ค้นหาและส่งออกเหตุการณ์ระบบ
การซิงค์เหตุการณ์ระบบส่งเหตุการณ์ตามเงื่อนไขจากช่อง System, Application และ Security ของอุปกรณ์ Windows ที่เลือกให้ผู้ดูแลตรวจสอบ ขอบเขตอุปกรณ์ ช่อง ระดับ และ ID เหตุการณ์จำกัดข้อมูลที่เก็บ รายการจึงไม่ใช่สำเนาเหตุการณ์ทั้งหมด ข้อความอาจมีข้อมูลผู้ใช้หรืออุปกรณ์ที่อ่อนไหว ควรจำกัดสิทธิ์ดูและส่งออก และเก็บตามข้อกำหนดขององค์กร
ดูการตั้งค่าทั้งหมดใน การตั้งค่าซิงก์เหตุการณ์ระบบ
หากเพียงดูบันทึกที่มีอยู่ ให้ใช้บัญชีที่มีสิทธิ์ดูและขอบเขตการมองเห็นที่เหมาะสม แล้วไปยังขั้นตอนค้นหาด้านล่างได้โดยตรง ไม่จำเป็นต้องแก้การตั้งค่าหรือสร้างเหตุการณ์ทดสอบเพื่อการค้นหา หากต้องการตรวจสอบบันทึกใหม่ ให้ตรวจสอบฟังก์ชันและการตั้งค่าที่มีอยู่ก่อน และให้ผู้มีสิทธิ์จัดการที่เหมาะสมปรับเฉพาะเมื่อจำเป็นก่อนการทดสอบที่เกี่ยวข้อง บันทึกแต่ละประเภทมีเงื่อนไขการเกิดต่างกัน
ตั้งค่าการซิงค์
- เปิด UEM > Audit > System Events แล้วเลือก Settings หากโหลดการตั้งค่าไม่สำเร็จ ให้ยกเลิกแม้หน้าต่างจะเปิดแล้ว โหลดใหม่และตรวจสอบการตั้งค่าเดิมก่อนแก้ไข อย่าบันทึกการตั้งค่าที่อาจไม่ครบ
- ตรวจ Enable Sync ช่วงเวลาและ Target รวมถึงช่อง System, Application และ Security ระดับบันทึก และรายการอนุญาตหรือปฏิเสธ ID เหตุการณ์ก่อน หากการตั้งค่าเดิมเหมาะกับการทดลองให้ใช้ซ้ำ เฉพาะเมื่อต้องเปลี่ยน ให้ผู้มีสิทธิ์ตั้งค่าประเมินผลกระทบแล้วจึงแก้ไข ID ในรายการปฏิเสธจะถูกตัดออกแม้อยู่ในรายการอนุญาตด้วย
- หากมีการแก้ไข ให้บันทึกแล้วเปิดการตั้งค่าอีกครั้งเพื่อตรวจสอบสวิตช์ ช่อง ระดับและอุปกรณ์เป้าหมาย หากไม่ได้แก้ไขไม่จำเป็นต้องบันทึกใหม่ รอให้อุปกรณ์รับและประมวลผลตามรอบ การบันทึกในคอนโซลสำเร็จไม่ได้ยืนยันว่าอุปกรณ์ใช้นโยบายหรือส่งบันทึกแล้ว การซิงค์ไม่เกิดทันทีและไม่รับประกันว่าจะเติมเหตุการณ์ย้อนหลังได้ทั้งหมด
เหตุการณ์ที่อุปกรณ์สแกนและตัดออกแล้วตามเงื่อนไขระดับหรือ ID เดิม ไม่รับประกันว่าจะถูกเก็บใหม่เมื่อขยายเงื่อนไข หลังแก้ไขให้รออุปกรณ์รับการตั้งค่า สร้างเหตุการณ์ทดสอบใหม่ที่ตรงเงื่อนไขและตรวจสอบ หากต้องตรวจเหตุการณ์ก่อนหน้า ให้ดูบันทึกเหตุการณ์ในอุปกรณ์ด้วย อย่าสมมติว่าข้อมูลย้อนหลังจะเติมโดยอัตโนมัติ
ตรวจสอบ ค้นหาและส่งออก
- หากต้องการตรวจสอบเหตุการณ์ใหม่ ใช้วิธีที่องค์กรอนุมัติสร้างเหตุการณ์ทดสอบบนอุปกรณ์ทดลองให้ตรงช่อง ระดับและ ID ที่เลือก จดอุปกรณ์ เวลา แหล่งที่มาและ ID แล้วรอการซิงค์และส่งข้อมูล อย่าสร้างความขัดข้องหรือลดการตั้งค่าความปลอดภัยในระบบใช้งานจริงเพื่อทดสอบ
- เปิด System Events ปรับวันที่และแพลตฟอร์ม แล้วกรองตามช่อง ระดับ แหล่งเหตุการณ์หรือ ID หรือค้นด้วยคำสำคัญ ตัวกรองระดับเริ่มต้นคือ Critical, Error และ Warning หากนโยบายเก็บ Information หรือ Verbose ให้เลือกระดับนั้นในตัวกรองค้นหาด้วย
- ตรวจสอบอุปกรณ์ ช่อง ระดับ ID แหล่งที่มา เวลาและสรุปข้อความ เปิดรายละเอียดเพื่อดูข้อมูลที่มี เมื่อตรวจสอบเหตุการณ์ใหม่ ให้เทียบกับเหตุการณ์ในอุปกรณ์และเงื่อนไขทดลอง สิทธิ์อ่าน การเกิดเหตุการณ์ เครือข่าย สถานะอุปกรณ์และช่วงวันที่อาจมีผลต่อผลลัพธ์
- หากมีสิทธิ์ส่งออก ให้เลือก Export เพื่อสร้าง CSV ระบบดึงบันทึกข้ามหน้าตามวันที่ แพลตฟอร์ม คำค้นและตัวกรองปัจจุบัน ไม่จำกัดเฉพาะหน้าที่แสดง หากข้อมูลมากให้จำกัดขอบเขต ส่งออกเป็นชุดและตรวจสอบไฟล์ จัดเก็บข้อมูลเหตุการณ์ที่อาจอ่อนไหวอย่างควบคุม
เมื่อไม่พบบันทึก
ตรวจสอบสิทธิ์ใช้งานและขอบเขตที่ผู้ดูแลมองเห็น จากนั้นตรวจสอบสวิตช์ซิงค์ อุปกรณ์ทดลอง ช่องและระดับ ตัวกรอง ID และการรับการตั้งค่า ตรวจสอบเหตุการณ์ในอุปกรณ์ สิทธิ์อ่านช่อง สถานะอุปกรณ์และเครือข่าย เวลาส่งข้อมูล รวมถึงวันที่และระดับในหน้าค้นหา รายการว่างไม่ได้พิสูจน์ว่าไม่มีเหตุการณ์หรือใช้การตั้งค่าแล้ว หากจำเป็นให้ผู้ดูแลตรวจสอบสถานะซิงค์และการส่งข้อมูล
หากมีบันทึกแต่สรุปข้อความว่าง อุปกรณ์อาจไม่สามารถรับหรือจัดรูปแบบข้อความของแหล่งเหตุการณ์ได้ เพียงเท่านี้ไม่ได้พิสูจน์ว่าไม่มีเหตุการณ์ ให้เทียบ ID แหล่งที่มาและเวลากับเหตุการณ์ภายในอุปกรณ์
วันที่อัปเดต