Aktivieren der PowerShell-Skriptblockprotokollierung
Der DWORD-Wert `EnableScriptBlockLogging` mit den Wertdaten `1` aktiviert die computerweite Skriptblockprotokollierung für PowerShell 7.
seit 0.9.8.11
Zweck
Registry-Schlüssel anzeigen (1)
HKLM\Software\Policies\Microsoft\PowerShellCore\ScriptBlockLogging\EnableScriptBlockLogging
Der DWORD-Wert EnableScriptBlockLogging mit den Wertdaten 1 aktiviert die computerweite Skriptblockprotokollierung für PowerShell 7. PowerShell zeichnet den Inhalt der verarbeiteten Befehle, Skriptblöcke, Funktionen und Skripts auf. Dies gilt sowohl für interaktive Eingaben als auch für automatisiert ausgeführten PowerShell-Code.
Die Ereignisse werden unter Windows mit der Ereignis-ID 4104 in das Betriebsprotokoll PowerShellCore/Operational geschrieben. Dadurch lässt sich nachvollziehen, welcher PowerShell-Code in einer Sitzung verarbeitet wurde.
Hinweise
Sicherheit
Die Protokollierung verbessert die Erkennbarkeit und nachträgliche Untersuchung von PowerShell-Aktivitäten, einschließlich ausgeführter Skriptinhalte und dynamisch erzeugter Befehle.
Protokollierte Skriptblöcke können jedoch vertrauliche Angaben enthalten. Werden beispielsweise Anmeldeinformationen, Schlüssel oder andere Geheimnisse unmittelbar in einem Skript oder Befehl verwendet, können sie im Ereignisprotokoll erscheinen. Personen oder Prozesse mit Zugriff auf dieses Protokoll könnten diese Informationen auslesen. Die separate geschützte Ereignisprotokollierung kann von unterstützenden Komponenten geschriebene Ereignisdaten verschlüsseln; dieser Registry-Wert aktiviert diesen Schutz nicht selbst.
Hinweise
Der Pfad unter PowerShellCore gilt für PowerShell 7 und ist vom Richtlinienpfad für Windows PowerShell 5.1 unter Microsoft\Windows\PowerShell zu unterscheiden.
Die Einstellung wirkt auf neu gestartete PowerShell-Sitzungen. Unter Windows muss außerdem der PowerShell-Ereignisanbieter registriert sein, damit PowerShell Ereignisse in das Windows-Ereignisprotokoll schreiben kann.
Der Wert aktiviert nicht die zusätzliche Protokollierung von Start- und Endereignissen einzelner Skriptblockaufrufe. Diese wird durch die separate Einstellung EnableScriptBlockInvocationLogging gesteuert.
Microsoft-Dokumentation
Microsoft Learn: about_Logging_Windows
Microsoft Learn: Informationen zu Gruppenrichtlinieneinstellungen für PowerShell