시스템 이벤트 동기화 설정

시스템 이벤트 동기화는 선택한 Windows 단말의 System, Application, Security 채널에서 조건에 맞는 이벤트를 전송하여 관리자가 조회하도록 합니다. 단말 범위, 채널, 수준과 이벤트 ID 조건이 적용되며 목록은 모든 이벤트의 완전한 복사본이 아닙니다. 메시지에 사용자나 장치의 민감한 정보가 포함될 수 있으므로 조회·내보내기 권한을 제한하고 조직 기준에 따라 보관하십시오.

동기화 설정

1. 기능 라이선스와 Unified Endpoint Management 기록 조회 및 설정 권한을 확인합니다. 내보내기에는 별도 권한이 필요합니다. 등록되어 일반 단말 사용 권한이 있고 유지 관리 모드가 아닌 Windows 시험 단말을 선택합니다. 설정 수신, 선택한 채널 읽기와 기록 전송이 가능해야 합니다.
2. UEM > Audit > System Events를 열고 Settings를 선택합니다. 설정 읽기에 실패하면 창이 열려 있더라도 취소하고 다시 불러온 후 기존 설정을 확인하십시오. 불완전할 수 있는 설정을 그대로 저장하지 마십시오.
3. 일반 설정에서 Enable Sync를 켜고 Sync Interval을 5, 15, 30, 60분 중 선택합니다. 새 설정의 초기값은 15분이며 기존 설정은 표시값을 확인합니다. Target에서 시험 단말을 명시적으로 선택하고 확인합니다. 영향 평가 없이 범위를 확대하지 마십시오.
4. System, Application, Security 채널을 각각 확인하고 필요한 채널과 Log Levels를 선택합니다. 새 설정은 채널을 활성화하고 Critical, Error, Warning을 선택합니다. Information이나 Verbose가 필요하면 별도로 선택합니다. 이벤트 양, 개인정보와 업무 영향을 고려하십시오.
5. 이벤트 ID를 제한하려면 해당 채널의 Event ID Allowlist 또는 Event ID Denylist에 한 줄에 숫자 하나씩 입력합니다. 허용 목록이 비어 있지 않으면 나열된 ID만 수집하고 거부 목록의 ID는 제외합니다. 양쪽에 있는 ID도 제외됩니다. 빈 목록은 해당 목록의 제한이 없다는 뜻이며 두 목록이 비어도 채널과 수준 조건은 적용됩니다.
6. 저장 후 다시 열어 스위치, 채널, 수준과 대상을 확인합니다. 단말 수신과 주기적 처리를 기다리십시오. 콘솔 저장 성공은 단말 적용이나 전송을 증명하지 않습니다. 동기화는 즉시 이뤄지지 않으며 과거 이벤트 전체의 보완을 보장하지 않습니다.

단말이 이전 수준 또는 이벤트 ID 조건으로 이미 검사하고 제외한 이벤트는 조건을 완화해도 다시 수집된다고 보장되지 않습니다. 변경 후 단말이 설정을 받을 때까지 기다리고 조건에 맞는 새 시험 이벤트를 만들어 확인하십시오. 이전 이벤트를 조사할 때는 단말의 로컬 이벤트 로그도 확인하고 기록이 자동으로 보완된다고 가정하지 마십시오.

기록이 없을 때

라이선스와 관리자의 가시 범위를 확인한 뒤 동기화 활성화, 시험 단말 선택, 채널과 수준, ID 필터 및 단말의 설정 수신을 확인합니다. 이어서 조건에 맞는 로컬 이벤트, 채널 읽기 권한, 단말과 네트워크 상태, 전송 시간, 페이지 날짜와 수준 필터를 확인합니다. 빈 목록은 이벤트 부재나 설정 적용을 증명하지 않습니다. 필요하면 관리자에게 동기화와 전송 상태 확인을 요청하십시오.

기록은 있지만 메시지 요약이 비어 있다면 단말이 이벤트 원본의 메시지를 가져오거나 형식화하지 못했을 수 있습니다. 이것만으로 이벤트가 없었다고 판단할 수 없습니다. 이벤트 ID, 원본, 시간과 단말의 로컬 이벤트를 대조하십시오.

• 시스템 이벤트 조회 및 내보내기