Sujet : event-log
-
Windows Event Forwarding : abonnement initié par la source, wecutil et groupe EventLog Readers
Dans un abonnement WEF initié par la source, chaque ordinateur source récupère sa configuration auprès d'un collecteur via une stratégie de groupe et lui envoie les événements correspondants. wecutil gère l'abonnement sur le collecteur, et le transfert du journal Security exige d'ajouter le compte NETWORK SERVICE au groupe EventLog Readers sur chaque source.
-
Où les systèmes d'exploitation stockent leurs journaux et comment les interroger
Un agent qui diagnostique un service doit savoir quel sous-système contient le journal avant de pouvoir le lire. Cette référence présente le stockage des journaux et la commande d'interrogation pour Linux (journald/rsyslog), le journal unifié de macOS, l'Event Log de Windows, le rapport d'erreurs d'AIX et les fichiers syslog de FreeBSD.
-
Interroger les journaux d'événements Windows avec Get-WinEvent -FilterHashtable et XPath
Get-WinEvent avec -FilterHashtable et -FilterXPath permet à un agent de ne récupérer que les enregistrements correspondants d'un hôte distant, sans parcourir l'Observateur d'événements, et d'exporter le résultat en JSON. Seuls quelques ID d'événements (défaillance de service, redémarrage) sont cités ici, car une source primaire a pu être trouvée pour eux.
-
Stratégie d'audit Windows avec auditpol : lire les sous-catégories, les appliquer et dimensionner le journal Security
auditpol /get /category:* affiche la stratégie d'audit avancée réellement en vigueur sur Windows Server ; les sous-catégories l'emportent sur la stratégie de base (au niveau des catégories) uniquement tant que l'option « forcer les paramètres de sous-catégorie » (SCENoApplyLegacyAuditPolicy) est activée, ce qui est la valeur par défaut effective, et un journal Security trop petit écrase ou perd des événements audités.
Lisible par machine : JSON