateObject("VBScript.RegExp")
+Dim tRegExp2 'As RegExp
+Set tRegExp2 = CreateObject("VBScript.RegExp")
+tRegExp1.Global = True
+tRegExp1.Pattern = "ログオン タイプ:\s*10\r"
+tRegExp2.Global = True
+tRegExp2.Pattern = "ソース ネットワーク アドレス:\s*(.*)\r"
-strComputer="."
+strComputer = "."
-Set Service = GetObject("winmgmts:" _
+Set oService = GetObject("winmgmts:" _
     & "{(Security)}!\" & strComputer & "\root\cimv2")
+Set EveSet = oService.ExecQuery("Select * From Win32_NTLogEvent Where Logfile='Security'" & _
+    " And TimeWritten >= '" & dtmStartDate & "' and TimeWritten < '" & dtmEndDate & "'")
+Dim tempDate
+Set tempDate = CreateObject("WbemScripting.SWbemDateTime")
+Dim tDate
+Dim tResult 'As VBScript_RegExp_55.MatchCollection
+Dim tMatch 'As VBScript_RegExp_55.Match
+For Each Eve In EveSet
+    If Eve.EventCode = 4624 Then
+        If tRegExp1.test(Eve.Message) Then
+            tempDate.Value = Eve.TimeWritten
+            tDate = tempDate.GetVarDate(True)
+            Set tResult = tRegExp2.Execute(Eve.Message)
+            Set tMatch = tResult.Item(0)
+            MesStr = MesStr & tMatch.SubMatches(0) & ":" & tDate & vbCrLf
+        End If
+    End If
+Next
+Dim outStream
+Set outStream = CreateObject("ADODB.Stream")
+outStream.Type = 2
+outStream.Charset = "UTF-8" '出力ファイルの文字コード設定
+outStream.Open
+outStream.WriteText MesStr, 1
+outStream.SaveToFile "C:\work\log.txt", 2
+outStream.Close
+Set outStream = Nothing
+Set EveSet = Nothing
+Set Eve = Nothing
+Set oLocator = Nothing
+Set oService = Nothing
 ```
 とすることで、セキュリティログはみれました
-後はソースネットワークアドレスを取得する方法が問題だと思います
+VBAで実行するときちんと取れるのだけど、vbsだと取れない。なんで？
-あれ？eventcode:6424で、ログオンタイプ:10、ソースネットワークアドレスで、取得できそうな感じがしてきた

2021/04/22 05:26

投稿

xail2222

スコア1508

test CHANGED Viewed

File without changes

test CHANGED Viewed

@@ -184,6 +184,12 @@
+あれ？eventcode:6424で、ログオンタイプ:10、ソースネットワークアドレスで、取得できそうな感じがしてきた
 ### 補足情報（FW/ツールのバージョンなど）

2021/04/22 04:22

投稿

xail2222

スコア1508

test CHANGED Viewed

File without changes

test CHANGED Viewed

@@ -164,6 +164,26 @@
+(追記20210422)
+```vbs
+strComputer="."
+Set Service = GetObject("winmgmts:" _
+    & "{(Security)}!\" & strComputer & "\root\cimv2")
+```
+とすることで、セキュリティログはみれました
+後はソースネットワークアドレスを取得する方法が問題だと思います
 ### 補足情報（FW/ツールのバージョンなど）