Прежде всего, из-за требований к защите уровня безопасности корпоративной сети и необходимости проведения работ по обеспечению безопасности и обслуживанию персонал по эксплуатации и техническому обслуживанию системы безопасности предприятия должен понимать события безопасности каждой бизнес-системы на предприятии, чтобы обнаруживать и обрабатывать инциденты безопасности. своевременно. В настоящее время определенная часть бизнеса на предприятиях по-прежнему работает на операционной системе Windows Server, поэтому понимание журналов событий Windows очень важно для персонала, занимающегося безопасностью и обслуживанием предприятия.

Windows Журнал событий есть Windows Место, где записываются события безопасности системы и информация об ошибках, что может помочь вам выявить и решить различные проблемы, такие как аудит сертификации безопасности, сбои приложений, системные ошибки и т. д. Кроме того, из-за требований к аудиту безопасности класса конфигурация необходимый Windows событиефункция аудита,И пока событиебревно хранится на локальном сервере,Его также необходимо загрузить в корпоративный центр.бревнона сервере（Rsyslog、Локи (стек технологий PLG)、Elasticsearch (стек технологий ELK)）,Более того, загрузите его в Grafana Визуализация: в случае последующих инцидентов безопасности инженеры сетевой безопасности могут быстро получить журналы для отслеживания и отслеживания.

Эта статья поможет вам лучше понять и использовать Windows журналы событий, а также позволяют вам Windows Сервер отвечает требованиям аудита равной защиты бревно, что позволяет Эксплуатация и обслуживаниеудобнее,системаболее безопасная,Я надеюсь, что вы сможете поддержать это больше《#Специалисты по эксплуатации и техническому обслуживанию должны учиться》Столбец！

Практический эффект аудита журналов в этой главе показан на рисунке ниже:

weiyigeek.top — диаграмма пакетного файла настраиваемой регистрации входа пользователя в систему

Использование Promtail для сбора графиков журнала аудита в weiyigeek.top-windows

weiyigeek.top — используйте Grafana для получения собранных графиков журнала системных событий Windows.

Теплое напоминание: автор недавно открыл Планету Знаний, и полная серия учебных пособий от ворот до практики будет постепенно синхронизироваться с планетой (обновляясь в режиме реального времени), автор получит опыт в области безопасности, эксплуатации и обслуживания. и развитие (Sec, Ops, Dev). Все заметки по учебной практике, вопросы и ответы, а также удаленная техническая поддержка. Надеюсь, вы меня поддержите!

0x01 Журнал знаний

Что такое журнал событий Windows?

Описание. Операционная система Windows записывает большой объем информации журнала в течение своего жизненного цикла, включая: журнал событий Windows (журнал событий), журнал приложений IIS, журнал приложений FTP, журнал почтовой службы Exchange Server, журнал базы данных MSSQL Server и т. д. И охватывает ошибки приложений, системные ошибки и т. д. Кроме того, при частых сбоях приложений или синем экране смерти (BSOD) Windows. Он запишет информацию об исключениях приложений и создаст журнал при сбое системы, чтобы записать причину сбоя, чтобы вы могли отследить причину проблемы, понять состояние компьютера и устранить неполадки.

Здесь размер по умолчанию трех основных файлов журнала событий (системы, безопасности и приложений), встроенных в систему Windows, составляет 20480 КБ (20 МБ). Когда записанные данные о событиях превышают 20 МБ, система по умолчанию отдает приоритет перезаписи записей журнала с истекшим сроком действия. и другие приложения. Максимальный размер журналов программ и служб по умолчанию составляет 1024 КБ. Записи журнала с истекшим сроком действия будут перезаписаны в первую очередь, если они превысят максимальный размер. Конечно, мы можем внести изменения в соответствии с фактическими потребностями. Конкретные изменения см. Далее. главы.

weiyigeek.top-Диаграмма конфигурации свойств журнала безопасности с помощью средства просмотра событий Windows

Теплое напоминание: иногда сообщение об ошибке очень интуитивно понятно и может помочь нам решить проблему с первого взгляда (в комплекте с цветами🎉), но иногда имеется только один код ошибки, например 0xC000021A (сбивающее с толку лицо😳). необходимо запросить базу знаний Microsoft, выполнить дальнейший поиск в Интернете или проконсультироваться с профессиональным инженером по эксплуатации и обслуживанию системы, чтобы найти подробные решения.

• Microsoft База знаний: содержит подробную информацию и решения о событияхбревно, прямой [https://learn.microsoft.com/en-us/troubleshoot/]。
• Microsoft Сообщество поддержки: вы можете задавать вопросы по конкретным ID и код ошибки для помощи, прямой [https://answers.microsoft.com/zh-hans]。

Категории журнала событий Windows

Описание: Окна Журналы событий можно разделить на журнал Windows、Журналы приложений и службДве основные категории,Понимание этих категорий может помочь вам быстро обнаружить соответствующие проблемы, когда они возникнут.,Сузить рамки расследования.

журнал Windows

• System：Прямо сейчассистемабревно,Содержит записи компонентов системы Windows для события. Например,Сбои при загрузке драйверов или других компонентов системы во время запуска будут регистрироваться в системебревно.
• Безопасность: то есть безопасность бревно,Содержит событие, связанное с безопасностью системы. Например,Записать вход пользователя、Выйти、система запуска и выключения、Управление учетными записями пользователей、Изменения политики паролей и другие вопросы, связанные с безопасностью.
• Применение: прикладная программа кратко,Содержит событие, записанное приложением или программой. Например,Программа базы данных может быстро регистрировать ошибки файлов в приложении.,Разработчик программы решает, какое событие протоколируется.
• Установка: Программа установки бревно, включая Windows событие, связанное с установкой обновлений компонентов и исправлений. Например, Windows Установщик регистрирует события в процессе установки.
• Перенаправлено: то есть перенаправлено бревно,Содержит события, перенаправленные с других устройств. Например,Ошибка входа на удаленный сервер, прерывание сетевого подключения и т. д.

Журналы приложений и служб

• Microsoft: включено более 200 встроенных категорий событий Microsoft.,Только некоторые типы включают ведение журнала по умолчанию.,Например, подключение клиента удаленного рабочего стола.、беспроводная сеть、Кабельная сеть、Монтаж оборудования и другие сопутствующие вопросы.
• Интернет-проводник: Содержит краткую информацию о приложении браузера IE,Не включено по умолчанию,Необходимо настроить через групповую политику.
• Windows PowerShell: краткая информация о содержимом приложения PowerShell.
• Служба управления ключами: содержит информацию о службе управления ключами.
• HardwareEvents: содержит временную информацию об аппаратных событиях.

Напоминаем: все вышеперечисленные категории журналов хранятся на диске. %SystemRoot%\System32\Winevt\Logs\ В каталоге, как показано ниже:

weiyigeek.top — Путь к хранилищу журналов Windows и карта имен

Уровни журнала событий Windows

Описание: В журнале событий Windows журналы событий можно разделить на следующие 5 типов в зависимости от важности события (представлены числовыми метками на английском языке):

1. Информация: Запишите событие нормальной работы, Например: запуск служб, завершение работы служб и т. д.
2. Warning(предупреждать): Советы по возможным проблемам, Например: Недостаточно места на диске, обрыв сетевого подключения и т. д.
3. Ошибка: событие, чтобы выразить серьезную проблему, Например: Аппаратный сбой, сбой системы и т. д.
4. Success audit(Проверка прошла успешно): Зафиксируйте успех события аудита безопасности, Например: Вход пользователя, выход пользователя из системы и т. д.
5. Failure audit(Проверка не удалась): Запишите событие неудачного аудита безопасности, например: Ошибка входа пользователя в систему, ошибка выхода пользователя из системы и т. д.

обычная ситуация,Эксплуатация и обслуживание Персонал будет особеннымсосредоточиться напредупреждатьиошибкауровеньсобытиебревно,Обычно они тесно связаны с неисправностями.

Свойства журнала событий Windows

Описание: Окна Файлы журналов событий фактически хранят содержимое в виде определенных структур данных, включая записи событий о системах, безопасности и приложениях. Структура данных каждого записанного события содержит следующее. 10 Обычный атрибут журнала (может пониматься как поле в базе данных). При возникновении инцидента безопасности инженеры по реагированию на чрезвычайные ситуации могут собирать доказательства на основе журнала, чтобы понять конкретные действия, произошедшие на компьютере.

Общие свойства журнала:

• бревно Имя: Тип, к которому принадлежит событие.
• Источник: приложение или компонент, создавший событие.
• Идентификатор события: число, используемое для идентификации конкретного события.
• Уровень: Серьезность события,напримеринформация、предупреждать、ошибкаждать。
• Пользователь: учетная запись пользователя, под которой произошло событие.
• Код операции: псевдоним OpCode, записывает операцию, выполняемую при возникновении события.
• Время записи: конкретное время, когда произошло событие.
• Категория задачи: используется для представления подкомпонента или деятельности эмитента, классификация, используемая для предоставления более подробной информации о задаче.
• Ключевые слова: Ключевые слова, используемые для классификации событийных конкурсов.,Общие из них включаютклассический、Проверка прошла успешно、Проверка не удалась、время ответа。
• Компьютер: Запишите название события на компьютере.

weiyigeek.top-график

Расширение знаний: описание примера XML-содержимого метаданных журнала событий Windows

<!-- корневой элемент <Event>: обозначениеXMLСхема или спецификация, которой следует документ.。-->
<Event xmlns='http://schemas.microsoft.com/win/2004/08/events/event'>
<!--  <System> элемент: предоставилсобытиеметаданные。-->
<System>
  <!-- Организатор мероприятия -->
  <Provider Name='Microsoft-Windows-Security-Auditing' Guid='{54849625-5478-4994-a5ba-3e3b0328c30d}'/>
  <!-- Уникальный идентификатор события, например здесь да выход. -->
  <EventID>4634</EventID>
  <Version>0</Version>
  <!-- уровень важности или серьезности -->
  <Level>0</Level>
  <!-- событие Идентификатор связанной задачи или операции -->
  <Task>12545</Task>
  <!-- Код операции, представляющий определенный тип или подтип события. -->
  <Opcode>0</Opcode>
  <!-- Ключевые слова, связанные с событием, для фильтрации или поиска события. -->
  <Keywords>0x8020000000000000</Keywords>
  <!-- Время создания события -->
  <TimeCreated SystemTime='2020-08-24T18:45:50.181682600Z'/>
  <!-- Идентификатор записи события, обеспечивающий уникальность события в бревном режиме. -->
  <EventRecordID>138280</EventRecordID>
  <Correlation/>
  <Execution ProcessID='668' ThreadID='11916'/>
  <!-- Хозяин, которому принадлежит это событие -->
  <Computer>WEIYIGEEK.TOP</Computer>
  <!-- Канал, которому принадлежит событие -->
  <Channel>Security</Channel>
  <!-- в целомдапустой элемент,также означает Канал, которому принадлежит событие。 -->
  <Security/>
</System>

<!-- <EventData> элемент: содержит конкретные данные о событии -->
<EventData>
<!-- Например, SID целевого пользователя, имя пользователя, имя домена, идентификатор входа и тип входа. -->
  <Data Name='TargetUserSid'>S-1-5-21-3059585724-171103038-3195841082-500</Data>
  <Data Name='TargetUserName'>weiyigeek</Data>
  <Data Name='TargetDomainName'>WEIYIGEEK.TOP</Data>
  <Data Name='TargetLogonId'>0xec6d372</Data>
  <Data Name='LogonType'>7</Data>
</EventData>

<!-- <RenderingInfo> элемент: Дисплей предоставляет описание события в удобочитаемой форме. -->
<RenderingInfo Culture='zh-CN'>
  <Message>уже Выйтисчет.....Авторизоваться ID датолько。</Message>
  <Level>информация（Info）</Level>
  <!-- Указывает задачу выключения -->
  <Task>Logoff</Task>
  <Opcode>информация</Opcode>
  <Channel>Security</Channel>
  <Provider>Microsoft Windows security auditing.</Provider>
  <Keywords>
    <Keyword>Проверка прошла успешно</Keyword>
  </Keywords>
</RenderingInfo>
</Event>

Идентификация идентификатора события Windows

Описание: Окна событие ID да Windows Уникальный идентификатор событиябревно, записанный в eventbrevno для каждого события. ID Оба соответствуют одному событию, поскольку безопасность Эксплуатация и Обслуживающий персонал должен быть знаком с некоторыми распространенными идентификаторами событий, которые используются для быстрого обнаружения связанных проблем и событий в случае чрезвычайной ситуации, связанной с безопасностью сети.

Общее событие категории «Безопасность» (Security) EventID: