Aktivieren/Deaktivieren der CLFS-Logfile-Authentifizierung

Diese Richtlinieneinstellung konfiguriert die CLFS-Protokolldateiauthentifizierung, ein Sicherheitsfeature, mit dem die Protokolldateianalyse verstärkt werden soll.

Die Protokolldateiauthentifizierung bietet dem CLFS-Treiber die Möglichkeit, schädliche Änderungen an Protokolldateien zu erkennen. Wenn Änderungen erkannt werden, betrachtet CLFS die Protokolldatei als unsicher für die Analyse und gibt einen Fehler an den Aufrufer zurück. CLFS kann Änderungen erkennen, indem Authentifizierungscodes in Protokolldateien geschrieben werden, die Dateidaten mit einem für das System eindeutigen kryptografischen Schlüssel kombinieren.

Ein Nebeneffekt der Protokolldateiauthentifizierung besteht darin, dass CLFS Protokolldateien, die auf anderen Systemen erstellt wurden, nicht öffnen kann, da diese Protokolldateien Authentifizierungscodes enthalten, die mit einem für das System eindeutigen kryptografischen Schlüssel erstellt wurden. Um eine Protokolldatei zu öffnen, die auf einem anderen System erstellt wurde, muss eine administrierende Person zuerst den Befehl „fsutil.exe clfs authenticate“ verwenden, um die Authentifizierungscodes zu korrigieren.

Wenn Sie diese Einstellung aktivieren oder nicht konfigurieren, bestimmt CLFS anhand der lokalen Registrierungseinstellungen, ob die Protokolldateiauthentifizierung erfolgen soll oder nicht. Standardmäßig führt CLFS eine Protokolldateiauthentifizierung durch. Die lokalen Registrierungseinstellungen für dieses Feature befinden sich unter „HKLM:\SYSTEM\CurrentControlSet\Services\CLFS\Authentication“.

Wenn Sie diese Einstellung deaktivieren, führt CLFS keine Protokolldateiauthentifizierung mehr aus. Protokolldateien können ohne Aktion einer administrierenden Person systemübergreifend verschoben und geöffnet werden. Das Bedeutet jedoch, dass CLFS alle Protokolldateien, einschließlich schädlicher Protokolldateien, die das System gefährden können, öffnet und analysiert.