إعدادات مزامنة أحداث النظام
ترسل مزامنة أحداث النظام أحداثاً مطابقة للشروط من قنوات System وApplication وSecurity على أجهزة Windows المحددة لكي يراجعها المسؤول. تحدد نطاقات الأجهزة والقنوات والمستويات ومعرفات الأحداث ما يُجمع؛ والقائمة ليست نسخة كاملة من جميع الأحداث. قد تتضمن الرسائل معلومات حساسة عن المستخدمين أو الأجهزة، لذا قيّد صلاحيات العرض والتصدير واحتفظ بالبيانات وفق متطلبات مؤسستك.
إعداد المزامنة
- تحقق من ترخيص الميزة وصلاحيات عرض سجلات Unified Endpoint Management وتعديل الإعدادات؛ يتطلب التصدير صلاحية إضافية. اختر جهاز Windows تجريبياً مسجلاً لديه ترخيص الجهاز العام وليس في وضع الصيانة. يجب أن يتمكن من تلقي الإعدادات وقراءة القنوات المحددة وإرسال السجلات.
- افتح UEM > Audit > System Events واختر Settings. إذا فشل تحميل الإعدادات، ألغِ العملية حتى لو فُتحت النافذة، وأعد التحميل وتحقق من الإعدادات الموجودة قبل تعديلها. لا تحفظ إعدادات قد تكون غير مكتملة.
- في الإعدادات العامة، فعّل Enable Sync واختر Sync Interval: 5 أو 15 أو 30 أو 60 دقيقة. القيمة الأولية للإعداد الجديد هي 15 دقيقة؛ تحقق من القيمة المعروضة للإعداد الموجود. من Target حدد الجهاز التجريبي صراحةً وأكد الاختيار. لا توسّع النطاق دون تقييم الأثر.
- راجع قنوات System وApplication وSecurity كلّاً على حدة، وفعّل القنوات المطلوبة واختر Log Levels. يفعّل الإعداد الجديد القنوات بمستويات Critical وError وWarning؛ اختر Information أو Verbose عند الحاجة. راعِ حجم الأحداث والخصوصية وأثر العمل.
- لتقييد معرفات الأحداث، أدخل رقماً واحداً في كل سطر في Event ID Allowlist أو Event ID Denylist للقناة المعنية. إذا لم تكن قائمة السماح فارغة، تُجمع المعرفات المدرجة فقط؛ وتُستبعد معرفات قائمة الرفض، بما فيها الموجودة في القائمتين. لا تفرض القائمة الفارغة قيداً من جهتها، لكن ترك القائمتين فارغتين لا يلغي شروط القناة والمستوى.
- احفظ الإعدادات وأعد فتحها للتحقق من الخيار والقنوات والمستويات والأجهزة المستهدفة. انتظر تلقي الجهاز والمعالجة الدورية. نجاح الحفظ في وحدة الإدارة لا يثبت التطبيق أو إرسال السجلات. المزامنة ليست فورية ولا تضمن استكمال جميع الأحداث التاريخية.
لا يُضمن جمع الأحداث التي فحصها الجهاز واستبعدها وفق شروط المستوى أو معرف الحدث السابقة مجدداً عند توسيع الشروط. بعد التغيير، انتظر تلقي الجهاز للإعدادات وأنشئ حدث اختبار جديداً مطابقاً وتحقق منه. عند فحص الأحداث السابقة راجع أيضاً سجل الأحداث المحلي للجهاز؛ لا تفترض استكمال السجل التاريخي تلقائياً.
عند عدم ظهور سجلات
تحقق من الترخيص ونطاق رؤية المسؤول، ثم من تفعيل المزامنة واختيار الجهاز التجريبي والقنوات والمستويات ومرشح المعرفات وتلقي الإعدادات. بعد ذلك تحقق من وجود حدث محلي مطابق وصلاحية قراءة القناة وحالة الجهاز والشبكة ووقت الإرسال ومرشحات التاريخ والمستوى. لا تثبت القائمة الفارغة عدم وجود أحداث أو نجاح تطبيق الإعدادات. عند الحاجة اطلب من المسؤول فحص حالة المزامنة والإرسال.
إذا كان السجل موجوداً لكن ملخص الرسالة فارغ، فقد يتعذر على الجهاز الحصول على رسالة مصدر الحدث أو تنسيقها. لا يثبت ذلك وحده غياب الحدث. قارن معرف الحدث ومصدره ووقته بالحدث المحلي على الجهاز.
آخر تحديث