Protokollierung von PowerShell-Skriptblöcken aktivieren
Diese richtliniengestützten Registry-Werte steuern die Skriptblockprotokollierung von Windows PowerShell.
seit 0.9.8.11
Zweck
Registry-Schlüssel anzeigen (4)
HKLM\Software\Policies\Microsoft\Windows\PowerShell\ScriptBlockLogging\EnableScriptBlockLoggingHKLM\Software\Policies\Microsoft\Windows\PowerShell\ScriptBlockLogging\EnableScriptBlockInvocationLoggingHKCU\Software\Policies\Microsoft\Windows\PowerShell\ScriptBlockLogging\EnableScriptBlockLoggingHKCU\Software\Policies\Microsoft\Windows\PowerShell\ScriptBlockLogging\EnableScriptBlockInvocationLogging
Diese richtliniengestützten Registry-Werte steuern die Skriptblockprotokollierung von Windows PowerShell. Beide Werte haben den Typ REG_DWORD.
EnableScriptBlockLogging mit dem Wert 1 bewirkt, dass Windows PowerShell die Verarbeitung von Befehlen, Skriptblöcken, Funktionen und Skripts protokolliert. Dies gilt sowohl für interaktive Eingaben als auch für automatisierte Aufrufe. Die dabei verarbeiteten Skriptinhalte werden im Ereignisprotokoll Microsoft-Windows-PowerShell/Operational erfasst, insbesondere in Ereignissen mit der ID 4104.
EnableScriptBlockInvocationLogging mit dem Wert 1 erweitert die aktivierte Skriptblockprotokollierung um Ereignisse zum Start und Ende von Befehls-, Skriptblock-, Funktions- und Skriptaufrufen. Der Wert steuert damit zusätzliche Aufrufereignisse und ersetzt nicht EnableScriptBlockLogging.
Hinweise
Sicherheit
Die protokollierten Skriptinhalte unterstützen die Erkennung und nachträgliche Untersuchung von PowerShell-Aktivitäten. Die Einstellung blockiert jedoch keine Befehle oder Skripts und ändert weder die PowerShell-Ausführungsrichtlinie noch die Berechtigungen eines Prozesses oder Benutzers.
Skriptblöcke können vertrauliche Daten enthalten. Dazu gehören beispielsweise Anmeldeinformationen, Zugriffstoken oder andere Geheimnisse, die unmittelbar in Befehlen oder Skripts verwendet werden. Solche Inhalte können in das Ereignisprotokoll gelangen und bei unzureichend geschützten Protokollen von unbefugten Personen ausgelesen werden. Microsoft sieht für schutzbedürftige Protokollinhalte die gesonderte Funktion „Geschützte Ereignisprotokollierung“ vor; sie wird durch die hier beschriebenen Werte nicht automatisch aktiviert.
Mögliche Nebenwirkungen
Die Skriptblockprotokollierung erhöht das Ereignisaufkommen entsprechend der PowerShell-Aktivität. Die zusätzliche Aufrufprotokollierung kann besonders große Mengen an Start- und Endereignissen erzeugen und dadurch den Speicher- und Verarbeitungsbedarf lokaler oder zentral gesammelter Ereignisprotokolle deutlich erhöhen.
Hinweise
Die Einstellung ist für Computer- und Benutzerkonfiguration vorhanden. Werte unter HKLM entsprechen der Computerkonfiguration und haben Vorrang vor den entsprechenden Werten unter HKCU.
Nach einer Änderung protokollieren neu gestartete PowerShell-Sitzungen gemäß der wirksamen Einstellung.
Der angegebene Registry-Pfad gehört zu Windows PowerShell. PowerShell 7 verwendet eigene Richtlinien unter Software\Policies\Microsoft\PowerShellCore. Eine unmittelbare Wirkung der hier beschriebenen Werte auf PowerShell 7 darf daher nicht ohne Berücksichtigung dessen eigener Richtlinien- und Kompatibilitätseinstellungen vorausgesetzt werden.
Microsoft-Dokumentation
Microsoft Learn: WindowsPowerShell-Richtlinien-CSP
Microsoft Learn: about_Logging – Windows PowerShell 5.1
Microsoft Learn: Informationen zu Gruppenrichtlinieneinstellungen