Systemereignisse abfragen und exportieren

Die Synchronisierung meldet ausgewählte Ereignisse der Windows-Kanäle System, Application und Security zur administrativen Abfrage. Endpunktbereich, Kanal, Stufe und Ereignis-ID begrenzen die Erfassung; die Liste ist keine vollständige Kopie aller Ereignisse. Meldungen können vertrauliche Benutzer- und Gerätedaten enthalten. Beschränken Sie Anzeige und Export und bewahren Sie Daten gemäß den Organisationsvorgaben auf.

Die vollständige Konfiguration finden Sie unter Synchronisierungseinstellungen für Systemereignisse.

Für vorhandene Protokolle können Sie mit den erforderlichen Leserechten und dem passenden Sichtbereich direkt zu den Abfrageschritten unten gehen. Ändern Sie nicht allein für eine Abfrage die Konfiguration und erzeugen Sie keine Testereignisse. Prüfen Sie für neue Protokolle zuerst die jeweilige Funktion und bestehende Konfiguration; nur bei Bedarf ändert eine entsprechend berechtigte Person diese vor dem passenden Pilottest. Die Entstehungsbedingungen unterscheiden sich je Protokollart.

Synchronisierung konfigurieren

1. Öffnen Sie UEM > Audit > System Events und wählen Sie Settings. Wenn das Laden fehlschlägt, brechen Sie auch bei geöffnetem Dialog ab. Laden und prüfen Sie die vorhandenen Einstellungen erneut, bevor Sie Änderungen vornehmen; speichern Sie keine möglicherweise unvollständigen Daten.
2. Prüfen Sie zuerst Enable Sync, Intervall und Target sowie die Kanäle System, Application und Security, Protokollstufen und Ereignis-ID-Allowlist und -Denylist. Verwenden Sie passende vorhandene Einstellungen für den Pilot weiter; nur bei Änderungsbedarf bewertet eine zur Konfiguration berechtigte Person die Auswirkungen und nimmt die Änderungen vor. IDs auf der Denylist werden auch bei gleichzeitigem Eintrag auf der Allowlist ausgeschlossen.
3. Wenn Änderungen vorgenommen wurden, speichern und öffnen Sie die Einstellungen erneut, um Schalter, Kanäle, Stufen und Ziele zu prüfen; ohne Änderungen ist erneutes Speichern nicht nötig. Warten Sie auf Empfang und zyklische Verarbeitung. Das Speichern in der Konsole belegt weder die Anwendung noch die Übertragung. Die Synchronisierung erfolgt nicht unmittelbar und garantiert keine vollständige Nachlieferung historischer Ereignisse.

Ereignisse, die der Endpunkt unter früheren Stufen- oder Ereignis-ID-Bedingungen bereits durchsucht und ausgeschlossen hat, werden nach einer Erweiterung der Bedingungen nicht garantiert erneut erfasst. Warten Sie nach der Änderung auf den Empfang der Einstellungen, erzeugen Sie ein neues passendes Testereignis und prüfen Sie es. Ziehen Sie für frühere Ereignisse auch das lokale Ereignisprotokoll heran; eine automatische Nachlieferung ist nicht garantiert.

Prüfen, suchen und exportieren

1. Um ein neues Ereignis zu prüfen, erzeugen Sie am Pilotendpunkt auf eine genehmigte Weise ein Testereignis, das Kanal, Stufe und ID entspricht. Notieren Sie Endpunkt, Zeit, Quelle und ID und warten Sie auf Synchronisierung und Meldung. Verursachen Sie in Produktion keine absichtlichen Fehler und schwächen Sie keine Sicherheitseinstellungen.
2. Öffnen Sie System Events, passen Sie Datum und Plattform an und filtern Sie nach Kanal, Stufe, Quelle oder ID oder suchen Sie nach einem Begriff. Der anfängliche Stufenfilter umfasst Critical, Error und Warning. Wählen Sie Information oder Verbose auch im Abfragefilter, wenn die Richtlinie diese erfasst.
3. Prüfen Sie Endpunkt, Kanal, Stufe, Ereignis-ID, Quelle, Zeit und Meldungszusammenfassung und öffnen Sie Details. Vergleichen Sie bei der Prüfung eines neuen Ereignisses das lokale Ereignis mit den Pilotbedingungen. Leserechte, Ereigniserzeugung, Netzwerk, Endpunktzustand und Zeitraum können das Ergebnis beeinflussen.
4. Wählen Sie mit Exportberechtigung Export für eine CSV-Datei. Der Export ruft zu den aktuellen Datums-, Plattform-, Such- und Filterbedingungen passende Datensätze über mehrere Seiten ab, nicht nur die aktuelle Seite. Grenzen Sie große Ergebnisse für mehrere Exporte ein und prüfen Sie die Dateien. Speichern Sie sensible Ereignisdaten geschützt.

Fehlende Datensätze

Prüfen Sie Lizenz und Administratorsichtbarkeit, dann Synchronisierungsschalter, Auswahl des Pilotendpunkts, Kanäle und Stufen, ID-Filter sowie den Empfang der Einstellungen. Prüfen Sie anschließend passende lokale Ereignisse, Kanal-Leserechte, Endpunkt und Netzwerk, Meldezeit sowie Datums- und Stufenfilter. Eine leere Liste beweist weder fehlende Ereignisse noch eine erfolgreiche Anwendung. Lassen Sie Synchronisierung und Übertragung bei Bedarf durch einen Administrator prüfen.

Ist ein Datensatz vorhanden, aber die Meldungszusammenfassung leer, konnte der Endpunkt die Meldung der Ereignisquelle möglicherweise nicht abrufen oder formatieren. Dies allein beweist nicht, dass das Ereignis fehlte. Vergleichen Sie Ereignis-ID, Quelle und Zeit mit dem lokalen Ereignis.