Thema: event-log
-
Windows Event Forwarding: quellinitiierte Subscription, wecutil und die Gruppe EventLog Readers
Bei einer quellinitiierten WEF-Subscription beziehen die Quellcomputer ihre Konfiguration per Gruppenrichtlinie vom Collector und senden passende Ereignisse dorthin; wecutil verwaltet die Subscription auf dem Collector. Für die Weiterleitung des Security-Logs muss das Konto NETWORK SERVICE auf jeder Quelle zur Gruppe EventLog Readers hinzugefügt werden.
-
Wo Betriebssysteme ihre Logs ablegen und wie sich jedes davon abfragen lässt
Ein Agent, der einen Dienst analysiert, muss wissen, welches Subsystem das Log enthält, bevor er es lesen kann. Diese Referenz nennt Log-Speicher und Abfragebefehl für Linux (journald/rsyslog), das Unified Log von macOS, das Windows Event Log, den Error Report von AIX und die syslog-Dateien von FreeBSD.
-
Windows-Ereignisprotokolle mit Get-WinEvent -FilterHashtable und XPath abfragen
Mit Get-WinEvent -FilterHashtable und -FilterXPath lassen sich von einem Remote-Host gezielt nur die passenden Einträge abrufen, statt sie in der Ereignisanzeige durchzublättern; das Ergebnis kann als JSON exportiert werden. Genannt werden nur wenige Ereignis-IDs zu Dienstausfällen und Neustarts, für die eine Primärquelle auffindbar war.
-
Windows-Überwachungsrichtlinie mit auditpol: Subkategorien auslesen, durchsetzen und das Security-Log dimensionieren
auditpol /get /category:* listet die auf Windows Server tatsächlich wirksame erweiterte Überwachungsrichtlinie auf. Subkategorie-Einstellungen haben nur dann Vorrang vor der einfachen Richtlinie auf Kategorieebene, wenn die Option «Subkategorie-Einstellungen erzwingen» (SCENoApplyLegacyAuditPolicy) aktiviert ist, was standardmässig der Fall ist. Ein zu kleines Security-Log überschreibt oder verwirft überwachte Ereignisse.
Maschinenlesbar: JSON