Synchronisierungseinstellungen für Systemereignisse

Die Synchronisierung meldet ausgewählte Ereignisse der Windows-Kanäle System, Application und Security zur administrativen Abfrage. Endpunktbereich, Kanal, Stufe und Ereignis-ID begrenzen die Erfassung; die Liste ist keine vollständige Kopie aller Ereignisse. Meldungen können vertrauliche Benutzer- und Gerätedaten enthalten. Beschränken Sie Anzeige und Export und bewahren Sie Daten gemäß den Organisationsvorgaben auf.

Synchronisierung konfigurieren

1. Prüfen Sie die Funktionslizenz sowie die Berechtigungen zum Anzeigen und Konfigurieren in Unified Endpoint Management; der Export benötigt eine zusätzliche Berechtigung. Wählen Sie einen eingebundenen Windows-Pilotendpunkt mit allgemeiner Endpunktlizenz außerhalb des Wartungsmodus. Er muss Einstellungen empfangen, die gewählten Kanäle lesen und Datensätze melden können.
2. Öffnen Sie UEM > Audit > System Events und wählen Sie Settings. Wenn das Laden fehlschlägt, brechen Sie auch bei geöffnetem Dialog ab. Laden und prüfen Sie die vorhandenen Einstellungen erneut, bevor Sie Änderungen vornehmen; speichern Sie keine möglicherweise unvollständigen Daten.
3. Aktivieren Sie unter den allgemeinen Einstellungen Enable Sync und wählen Sie Sync Interval: 5, 15, 30 oder 60 Minuten. Neue Einstellungen beginnen mit 15 Minuten; bei bestehenden gilt der angezeigte Wert. Wählen Sie unter Target ausdrücklich den Pilotendpunkt und bestätigen Sie. Erweitern Sie den Bereich nicht ohne Bewertung.
4. Prüfen Sie System, Application und Security einzeln, aktivieren Sie die benötigten Kanäle und wählen Sie Log Levels. Neue Einstellungen aktivieren die Kanäle mit Critical, Error und Warning; Information oder Verbose müssen bei Bedarf zusätzlich gewählt werden. Berücksichtigen Sie Ereignismenge, Datenschutz und Auswirkungen auf den Betrieb.
5. Tragen Sie zur Einschränkung unter Event ID Allowlist oder Event ID Denylist des jeweiligen Kanals eine Nummer pro Zeile ein. Eine nicht leere Allowlist lässt nur aufgeführte IDs zu; die Denylist schließt IDs aus, auch wenn sie in beiden Listen stehen. Eine leere Liste schränkt nicht ein; zwei leere Listen heben Kanal- und Stufenbedingungen nicht auf.
6. Speichern und öffnen Sie die Einstellungen erneut, um Schalter, Kanäle, Stufen und Ziele zu prüfen. Warten Sie auf Empfang und zyklische Verarbeitung. Das Speichern in der Konsole belegt weder die Anwendung noch die Übertragung. Die Synchronisierung erfolgt nicht unmittelbar und garantiert keine vollständige Nachlieferung historischer Ereignisse.

Ereignisse, die der Endpunkt unter früheren Stufen- oder Ereignis-ID-Bedingungen bereits durchsucht und ausgeschlossen hat, werden nach einer Erweiterung der Bedingungen nicht garantiert erneut erfasst. Warten Sie nach der Änderung auf den Empfang der Einstellungen, erzeugen Sie ein neues passendes Testereignis und prüfen Sie es. Ziehen Sie für frühere Ereignisse auch das lokale Ereignisprotokoll heran; eine automatische Nachlieferung ist nicht garantiert.

Fehlende Datensätze

Prüfen Sie Lizenz und Administratorsichtbarkeit, dann Synchronisierungsschalter, Auswahl des Pilotendpunkts, Kanäle und Stufen, ID-Filter sowie den Empfang der Einstellungen. Prüfen Sie anschließend passende lokale Ereignisse, Kanal-Leserechte, Endpunkt und Netzwerk, Meldezeit sowie Datums- und Stufenfilter. Eine leere Liste beweist weder fehlende Ereignisse noch eine erfolgreiche Anwendung. Lassen Sie Synchronisierung und Übertragung bei Bedarf durch einen Administrator prüfen.

Ist ein Datensatz vorhanden, aber die Meldungszusammenfassung leer, konnte der Endpunkt die Meldung der Ereignisquelle möglicherweise nicht abrufen oder formatieren. Dies allein beweist nicht, dass das Ereignis fehlte. Vergleichen Sie Ereignis-ID, Quelle und Zeit mit dem lokalen Ereignis.

• Systemereignisse abfragen und exportieren