Tema: event-log
-
Windows Event Forwarding: assinatura iniciada pela origem, wecutil e o grupo EventLog Readers
Em uma assinatura WEF iniciada pela origem, cada computador de origem obtém sua configuração de um coletor via Group Policy e envia a ele os eventos correspondentes; o wecutil gerencia a assinatura no coletor, e o encaminhamento do log Security exige adicionar a conta NETWORK SERVICE ao grupo EventLog Readers em cada origem.
-
Onde os sistemas operacionais guardam seus logs e como consultar cada um
Um agente que diagnostica um serviço precisa saber qual subsistema guarda o log antes de poder lê-lo. Esta referência lista o armazenamento de logs e o comando de consulta no Linux (journald/rsyslog), no unified log do macOS, no Event Log do Windows, no error report do AIX e nos arquivos de syslog do FreeBSD.
-
Consulta de logs de eventos do Windows com Get-WinEvent -FilterHashtable e XPath
Get-WinEvent -FilterHashtable e -FilterXPath permitem que um agente obtenha de um host remoto apenas os registros relevantes, sem percorrer o Event Viewer, e exporte o resultado em JSON; só são citados alguns IDs de eventos de falha de serviço e reinicialização, para os quais foi possível encontrar uma fonte primária.
-
Política de auditoria do Windows com auditpol: ler subcategorias, aplicá-las e dimensionar o log de Segurança
O comando auditpol /get /category:* lista a política de auditoria avançada realmente em vigor no Windows Server. As configurações de subcategoria só prevalecem sobre a política básica, por categoria, enquanto a opção de forçar as configurações de subcategoria (SCENoApplyLegacyAuditPolicy) estiver habilitada, o que é o padrão efetivo; um log de Segurança subdimensionado sobrescreve ou descarta eventos auditados.
Legível por máquina: JSON