Jak monitorować dziennik zdarzeń Windows za pomocą PowerShell i ADAudit Plus

Monitorowanie dzienników zdarzeń jest kluczowym elementem pozwalającym uzyskać pełen obraz środowiska IT organizacji. Dzienniki zdarzeń dostarczają mnóstwa informacji o zmianach dostępu, zdarzeniach administracyjnych, aktywności logowania itd. Śledzenie i rejestrowanie krytycznych zdarzeń zachodzących w sieci organizacji jest kluczowe, aby spełniać wymogi przeglądów bezpieczeństwa i zgodności IT.

Poniżej przedstawiono porównanie procedur monitorowania dzienników zdarzeń za pomocą Windows PowerShell i ADAudit Plus:

PowerShell

Etapy monitorowania dziennika zdarzeń za pomocą PowerShell:

  • Określ domenę, z której mają zostać zebrane dzienniki zdarzeń.
  • Znajdź atrybuty LDAP potrzebne do pobrania dzienników.
  • Skompiluj skrypt.
  • Wykonaj go w programie Windows PowerShell.
  • Zebrane dzienniki zdarzeń zostaną wyeksportowane w podanym formacie.
  • Aby wyeksportować dzienniki w innym formacie pliku, odpowiednio zmodyfikuj skrypt.

Przykładowy skrypt Windows PowerShell

Po użyciu poniższego polecenia cmdlet pojawią się zdarzenia z lokalnego komputera i zostaną zapisane w formacie .html.

Get-EventLog -ReportType HTML -Path 'Mention the location where report needs to be saved, For Eg: C:\EventLogReports\Report1.html'

Aby pobrać dzienniki zdarzenia z komputera zdalnego, określ nazwę komputera.

Get-EventLog -ComputerName Name of desired computer -ReportType HTML -Path "Mention the location where report needs to be saved, For Eg: C:\remoteLogReports\Report1.html"

Aby zapisać raporty w formacie xml, w powyższym poleceniu cmdlet zastąp HTML przez XML.

Skrypt można zmienić tak, aby możliwe było generowanie raportów z innymi parametrami, takimi jak „przed” -Before, „po” -After (w celu uzyskiwania raportów przed i po określonej dacie i godzinie), -Typ wpisu (ten parametr zwraca dzienniki w oparciu o stan zdarzenia, taki jak ostrzeżenie, błąd, informacja, powodzenie inspekcji lub niepowodzenie inspekcji) itd.

ADAudit Plus

Uzyskiwanie raportu:

ADAudit Plus analizuje wszystkie zdarzenia bezpieczeństwa środowiska Windows i przedstawia je w formie intuicyjnych raportów, ułatwiając analizę.

Aby wyświetlić raporty w różnych kategoriach, przejdź do karty Raporty w konsoli ADAudit Plus.

  • Wybierz żądaną „Domenę” z menu rozwijanego w prawym górnym rogu.
  • Wybierz opcję „Eksportuj jako”, aby wyeksportować raport w dowolnym z preferowanych formatów (CSV, PDF, HTML i XLS).
powershell-monitor-event-log-1

ADAudit Plus umożliwia również użytkownikom generowanie niestandardowych raportów.
Przejdź do Analytics -> Raporty niestandardowe, aby tworzyć raporty niestandardowe.

Intuicyjny interfejs użytkownika pozwala użytkownikom wybrać parametry, które mają być monitorowane i uwzględnione w raporcie.

powershell-monitor-event-log-2

iv. Dostęp do raportu stworzonego przez użytkownika można uzyskać, klikając przycisk Wyświetl raporty niestandardowe. Raport można także wyeksportować w jednym z preferowanych formatów (PDF, XLS, HTML i CSV), wybierając opcję „Eksportuj jako”.

Poniżej przedstawiono ograniczenia dotyczące uzyskiwania raportów z dzienników zdarzeń za pomocą narzędzi natywnych, takich jak Windows PowerShell:

  • Ten skrypt można uruchomić tylko na komputerach z rolą Active Directory Domain Services.
  • Aby wyeksportować raport w innych formatach, za każdym razem należy zmodyfikować skrypt.
  • Zastosowanie większej liczby filtrów zwiększy złożoność zapytania LDAP.
  • Zrozumienie licznych danych z dzienników służących do określania niezbędnych informacji może być trudne.

ADAudit Plus automatycznie skanuje wszystkie kontrolery domeny dostępne w domenie, aby pobrać dane z dziennika zdarzeń, wygenerować raport oraz zaprezentować go na prostym i intuicyjnym interfejsie użytkownika.

  • Wykonywanie skryptów PowerShell i uproszczony audyt zmian w AD za pomocą ADAudit Plus.
  •  
  • Przez kliknięcie „Pobierz bezpłatną wersję próbną” akceptujesz licencję użytkownika i polityką prywatności.
  •  
  • Dziękujemy za pobranie!
  • Pobieranie powinno rozpocząć się automatycznie w ciągu 15 sekund. Jeśli nie rozpocznie się automatycznie, kliknij tutaj, aby pobrać ręcznie

Powiązane zasoby