الاستعلام عن أحداث النظام وتصديرها

ترسل مزامنة أحداث النظام أحداثاً مطابقة للشروط من قنوات System وApplication وSecurity على أجهزة Windows المحددة لكي يراجعها المسؤول. تحدد نطاقات الأجهزة والقنوات والمستويات ومعرفات الأحداث ما يُجمع؛ والقائمة ليست نسخة كاملة من جميع الأحداث. قد تتضمن الرسائل معلومات حساسة عن المستخدمين أو الأجهزة، لذا قيّد صلاحيات العرض والتصدير واحتفظ بالبيانات وفق متطلبات مؤسستك.

لإعداد المزامنة كاملاً، راجع إعدادات مزامنة أحداث النظام.

لعرض السجلات الموجودة فقط، استخدم حساباً لديه صلاحية العرض ونطاق الرؤية المناسبان وانتقل مباشرة إلى خطوات الاستعلام أدناه. لا تغير الإعدادات أو تولد أحداث اختبار لمجرد الاستعلام. للتحقق من سجلات جديدة، راجع أولاً الوظيفة والإعدادات الموجودة؛ وعند الحاجة فقط يعدلها شخص لديه صلاحية الإدارة المناسبة قبل الاختبار المقابل. تختلف شروط إنشاء أنواع السجلات.

إعداد المزامنة

1. افتح UEM > Audit > System Events واختر Settings. إذا فشل تحميل الإعدادات، ألغِ العملية حتى لو فُتحت النافذة، وأعد التحميل وتحقق من الإعدادات الموجودة قبل تعديلها. لا تحفظ إعدادات قد تكون غير مكتملة.
2. راجع أولاً Enable Sync والفترة وTarget، وقنوات System وApplication وSecurity ومستويات السجل وقائمتي السماح والمنع لمعرفات الأحداث. أعد استخدام الإعدادات الموجودة إذا ناسبت التجربة؛ وعند الحاجة إلى التغيير فقط، يقيّم شخص لديه صلاحية الإعداد أثر التعديل وينفذه. يُستبعد المعرف الموجود في قائمة المنع حتى لو كان موجوداً أيضاً في قائمة السماح.
3. إذا أُجريت تعديلات، احفظ الإعدادات وأعد فتحها للتحقق من الخيار والقنوات والمستويات والأجهزة المستهدفة؛ إذا لم تتغير فلا حاجة إلى حفظها مجدداً. انتظر تلقي الجهاز والمعالجة الدورية. نجاح الحفظ في وحدة الإدارة لا يثبت التطبيق أو إرسال السجلات. المزامنة ليست فورية ولا تضمن استكمال جميع الأحداث التاريخية.

لا يُضمن جمع الأحداث التي فحصها الجهاز واستبعدها وفق شروط المستوى أو معرف الحدث السابقة مجدداً عند توسيع الشروط. بعد التغيير، انتظر تلقي الجهاز للإعدادات وأنشئ حدث اختبار جديداً مطابقاً وتحقق منه. عند فحص الأحداث السابقة راجع أيضاً سجل الأحداث المحلي للجهاز؛ لا تفترض استكمال السجل التاريخي تلقائياً.

التحقق والاستعلام والتصدير

1. للتحقق من حدث جديد، على الجهاز التجريبي، استخدم طريقة معتمدة من المؤسسة لإنشاء حدث اختبار يطابق القناة والمستوى والمعرف المحدد. سجل الجهاز والوقت والمصدر والمعرف وانتظر المزامنة والإرسال. لا تتسبب عمداً في عطل أو تخفض إعدادات الأمان في بيئة الإنتاج للاختبار.
2. افتح System Events واضبط التواريخ والمنصة، ثم رشّح حسب القناة أو المستوى أو مصدر الحدث أو المعرف، أو ابحث بكلمة مفتاحية. يشمل مرشح المستوى الأولي Critical وError وWarning. إذا جمعت السياسة Information أو Verbose فاختر المستويات المقابلة في مرشح الاستعلام أيضاً.
3. راجع الجهاز والقناة والمستوى ومعرف الحدث والمصدر والوقت وملخص الرسالة، وافتح التفاصيل للتحقق من المعلومات المتاحة. عند التحقق من حدث جديد، قارن بالحدث المحلي وشروط التجربة. قد تؤثر صلاحيات القراءة ووقوع الحدث والشبكة وحالة الجهاز والتاريخ في النتيجة.
4. عند توفر صلاحية التصدير اختر Export لإنشاء CSV. يجلب التصدير السجلات عبر الصفحات وفق التواريخ والمنصة والكلمة والمرشحات الحالية، وليس الصفحة الحالية فقط. عند كبر الحجم ضيّق النطاق وصدّر على دفعات وتحقق من الملفات. احفظ بيانات الأحداث المحتملة الحساسية بضوابط مناسبة.

عند عدم ظهور سجلات

تحقق من الترخيص ونطاق رؤية المسؤول، ثم من تفعيل المزامنة واختيار الجهاز التجريبي والقنوات والمستويات ومرشح المعرفات وتلقي الإعدادات. بعد ذلك تحقق من وجود حدث محلي مطابق وصلاحية قراءة القناة وحالة الجهاز والشبكة ووقت الإرسال ومرشحات التاريخ والمستوى. لا تثبت القائمة الفارغة عدم وجود أحداث أو نجاح تطبيق الإعدادات. عند الحاجة اطلب من المسؤول فحص حالة المزامنة والإرسال.

إذا كان السجل موجوداً لكن ملخص الرسالة فارغ، فقد يتعذر على الجهاز الحصول على رسالة مصدر الحدث أو تنسيقها. لا يثبت ذلك وحده غياب الحدث. قارن معرف الحدث ومصدره ووقته بالحدث المحلي على الجهاز.