登录  |  注册
当前位置：网站首页 > 更多 > 玩电脑 > 正文

[玩转系统] 使用 PowerShell 转发 Windows 事件日志

作者：精品下载站 日期：2024-12-14 05:57:58 浏览：11 分类：玩电脑

使用 PowerShell 转发 Windows 事件日志

我喜欢 Active Directory 审核。我喜欢它，因为只需点击几下鼠标，我就可以轻松创建一个立即应用于 500 台服务器的策略，该策略开始记录有关这些服务器所发生的一切的有用信息。我讨厌 AD 审计的是，这些有用的信息存储在 500 个不同的位置；在每个服务器的安全事件日志中。没有好的方法可以一次性检索所有这些事件，除非您编写 PowerShell 脚本或使用其他产品来执行此操作。我们需要一种方法将所有这些事件集中到一个地方。幸运的是，我们有 Windows 附带的免费功能，称为事件日志转发。

Windows Server 2008 中引入的事件日志转发带来了一种本机且自动的方式，可将来自多台计算机（事件源）的事件发送到一台或多台称为收集器的计算机。这个概念很简单。收集器从多个源计算机收集事件或将事件拉入称为转发事件的中央事件日志。

[玩转系统] 使用 PowerShell 转发 Windows 事件日志

让我们看看如何让单个事件收集器从单个源计算机收集日志。我将把它留给你来在整个企业范围内推广。

在源计算机上启用 WinRm

首先也是最重要的，您需要确保在源计算机上启用 WinRM。有很多方法可以做到这一点，例如通过 GPO 或简单地在源上执行 winrm 快速配置。无论哪种方式，您都需要确保它已启用并添加了适当的防火墙例外。这就是源计算机的内容。无需更多配置！

允许事件收集器完成其工作

接下来，您需要确保收集者的计算机帐户位于 AD 中的事件日志读取器组中。

[玩转系统] 使用 PowerShell 转发 Windows 事件日志

将 Windows 事件收集器服务设置为自动启动

由于 Windows 事件收集器服务默认处于禁用状态。我们需要确保它正在运行并设置为自动启动。为此，我们只需运行 wecutil qc 即可快速完成这两件事。

[玩转系统] 使用 PowerShell 转发 Windows 事件日志

创建订阅

接下来，我们需要在收集器上创建订阅。启动事件日志查看器，右键单击“订阅”节点，然后单击“创建订阅”。

[玩转系统] 使用 PowerShell 转发 Windows 事件日志

然后您将到达可以添加源计算机的位置。

[玩转系统] 使用 PowerShell 转发 Windows 事件日志

然后，您将选择要从中收集事件的所有源计算机。

[玩转系统] 使用 PowerShell 转发 Windows 事件日志

现在，假设您不想要来自源计算机的所有事件。也许你只想要其中的一些。就我而言，我只想引入我的 AD 审核事件，并且这些事件仅记录在安全事件日志中。为此，您需要单击“选择事件”并构建过滤器。

[玩转系统] 使用 PowerShell 转发 Windows 事件日志

完成后，单击“确定”几次，您将看到在“订阅”节点中创建的订阅。

[玩转系统] 使用 PowerShell 转发 Windows 事件日志

就是这样！ 如果一切按计划进行，您现在应该开始看到您的事件显示在“转发的事件”事件日志中。

[玩转系统] 使用 PowerShell 转发 Windows 事件日志

猜你还喜欢

您需要 登录账户 后才能发表评论

取消回复欢迎 你 发表评论:

精品推荐！
欢迎 访客 登录没有账号？
  • 最新文章
  • 热门文章
  • 热评文章
最新评论
    热门tag
    友情链接

    关灯