การตั้งค่าซิงก์เหตุการณ์ระบบ
การซิงค์เหตุการณ์ระบบส่งเหตุการณ์ตามเงื่อนไขจากช่อง System, Application และ Security ของอุปกรณ์ Windows ที่เลือกให้ผู้ดูแลตรวจสอบ ขอบเขตอุปกรณ์ ช่อง ระดับ และ ID เหตุการณ์จำกัดข้อมูลที่เก็บ รายการจึงไม่ใช่สำเนาเหตุการณ์ทั้งหมด ข้อความอาจมีข้อมูลผู้ใช้หรืออุปกรณ์ที่อ่อนไหว ควรจำกัดสิทธิ์ดูและส่งออก และเก็บตามข้อกำหนดขององค์กร
ตั้งค่าการซิงค์
- ตรวจสอบสิทธิ์ใช้งานฟังก์ชันและสิทธิ์ดูบันทึกกับตั้งค่า Unified Endpoint Management การส่งออกต้องมีสิทธิ์เพิ่มเติม เลือกอุปกรณ์ Windows ทดลองที่ลงทะเบียนแล้ว มีสิทธิ์อุปกรณ์ทั่วไป และไม่อยู่ในโหมดบำรุงรักษา โดยต้องรับการตั้งค่า อ่านช่องเหตุการณ์ที่เลือก และส่งบันทึกได้
- เปิด UEM > Audit > System Events แล้วเลือก Settings หากโหลดการตั้งค่าไม่สำเร็จ ให้ยกเลิกแม้หน้าต่างจะเปิดแล้ว โหลดใหม่และตรวจสอบการตั้งค่าเดิมก่อนแก้ไข อย่าบันทึกการตั้งค่าที่อาจไม่ครบ
- ในการตั้งค่าทั่วไป เปิด Enable Sync แล้วเลือก Sync Interval เป็น 5, 15, 30 หรือ 60 นาที ค่าเริ่มต้นของการตั้งค่าใหม่คือ 15 นาที ส่วนการตั้งค่าเดิมให้ดูค่าที่แสดง เลือกอุปกรณ์ทดลองให้ชัดเจนผ่าน Target และยืนยัน อย่าขยายขอบเขตโดยไม่ประเมินผลกระทบ
- ตรวจสอบช่อง System, Application และ Security แยกกัน เปิดช่องที่ต้องการและเลือก Log Levels การตั้งค่าใหม่เปิดช่องไว้โดยเลือกระดับ Critical, Error และ Warning หากต้องการ Information หรือ Verbose ต้องเลือกเพิ่มเติม คำนึงถึงปริมาณเหตุการณ์ ความเป็นส่วนตัวและผลกระทบต่องาน
- หากต้องจำกัด ID เหตุการณ์ ให้กรอกตัวเลขหนึ่งรายการต่อบรรทัดใน Event ID Allowlist หรือ Event ID Denylist ของช่องนั้น หากรายการอนุญาตไม่ว่างจะเก็บเฉพาะ ID ที่ระบุ และจะไม่เก็บ ID ในรายการปฏิเสธ รวมถึง ID ที่อยู่ทั้งสองรายการ รายการว่างไม่เพิ่มข้อจำกัดจากรายการนั้น แต่การเว้นว่างทั้งสองรายการไม่ได้ยกเลิกเงื่อนไขช่องและระดับ
- บันทึกแล้วเปิดการตั้งค่าอีกครั้งเพื่อตรวจสอบสวิตช์ ช่อง ระดับและอุปกรณ์เป้าหมาย รอให้อุปกรณ์รับและประมวลผลตามรอบ การบันทึกในคอนโซลสำเร็จไม่ได้ยืนยันว่าอุปกรณ์ใช้นโยบายหรือส่งบันทึกแล้ว การซิงค์ไม่เกิดทันทีและไม่รับประกันว่าจะเติมเหตุการณ์ย้อนหลังได้ทั้งหมด
เหตุการณ์ที่อุปกรณ์สแกนและตัดออกแล้วตามเงื่อนไขระดับหรือ ID เดิม ไม่รับประกันว่าจะถูกเก็บใหม่เมื่อขยายเงื่อนไข หลังแก้ไขให้รออุปกรณ์รับการตั้งค่า สร้างเหตุการณ์ทดสอบใหม่ที่ตรงเงื่อนไขและตรวจสอบ หากต้องตรวจเหตุการณ์ก่อนหน้า ให้ดูบันทึกเหตุการณ์ในอุปกรณ์ด้วย อย่าสมมติว่าข้อมูลย้อนหลังจะเติมโดยอัตโนมัติ
เมื่อไม่พบบันทึก
ตรวจสอบสิทธิ์ใช้งานและขอบเขตที่ผู้ดูแลมองเห็น จากนั้นตรวจสอบสวิตช์ซิงค์ อุปกรณ์ทดลอง ช่องและระดับ ตัวกรอง ID และการรับการตั้งค่า ตรวจสอบเหตุการณ์ในอุปกรณ์ สิทธิ์อ่านช่อง สถานะอุปกรณ์และเครือข่าย เวลาส่งข้อมูล รวมถึงวันที่และระดับในหน้าค้นหา รายการว่างไม่ได้พิสูจน์ว่าไม่มีเหตุการณ์หรือใช้การตั้งค่าแล้ว หากจำเป็นให้ผู้ดูแลตรวจสอบสถานะซิงค์และการส่งข้อมูล
หากมีบันทึกแต่สรุปข้อความว่าง อุปกรณ์อาจไม่สามารถรับหรือจัดรูปแบบข้อความของแหล่งเหตุการณ์ได้ เพียงเท่านี้ไม่ได้พิสูจน์ว่าไม่มีเหตุการณ์ ให้เทียบ ID แหล่งที่มาและเวลากับเหตุการณ์ภายในอุปกรณ์
วันที่อัปเดต