Tra cứu và xuất sự kiện hệ thống

Đồng bộ sự kiện hệ thống gửi các sự kiện phù hợp từ kênh System, Application và Security của thiết bị Windows được chọn để quản trị viên tra cứu. Phạm vi thiết bị, kênh, mức độ và ID sự kiện giới hạn dữ liệu thu thập; danh sách không phải bản sao đầy đủ mọi sự kiện. Thông báo có thể chứa thông tin nhạy cảm về người dùng hoặc thiết bị, vì vậy cần giới hạn quyền xem, xuất và lưu giữ theo quy định của tổ chức.

Xem cấu hình đầy đủ tại Cài đặt đồng bộ sự kiện hệ thống.

Nếu chỉ xem nhật ký hiện có, hãy dùng tài khoản có quyền xem và phạm vi hiển thị phù hợp rồi chuyển trực tiếp đến các bước tra cứu bên dưới. Không cần sửa cấu hình hay phát sinh sự kiện thử nghiệm chỉ để tra cứu. Để xác minh nhật ký mới, trước tiên kiểm tra chức năng và cấu hình hiện có; chỉ người có quyền quản lý phù hợp mới điều chỉnh khi cần trước thử nghiệm tương ứng. Mỗi loại nhật ký có điều kiện tạo khác nhau.

Cấu hình đồng bộ

1. Mở UEM > Audit > System Events rồi chọn Settings. Nếu tải cấu hình thất bại, hãy hủy ngay cả khi cửa sổ đã mở. Tải lại và xác nhận cấu hình hiện có trước khi sửa; không lưu cấu hình có thể chưa đầy đủ.
2. Trước tiên kiểm tra Enable Sync, chu kỳ và Target, cùng các kênh System, Application, Security, mức nhật ký và danh sách ID được phép hoặc bị từ chối. Dùng lại cấu hình hiện có nếu đáp ứng yêu cầu thử nghiệm; chỉ khi cần thay đổi, người có quyền cấu hình mới đánh giá tác động và điều chỉnh. ID trong danh sách từ chối bị loại ngay cả khi cũng có trong danh sách cho phép.
3. Nếu có thay đổi, hãy lưu rồi mở lại để kiểm tra công tắc, kênh, mức độ và đối tượng; nếu không thay đổi thì không cần lưu lại. Đợi thiết bị nhận và xử lý theo chu kỳ. Lưu thành công trên bảng điều khiển không chứng minh thiết bị đã áp dụng hay gửi bản ghi. Đồng bộ không tức thời và không bảo đảm bổ sung toàn bộ sự kiện lịch sử.

Sự kiện mà thiết bị đã quét và loại theo điều kiện mức độ hoặc ID cũ không được bảo đảm sẽ thu thập lại khi mở rộng điều kiện. Sau khi thay đổi, hãy chờ thiết bị nhận cấu hình, tạo sự kiện thử mới phù hợp và kiểm tra. Khi điều tra sự kiện trước đó, hãy đối chiếu nhật ký cục bộ của thiết bị; không mặc định lịch sử sẽ tự được bổ sung.

Kiểm tra, tra cứu và xuất

1. Để xác minh sự kiện mới, trên thiết bị thử nghiệm, dùng cách được tổ chức phê duyệt để tạo một sự kiện thử phù hợp với kênh, mức độ và ID đã chọn. Ghi thiết bị, thời gian, nguồn và ID rồi đợi đồng bộ và gửi. Không cố ý gây lỗi hay giảm bảo mật trong môi trường vận hành để thử.
2. Mở System Events, điều chỉnh ngày và nền tảng, lọc theo kênh, mức độ, nguồn hoặc ID, hoặc tìm theo từ khóa. Bộ lọc mức độ ban đầu gồm Critical, Error và Warning. Nếu chính sách thu thập Information hoặc Verbose, hãy chọn thêm các mức đó trong bộ lọc truy vấn.
3. Xem thiết bị, kênh, mức độ, ID, nguồn, thời gian và tóm tắt thông báo; mở chi tiết để xem thông tin có sẵn. Khi xác minh sự kiện mới, đối chiếu với sự kiện cục bộ và điều kiện thử nghiệm. Quyền đọc, việc tạo sự kiện, mạng, trạng thái thiết bị và khoảng ngày đều có thể ảnh hưởng kết quả.
4. Khi có quyền xuất, chọn Export để tạo CSV. Xuất truy xuất bản ghi qua nhiều trang theo ngày, nền tảng, từ khóa và bộ lọc hiện tại, không chỉ trang đang xem. Với dữ liệu lớn, thu hẹp phạm vi, xuất theo đợt và kiểm tra tệp. Lưu trữ có kiểm soát vì thông tin sự kiện có thể nhạy cảm.

Khi không có bản ghi

Kiểm tra quyền sử dụng và phạm vi quản trị viên nhìn thấy; sau đó kiểm tra đồng bộ đã bật, thiết bị thử đã được chọn, kênh và mức độ, bộ lọc ID và việc nhận cấu hình. Tiếp tục kiểm tra sự kiện cục bộ phù hợp, quyền đọc kênh, trạng thái thiết bị và mạng, thời gian gửi, ngày và mức lọc trên trang. Danh sách trống không chứng minh không có sự kiện hoặc cấu hình đã áp dụng. Khi cần, yêu cầu quản trị viên kiểm tra trạng thái đồng bộ và gửi.

Nếu có bản ghi nhưng phần tóm tắt thông báo trống, thiết bị có thể không lấy hoặc định dạng được thông báo của nguồn sự kiện. Chỉ điều đó không chứng minh sự kiện không tồn tại. Hãy đối chiếu ID, nguồn và thời gian với sự kiện cục bộ trên thiết bị.