10 Windows Event Log Best Practices, du bør kende

Lær den bedste blanding af Windows Event log-praksis

Du skal sikre dig, at de hændelseslogfiler, du noterer, giver dig de rigtige oplysninger om netværkets tilstand eller forsøg på sikkerhedsbrud på grund af teknologiske fremskridt.

Mens organisationer forsøger at anvende bedste praksis for Windows hændelseslogfiler, undlader de stadig at formulere en sikkerhedsfokuseret overvågningspolitik.

I denne vejledning vil vi give dig 10 af de bedste fremgangsmåder til Windows Event Log, som vil hjælpe dig med at løse eventuelle negative udfordringer i dit netværk. Lad os komme lige ind i det.

Hvorfor er det vigtigt at anvende den bedste Windows-hændelseslogpraksis?

Hændelseslogfiler indeholder vigtige oplysninger om enhver hændelse, der sker på internettet. Dette omfatter enhver sikkerhedsinformation, login- eller logoffaktivitet, mislykkede/vellykkede adgangsforsøg og mere.

Du kan også vide om malware-infektioner eller databrud ved hjælp af hændelsesloggene. En netværksadministrator vil have adgang i realtid til at spore de potentielle sikkerhedstrusler og kan straks tage skridt til at afhjælpe det opståede problem.

Desuden skal mange organisationer vedligeholde Windows-hændelseslogfiler for at overholde lovgivningsmæssige overholdelse af revisionsspor osv.

Hvad er den bedste praksis i Windows Event log?

I denne artikel

• Hvorfor er det vigtigt at anvende den bedste Windows-hændelseslogpraksis?
• Hvad er den bedste praksis i Windows Event log?
• 1. Aktiver revision
• 2. Definer din revisionspolitik
• 3. Konsolider logposter centralt
• 4. Aktiver overvågning og meddelelser i realtid
• 5. Sørg for at have en politik for opbevaring af logfiler
• 6. Reducer rod i begivenheder
• 7. Sørg for, at urene er synkroniserede
• 8. Design logningspraksis baseret på din virksomheds politikker
• 9. Sørg for, at logposten har alle oplysninger
• 10. Brug effektive logovervågnings- og analyseværktøjer

1. Aktiver revision

For at overvåge Windows-hændelsesloggen skal du først aktivere revision. Når revision er aktiveret, vil du være i stand til at spore brugeraktivitet, loginaktivitet, sikkerhedsbrud eller andre sikkerhedshændelser osv.

Blot at aktivere revision er ikke fordelagtigt, men du skal aktivere revision for systemautorisation, fil- eller mappeadgang og andre systemhændelser.

Når du aktiverer dette, får du detaljerede detaljer om systemhændelser og kan fejlfinde baseret på hændelsesoplysningerne.

2. Definer din revisionspolitik

Revisionspolitik betyder ganske enkelt, at du skal definere, hvilke sikkerhedshændelseslogfiler du vil optage. Efter at have annonceret overholdelseskrav, lokale love og regler og hændelser, som du skal logge på, vil du mangedoble fordelene.

Den største fordel ville være, at din organisations sikkerhedsstyringsteam, juridiske afdeling og andre interessenter vil få de nødvendige oplysninger til at håndtere eventuelle sikkerhedsproblemer. Som hovedregel skal du indstille revisionspolitikken manuelt på individuelle servere og arbejdsstationer.

3. Konsolider logposter centralt

Bemærk, at Windows-hændelseslogfiler ikke er centraliserede, hvilket betyder, at hver netværksenhed eller system optager hændelser i sine egne hændelseslogfiler.

For at få et bredere billede og hjælpe med at afhjælpe problemerne hurtigt, skal netværksadministratorer finde en måde at flette posterne i de centrale data for fuldstændig overvågning. Desuden vil dette hjælpe med at overvåge, analysere og rapportere meget lettere.

Ikke kun at konsolidere logposter centralt vil hjælpe, men det bør indstilles til at ske automatisk. Da involvering af et stort antal maskiner, brugere mv. vil komplicere indsamlingen af ​​logdata.

4. Aktiver overvågning og meddelelser i realtid

Mange organisationer foretrækker at bruge den samme type enheder overalt sammen med det samme operativsystem, som oftest er Windows OS.

Men netværksadministratorer vil måske ikke altid overvåge én type operativsystem eller enhed. De ønsker måske fleksibilitet og mulighed for at vælge mere end blot overvågning af Windows hændelseslog.

Til dette bør du vælge Syslog-understøttelse for alle systemer inklusive UNIX og LINUX. Desuden bør du også aktivere realtidsovervågning af logfiler og sikre, at hver pollet hændelse registreres med regelmæssige intervaller og genererer en advarsel eller notifikation, når den detekteres.

Den bedste metode ville være at etablere et hændelsesovervågningssystem, der registrerer alle hændelser og konfigurere en højere polling-frekvens. Når du har fået fat i begivenhederne og systemet, kan du kridte ud og ringe ned for det antal begivenheder, du ønsker at overvåge.

5. Sørg for at have en politik for opbevaring af logfiler

Kun at indsamle logs centralt betyder ikke meget på længere sigt. Som en af ​​de bedste Windows-hændelseslog-praksis, bør du sørge for at have en logopbevaringspolitik.

Når du aktiverer en logopbevaringspolitik i længere perioder, vil du lære dit netværks og enheders ydeevne at kende. Derudover vil du også være i stand til at spore databrud og hændelser, der er sket over tid.

Du kan justere logopbevaringspolitikken ved hjælp af Microsoft Event Viewer og indstil den maksimale sikkerhedslogstørrelse.

Læs mere om dette emne

• Hvad er OIS.exe & hvordan rettes dets applikationsfejl?
• Sådan sikkerhedskopieres eller eksporteres Windows-hændelseslog
• Sådan løses Event Viewer, der ikke fungerer i Windows 10 og 11
• Hvad er Dotnetfx.exe, og hvordan downloades og installeres det?

6. Reducer rod i begivenheder

Selvom det er en fantastisk ting at have logs over alle hændelser i dit arsenal som netværksadministrator, kan logning af for mange hændelser også tage din opmærksomhed væk fra den, der er vigtig.

Du kan overse de kritiske oplysninger, og det kan føre til omgåelse af sikkerhedsbrud. I et sådant tilfælde bør du omhyggeligt revidere din sikkerhedspolitik, og som en af ​​de bedste Windows-hændelseslogpraksis vil vi foreslå, at du kun logger kritiske hændelser.

7. Sørg for, at urene er synkroniserede

Mens du har indstillet de bedste politikker til at spore og overvåge Windows-hændelseslogfilerne, er det vigtigt, at du har synkroniserede ure på tværs af alle dine systemer.

En af de væsentlige og bedste Windows Event log-praksis, som du kan følge, er at sikre, at ure er synkroniseret over hele linjen for at sikre, at du har de korrekte tidsstempler.

Selvom der er en lille uoverensstemmelse i tid mellem systemerne, vil det resultere i hårdere overvågning af hændelser og kan også føre til, at sikkerheden bortfalder, hvis hændelserne bliver diagnosticeret sent.

Sørg for at tjekke dit system ure ugentligt og indstille det korrekte klokkeslæt og dato for at mindske sikkerhedsrisici.

8. Design logningspraksis baseret på din virksomheds politikker

En logningspolitik og de hændelser, der logges, er et vigtigt aktiv for enhver organisation til at fejlfinde netværksproblemer.

Så du bør sikre dig, at den logningspolitik, du har anvendt, stemmer overens med virksomhedens politikker. Dette kunne omfatte:

• Rollebaseret adgangskontrol
• Overvågning og opløsning i realtid
• Anvend politikken med mindste privilegier, når du konfigurerer ressourcer
• Tjek logfiler før opbevaring og behandling
• Masker følsomme oplysninger, der er vigtige og afgørende for en organisations identitet

9. Sørg for, at logposten har alle oplysninger

Sikkerhedsteamet og administratorerne bør gå sammen om at bygge et log- og overvågningsprogram, der sikrer, at du har alle de nødvendige oplysninger for at afbøde angreb.

Her er den almindelige liste over oplysninger, som du skal have i din logpost:

• Skuespiller – Hvem har et brugernavn og en IP-adresse
• Handling – Læs/skriv på hvilken kilde
• Tid – Tidsstempel for hændelsen
• Beliggenhed – Geolocation, kodescriptnavn

Ovenstående fire oplysninger udgør hvem, hvad, hvornår og hvor-oplysningerne i en log. Og hvis du kender svarene på disse fire afgørende spørgsmål, vil du være i stand til at afhjælpe problemet ordentligt.

Manuel fejlfinding af hændelsesloggen er ikke så idiotsikker og kan også vise sig at være et hit og en miss. I et sådant tilfælde vil vi foreslå, at du gør brug af logningsovervågning og analyseværktøjer.

For nemheds skyld har vi en guide, der viser nogle af de bedste hændelseslog analyseværktøjer som du kan bruge. Listen indeholder gratis og avancerede analyseværktøjer.

Desuden kan du tjekke vores liste over bedste logovervågningssoftware til Windows 10 og 11 for at automatisere og få en hjælpende hånd med at løse problemer.

Det er det fra os i denne guide. Vi har en guide, der forklarer i detaljer, hvordan du kan rette op på Event Viewer, der ikke virker i Windows 10 og 11 problemer.

Du er velkommen til at fortælle os i kommentarerne nedenfor, hvilket sæt af de bedste Windows Event log-praksis, der følger fra ovenstående liste.