O log de segurança agora está cheio (Event ID 1104)

No Visualizador de eventos, os erros registrados são comuns e você encontrará diferentes erros com diferentes IDs de evento. Os eventos que são registrados nos logs de segurança geralmente serão da palavra-chave Audit Success ou Audit Failure. Nesta postagem, discutiremos O log de segurança agora está cheio (Event ID 1104), incluindo por que esse evento é acionado e as ações que você pode executar nessa situação, seja em uma máquina cliente ou servidor.

Como indica a descrição do evento, esse evento é gerado toda vez que o log de segurança do Windows fica cheio. Por exemplo, se o tamanho máximo do arquivo de log de eventos de segurança for atingido e o método de retenção do log de eventos for Não substituir eventos (limpar logs manualmente), conforme descrito nesta documentação da Microsoft . A seguir estão as opções nas configurações do log de eventos de segurança:

• Sobrescrever eventos conforme necessário (eventos mais antigos primeiro) – Esta é a configuração padrão. Quando o tamanho máximo do log for atingido, os itens mais antigos serão excluídos para dar lugar a novos itens.
• Arquivar o log quando cheio, não sobrescrever eventos – Se você selecionar esta opção, o Windows salvará automaticamente o log quando o tamanho máximo do log for atingido e criará um novo. O log será arquivado onde quer que o log de segurança esteja sendo armazenado. Por padrão, ele estará no seguinte local: %SystemRoot%\SYSTEM32\WINEVT\LOGS. Você pode exibir as propriedades do Visualizador de eventos de login para determinar o local exato.
• Não sobrescrever eventos (limpar logs manualmente) – Se você selecionar esta opção e o log de eventos atingir o tamanho máximo, nenhum outro evento será gravado até que o log seja limpo manualmente.

Para verificar ou modificar suas configurações de log de eventos de segurança, a primeira coisa que você pode querer alterar seria o Tamanho máximo do log (KB) – o tamanho máximo do arquivo de log é 20 MB (20480 KB). Além disso, decida sobre sua política de retenção conforme descrito acima.

O log de segurança agora está cheio (Event ID 1104)

Quando o limite superior do tamanho do arquivo de eventos de log de segurança for atingido e não houver espaço para registrar mais eventos, a ID de evento 1104: O log de segurança agora está cheio será registrada indicando que o arquivo de log está cheio e você precisa execute qualquer uma das seguintes ações imediatas.

1. Habilitar a substituição de log no Visualizador de Eventos
2. Arquivar o log de eventos de segurança do Windows
3. Limpar manualmente o registro de segurança

Vamos ver essas ações recomendadas em detalhes.

1] Habilitar a substituição de log no Visualizador de Eventos

Por padrão, o log de segurança é configurado para substituir eventos conforme necessário. Ao ativar a opção de substituição de logs, isso permitirá que o Visualizador de eventos substitua os logs antigos, evitando que a memória fique cheia. Portanto, você precisa garantir que essa opção esteja ativada seguindo estas etapas:

• Pressione a tecla Windows + R para invocar a caixa de diálogo Executar.
• Na caixa de diálogo Executar, digite eventvwr e pressione Enter para abrir o Visualizador de eventos.
• Expanda Logs do Windows .
• Clique em Segurança .
• No painel direito, no menu Ações , selecione Propriedades . Como alternativa, clique com o botão direito do mouse no log de segurança no painel de navegação esquerdo e selecione Propriedades .
• Agora, na seção Quando o tamanho máximo do log de eventos for atingido , selecione o botão de opção da opção Substituir eventos conforme necessário (eventos mais antigos primeiro).
• Clique em Aplicar > OK .

2] Arquive o log de eventos de segurança do Windows

Em um ambiente preocupado com a segurança (especialmente em uma empresa/organização), pode ser necessário ou obrigatório arquivar o log de eventos de segurança do Windows. Isso pode ser feito por meio do Visualizador de eventos, conforme mostrado acima, selecionando a opção Arquivar o log quando cheio, não sobrescrever eventos ou criando e executando um script do PowerShell usando o código abaixo. O script do PowerShell verificará o tamanho do log de eventos de segurança e o arquivará, se necessário. As etapas executadas pelo script são as seguintes:

• Se o log de eventos de segurança estiver abaixo de 250 MB, um evento informativo será gravado no log de eventos do aplicativo
• Se o log tiver mais de 250 MB
  • O log é arquivado em D:\Logs\OS.
  • Se a operação de arquivamento falhar, um evento de erro será gravado no log de eventos do aplicativo e um e-mail será enviado.
  • Se a operação de arquivamento for bem-sucedida, um evento informativo será gravado no log de eventos do aplicativo e um e-mail será enviado.

Antes de utilizar o script em seu ambiente, configure as seguintes variáveis:

• $ArchiveSize – Defina o limite de tamanho de log desejado (MB)
• $ArchiveFolder – Defina para um caminho existente onde você deseja que os arquivos de log sejam arquivados
• $mailMsgServer – Defina como um servidor SMTP válido
• $mailMsgFrom – Defina como um endereço de e-mail DE válido
• $MailMsgTo – Defina como um endereço de e-mail TO válido

# Set the archive location
$ArchiveFolder = "D:\Logs\OS"


# How big can the security event log get in MB before we automatically archive?
$ArchiveSize = 250

# Archive the security log if over the limit
If ($SizeCurrentMB -gt $ArchiveSize) {
$ArchiveFile = $ArchiveFolder + "\Security-"+ (Get-Date -Format "[email protected]") + ".evt"
$EventMessage = "The security event log size is currently "+ $SizeCurrentMB + "MB. The maximum allowable size is "+ $SizeMaximumMB + "MB. The security event log size has exceeded the threshold of $ArchiveSize MB."
$Results = ($Log.BackupEventlog($ArchiveFile)).ReturnValue
If ($Results -eq 0) {
# Successful backup of security event log
$Results = ($Log.ClearEventlog()).ReturnValue
$EventMessage += "The security event log was successfully archived to $ArchiveFile and cleared."
Write-Host $EventMessage
Write-EventLog -LogName Application -Source $eventName -EventId 11 -EntryType Information -Message $eventMessage -Category 0
$mailMsgBody = $EventMessage
Send-MailMessage -From $mailMsgFrom -to $MailMsgTo -subject $mailMsgSubject -Body $mailMsgBody -SmtpServer $mailMsgServer
}
Else {
$EventMessage += "The security event log could not be archived to $ArchiveFile and was not cleared. Review and resolve security event log issues on $sysName ASAP!"
Write-Host $EventMessage
Write-EventLog -LogName Application -Source $eventName -EventId 11 -EntryType Error -Message $eventMessage -Category 0
$mailMsgBody = $EventMessage
Send-MailMessage -From $mailMsgFrom -to $MailMsgTo -subject $mailMsgSubject -Body $mailMsgBody -SmtpServer $mailMsgServer
}
}
Else {
# Write an informational event to the application event log
$EventMessage = "The security event log size is currently "+ $SizeCurrentMB + "MB. The maximum allowable size is "+ $SizeMaximumMB + "MB. The security event log size is below the threshold of $ArchiveSize MB so no action was taken."
Write-Host $EventMessage
Write-EventLog -LogName Application -Source $eventName -EventId 11 -EntryType Information -Message $eventMessage -Category 0
}
# Close the log
$Log.Dispose()

Se desejar, você pode usar um arquivo XML para configurar o script para ser executado a cada hora. Para isso, salve o código a seguir em um arquivo XML e importe-o para o Agendador de Tarefas. Certifique-se de alterar a seção <Arguments> para o nome da pasta/arquivo onde você salvou o script.

<?xml version="1.0"encoding="UTF-16"?>
<Task version="1.3"xmlns="http://schemas.microsoft.com/windows/2004/02/mit/task">
<RegistrationInfo>
<Date>2017-01-18T16:41:30.9576112</Date>
<Description>Monitor security event log. Archive and clear log if threshold is met.</Description>
</RegistrationInfo>
<Triggers>
<CalendarTrigger>
<Repetition>
<Interval>PT2H</Interval>
<StopAtDurationEnd>false</StopAtDurationEnd>
</Repetition>
<StartBoundary>2017-01-18T00:00:00</StartBoundary>
<ExecutionTimeLimit>PT30M</ExecutionTimeLimit>
<Enabled>true</Enabled>
<ScheduleByDay>
<DaysInterval>1</DaysInterval>
</ScheduleByDay>
</CalendarTrigger>
</Triggers>
<Principals>
<Principal id="Author">
<UserId>S-1-5-18</UserId>
<RunLevel>HighestAvailable</RunLevel>
</Principal>
</Principals>
<Settings>
<MultipleInstancesPolicy>IgnoreNew</MultipleInstancesPolicy>
<DisallowStartIfOnBatteries>true</DisallowStartIfOnBatteries>
<StopIfGoingOnBatteries>true</StopIfGoingOnBatteries>
<AllowHardTerminate>true</AllowHardTerminate>
<StartWhenAvailable>false</StartWhenAvailable>
<RunOnlyIfNetworkAvailable>false</RunOnlyIfNetworkAvailable>
<IdleSettings>
<StopOnIdleEnd>true</StopOnIdleEnd>
<RestartOnIdle>false</RestartOnIdle>
</IdleSettings>
<AllowStartOnDemand>true</AllowStartOnDemand>
<Enabled>true</Enabled>
<Hidden>false</Hidden>
<RunOnlyIfIdle>false</RunOnlyIfIdle>
<DisallowStartOnRemoteAppSession>false</DisallowStartOnRemoteAppSession>
<UseUnifiedSchedulingEngine>false</UseUnifiedSchedulingEngine>
<WakeToRun>false</WakeToRun>
<ExecutionTimeLimit>P3D</ExecutionTimeLimit>
<Priority>7</Priority>
</Settings>
<Actions Context="Author">
<Exec>
<Command>C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe</Command>
<Arguments>c:\scripts\PS\MonitorSecurityLog.ps1</Arguments>
</Exec>
</Actions>
</Task>

Depois de habilitar ou configurar o arquivamento dos logs, os logs mais antigos serão salvos e não serão substituídos pelos logs mais recentes. A partir de agora, o Windows arquivará o log quando o tamanho máximo do log for atingido e o salvará no diretório (se não for o padrão) que você especificou. O arquivo arquivado será nomeado no formato Archive-<Section>-<Date/Time>, por exemplo, Archive-Security-2023-02-14-18-05-34. O arquivo arquivado agora pode ser usado para rastrear eventos mais antigos.

3] Limpe manualmente o registro de segurança

Se você definiu a política de retenção como Não substituir eventos (Limpar logs manualmente), será necessário limpar manualmente o log de segurança usando qualquer um dos métodos a seguir.

• Visualizador de eventos
• Utilitário WEVTUTIL.exe
• arquivo em lote

É isso!

Qual ID de evento é detectado por malware?

O ID de log de eventos de segurança do Windows 4688 indica que o malware foi detectado no sistema. Por exemplo, se houver malware presente em seu sistema Windows, pesquisar o evento 4688 revelará quaisquer processos executados por esse programa mal-intencionado. Com essas informações, você pode executar uma verificação rápida, agendar uma verificação do Windows Defender ou executar uma verificação offline do Defender.

Qual é o ID de segurança para o evento de logon?

No Visualizador de eventos, a ID de evento 4624 será registrada em todas as tentativas bem-sucedidas de logon em um computador local. Este evento é gerado no computador que foi acessado, ou seja, onde foi criada a sessão de logon. O evento Tipo de logon 11: CachedInteractive indica um usuário conectado a um computador com credenciais de rede que foram armazenadas localmente no computador. O controlador de domínio não foi contatado para verificar as credenciais.