如何为Windows Event Log授予仅写入权限？限制读取权限及SDDL Strings问题

当然可以实现Windows Event Log的仅写入权限！虽然图形界面里只给了只读和完全控制两个选项，但通过自定义SDDL（安全描述符定义语言）就能精准拿捏权限粒度。下面我会一步步带你搞定，还帮你解决SDDL难写的痛点。

一、先搞懂Event Log的权限逻辑 #

Windows Event Log的权限是靠安全描述符管控的，GUI里的选项只是简化版的常用配置。我们的目标是给指定用户/组分配仅写入权限——也就是只允许EventLogWrite权限，同时移除或拒绝所有读取相关的权限（比如EventLogRead、EventLogClear这些）。

二、用工具生成基础SDDL（别手动写，容易翻车） #

手动拼SDDL字符串简直是自找麻烦，推荐用工具来生成基础框架，再做修改：

方法1：用内置wevtutil导出现有配置 #

先把目标日志的当前安全设置导出来，比如要改系统日志：

wevtutil gl System /ca:sd

执行后会输出当前的SDDL字符串，我们就在这个基础上调整，比从零开始写靠谱多了。

方法2：用可视化编辑器生成SDDL #

如果你更习惯图形界面，可以用Windows SDK里的sdedit.exe，或者第三方的安全描述符编辑器。这类工具能让你可视化选择权限、添加用户，直接生成对应的SDDL，完全不用记那些复杂的语法。

三、修改SDDL实现仅写入权限 #

拿到基础SDDL后，我们要给目标主体（比如某个用户）添加仅写入的权限项，同时确保它没有读取权限：

1. 先获取目标用户的SID：打开管理员命令行，输入whoami /user就能看到当前用户的SID，或者用wmic useraccount where name='用户名' get sid查询其他用户。
2. 找到导出的SDDL里的权限条目部分，比如原SDDL可能有这样的条目：(A;;0x1;;;BA)，其中0x1对应EventLogRead，0x2对应EventLogWrite。
3. 添加一条针对目标用户的权限：(A;;0x2;;;用户SID)，比如(A;;0x2;;;S-1-5-21-123456789-1234567890-1234567890-1001)。
4. 检查SDDL里有没有给该用户分配读取权限的条目，如果有，直接删掉就行。

四、应用修改后的SDDL #

用wevtutil把新的SDDL应用到目标日志，比如修改系统日志：

wevtutil sl System /ca:"你的修改后的SDDL字符串"

注意命令要以管理员身份运行，不然会提示权限不足。

五、验证权限是否生效 #

别光改完就完事，一定要验证：

1. 切换到目标用户账号，尝试写入日志：用eventcreate /t INFORMATION /id 1 /l System /d "测试写入"，如果成功说明写入权限没问题。
2. 尝试读取日志：输入wevtutil qe System /c:1，如果提示“无法打开日志”或者权限不足，说明读取权限已经被限制，完美达到仅写入的效果。

几个要注意的坑 #

• 改权限前一定要备份原SDDL，万一改崩了还能还原回去。
• 不同日志（比如Application、自定义日志）的默认SDDL可能不一样，别直接复制粘贴其他日志的配置。
• 权限值对应：0x1=读取，0x2=写入，0x4=清除，组合的话比如0x3就是读写权限。

内容的提问来源于stack exchange，提问作者vee