10 beste fremgangsmåter for Windows-hendelseslogger du bør vite

Lær den beste blandingen av Windows-hendelsesloggpraksis

Du må sørge for at hendelsesloggene du noterer gir deg riktig informasjon om nettverkshelsen eller forsøk på sikkerhetsbrudd på grunn av teknologiske fremskritt.

Mens organisasjoner prøver å bruke beste praksis for Windows hendelseslogger, de klarer fortsatt ikke å formulere en sikkerhetsfokusert overvåkingspolicy.

I denne veiledningen vil vi gi deg 10 av de beste fremgangsmåtene for Windows Event Log som vil hjelpe deg å takle eventuelle uønskede utfordringer i nettverket ditt. La oss komme rett inn i det.

Hvorfor er det viktig å bruke de beste Windows-hendelsesloggpraksisene?

Hendelseslogger inneholder viktig informasjon om enhver hendelse som skjer på internett. Dette inkluderer all sikkerhetsinformasjon, påloggings- eller avloggingsaktivitet, mislykkede/vellykkede tilgangsforsøk og mer.

Du kan også vite om skadelig programvare eller datainnbrudd ved hjelp av hendelsesloggene. En nettverksadministrator vil ha sanntidstilgang til å spore potensielle sikkerhetstrusler og kan umiddelbart iverksette tiltak for å avhjelpe problemet.

Dessuten må mange organisasjoner vedlikeholde Windows-hendelseslogger for å overholde regelverket for revisjonsspor osv.

Hva er de beste Windows-hendelsesloggpraksisene?

I denne artikkelen

• Hvorfor er det viktig å bruke de beste Windows-hendelsesloggpraksisene?
• Hva er de beste Windows-hendelsesloggpraksisene?
• 1. Aktiver revisjon
• 2. Definer revisjonspolicyen din
• 3. Konsolider loggposter sentralt
• 4. Aktiver sanntidsovervåking og varsler
• 5. Sørg for å ha en loggoppbevaringspolicy
• 6. Reduser hendelsesrot
• 7. Sørg for at klokkene er synkroniserte
• 8. Design loggingspraksis basert på bedriftens retningslinjer
• 9. Sørg for at loggoppføringen har all informasjon
• 10. Bruk effektiv loggovervåking og analyseverktøy

1. Aktiver revisjon

For å overvåke Windows-hendelsesloggen, må du først aktivere revisjon. Når revisjon er aktivert, vil du kunne spore brukeraktivitet, påloggingsaktivitet, sikkerhetsbrudd eller andre sikkerhetshendelser osv.

Bare å aktivere revisjon er ikke gunstig, men du må aktivere revisjon for systemautorisasjon, fil- eller mappetilgang og andre systemhendelser.

Når du aktiverer dette vil du få detaljerte detaljer om systemhendelsene og kan feilsøke basert på hendelsesinformasjonen.

2. Definer revisjonspolicyen din

Revisjonspolicy betyr ganske enkelt at du må definere hvilke sikkerhetshendelseslogger du vil registrere. Etter å ha kunngjort samsvarskrav, lokale lover og forskrifter og hendelser som du trenger å logge, vil du multiplisere fordelene.

Den største fordelen vil være at organisasjonens sikkerhetsstyringsteam, juridiske avdeling og andre interessenter vil få den nødvendige informasjonen for å takle eventuelle sikkerhetsproblemer. Som en generell regel må du angi revisjonspolicyen for hånd på individuelle servere og arbeidsstasjoner.

3. Konsolider loggposter sentralt

Vær oppmerksom på at Windows hendelseslogger ikke er sentralisert, noe som betyr at hver nettverksenhet eller system registrerer hendelser i sine egne hendelseslogger.

For å få et bredere bilde og bidra til å redusere problemene raskt, må nettverksadministratorer finne en måte å slå sammen postene i de sentrale dataene for fullstendig overvåking. Videre vil dette bidra til å overvåke, analysere og rapportere mye enklere.

Ikke bare konsolidering av loggposter sentralt vil hjelpe, men det bør settes til å gjøres automatisk. Som involvering av et stort antall maskiner, brukere osv. vil komplisere innsamlingen av loggdata.

4. Aktiver sanntidsovervåking og varsler

Mange organisasjoner foretrekker å bruke samme type enheter overalt sammen med det samme operativsystemet, som oftest er Windows OS.

Imidlertid vil nettverksadministratorer ikke alltid overvåke én type operativsystem eller enhet. De vil kanskje ha fleksibilitet og muligheten til å velge mer enn bare Windows-hendelsesloggovervåking.

For dette bør du velge Syslog-støtte for alle systemer inkludert UNIX og LINUX. I tillegg bør du også aktivere sanntidsovervåking av logger og sørge for at hver pollet hendelse registreres med jevne mellomrom og genererer et varsel eller varsel når den oppdages.

Den beste metoden ville være å etablere et hendelsesovervåkingssystem som registrerer alle hendelser og konfigurere en høyere pollingfrekvens. Når du har fått tak i hendelsene og systemet, kan du skrive ut og slå ned antallet hendelser du ønsker å overvåke.

5. Sørg for å ha en loggoppbevaringspolicy

Kun å samle tømmerstokker sentralt betyr ikke mye i det lange løp. Som en av de beste Windows-hendelsesloggpraksisene, bør du sørge for å ha en loggoppbevaringspolicy.

Når du aktiverer en loggoppbevaringspolicy for lengre perioder, vil du bli kjent med ytelsen til nettverket og enhetene dine. I tillegg vil du også kunne spore datainnbrudd og hendelser som har skjedd over tid.

Du kan justere loggoppbevaringspolicyen ved å bruke Microsoft Event Viewer og angi maksimal sikkerhetsloggstørrelse.

Les mer om dette emnet

• Hva er OIS.exe og hvordan fikser jeg applikasjonsfeilene?
• Slik sikkerhetskopierer eller eksporterer du Windows-hendelseslogg
• Slik løser du Event Viewer som ikke fungerer i Windows 10 og 11
• Hva er Dotnetfx.exe og hvordan laster jeg ned og installerer det?

6. Reduser hendelsesrot

Selv om det er en flott ting å ha logger over alle hendelser i arsenalet ditt som nettverksadministrator, kan det å logge for mange hendelser også ta oppmerksomheten vekk fra den som er viktig.

Du kan overse den kritiske informasjonen, og det kan føre til at sikkerhetsbrudd omgås. I et slikt tilfelle bør du nøye gjennomgå sikkerhetspolicyen din, og som en av de beste Windows-hendelsesloggpraksisene, foreslår vi at du kun logger kritiske hendelser.

7. Sørg for at klokkene er synkroniserte

Mens du har satt de beste retningslinjene for å spore og overvåke Windows-hendelsesloggene, er det viktig at du har synkroniserte klokker på tvers av alle systemene dine.

En av de essensielle og beste Windows-hendelsesloggpraksisene du kan følge, er å sørge for at klokkene er synkronisert over hele linja for å sikre at du har de riktige tidsstemplene.

Selv om det er et lite tidsavvik mellom systemene, vil det resultere i hardere overvåking av hendelser og kan også føre til at sikkerheten bortfaller i tilfelle hendelsene blir diagnostisert sent.

Pass på at du sjekker systemklokkene ukentlig og setter riktig tid og dato for å redusere sikkerhetsrisikoen.

8. Design loggingspraksis basert på bedriftens retningslinjer

En loggingspolicy og hendelsene som logges er en viktig ressurs for enhver organisasjon for å feilsøke nettverksproblemer.

Så du bør sørge for at loggingspolicyen du har brukt, er i tråd med selskapets retningslinjer. Dette kan omfatte:

• Rollebaserte tilgangskontroller
• Sanntidsovervåking og oppløsning
• Bruk policyen med minste privilegier når du konfigurerer ressurser
• Sjekk logger før lagring og behandling
• Masker sensitiv informasjon som er viktig og avgjørende for en organisasjons identitet

9. Sørg for at loggoppføringen har all informasjon

Sikkerhetsteamet og administratorene bør komme sammen for å bygge et logg- og overvåkingsprogram som sikrer at du har all informasjonen som kreves for å redusere angrep.

Her er den vanlige listen over informasjon du bør ha i loggoppføringen din:

• Skuespiller – Hvem som har et brukernavn og en IP-adresse
• Handling – Les/skriv på hvilken kilde
• Tid – Tidsstempel for hendelsesforekomsten
• plassering – Geolokalisering, kodeskriptnavn

De fire ovennevnte informasjonene utgjør hvem, hva, når og hvor-informasjonen til en logg. Og hvis du vet svarene på disse fire avgjørende spørsmålene, vil du kunne avhjelpe problemet på riktig måte.

Manuell feilsøking av hendelsesloggen er ikke så idiotsikker og kan også vise seg å være en hit og en glipp. I et slikt tilfelle vil vi foreslå at du benytter deg av loggovervåking og analyseverktøy.

For enkelhets skyld har vi en guide som viser noen av de beste hendelseslogganalyseverktøy som du kan bruke. Listen inneholder gratis og avanserte analyseverktøy.

Dessuten kan du sjekke ut vår liste over beste programvare for loggovervåking for Windows 10 og 11 for å automatisere og få en hjelpende hånd med å takle problemer.

Det er det fra oss i denne guiden. Vi har en guide som forklarer i detalj hvordan du kan fikse Event Viewer som ikke fungerer i Windows 10 og 11 problemer.

Gi oss gjerne beskjed i kommentarene nedenfor, hvilket sett av de beste Windows-hendelsesloggpraksisene som følger fra listen ovenfor.