Cài đặt đồng bộ sự kiện hệ thống
Đồng bộ sự kiện hệ thống gửi các sự kiện phù hợp từ kênh System, Application và Security của thiết bị Windows được chọn để quản trị viên tra cứu. Phạm vi thiết bị, kênh, mức độ và ID sự kiện giới hạn dữ liệu thu thập; danh sách không phải bản sao đầy đủ mọi sự kiện. Thông báo có thể chứa thông tin nhạy cảm về người dùng hoặc thiết bị, vì vậy cần giới hạn quyền xem, xuất và lưu giữ theo quy định của tổ chức.
Cấu hình đồng bộ
- Xác nhận quyền sử dụng tính năng và quyền xem bản ghi, cấu hình Unified Endpoint Management; xuất cần thêm quyền xuất. Chọn thiết bị Windows thử nghiệm đã đăng ký, có quyền thiết bị đầu cuối thông thường và không ở chế độ bảo trì. Thiết bị phải nhận được cấu hình, đọc được kênh đã chọn và gửi được bản ghi.
- Mở UEM > Audit > System Events rồi chọn Settings. Nếu tải cấu hình thất bại, hãy hủy ngay cả khi cửa sổ đã mở. Tải lại và xác nhận cấu hình hiện có trước khi sửa; không lưu cấu hình có thể chưa đầy đủ.
- Trong cài đặt chung, bật Enable Sync và chọn Sync Interval: 5, 15, 30 hoặc 60 phút. Cấu hình mới ban đầu dùng 15 phút; với cấu hình hiện có hãy kiểm tra giá trị hiển thị. Chọn rõ thiết bị thử nghiệm trong Target và xác nhận. Không mở rộng phạm vi khi chưa đánh giá.
- Kiểm tra riêng các kênh System, Application và Security, bật kênh cần thiết và chọn Log Levels. Cấu hình mới bật các kênh với Critical, Error và Warning; chọn thêm Information hoặc Verbose khi cần. Cân nhắc số lượng sự kiện, quyền riêng tư và ảnh hưởng nghiệp vụ.
- Để giới hạn ID sự kiện, nhập một số mỗi dòng trong Event ID Allowlist hoặc Event ID Denylist của kênh tương ứng. Danh sách cho phép không rỗng chỉ thu thập ID được liệt kê; ID trong danh sách từ chối bị loại, kể cả khi xuất hiện trong cả hai. Danh sách rỗng không áp đặt hạn chế của danh sách đó; cả hai rỗng không bỏ điều kiện kênh và mức độ.
- Lưu rồi mở lại để kiểm tra công tắc, kênh, mức độ và đối tượng. Đợi thiết bị nhận và xử lý theo chu kỳ. Lưu thành công trên bảng điều khiển không chứng minh thiết bị đã áp dụng hay gửi bản ghi. Đồng bộ không tức thời và không bảo đảm bổ sung toàn bộ sự kiện lịch sử.
Sự kiện mà thiết bị đã quét và loại theo điều kiện mức độ hoặc ID cũ không được bảo đảm sẽ thu thập lại khi mở rộng điều kiện. Sau khi thay đổi, hãy chờ thiết bị nhận cấu hình, tạo sự kiện thử mới phù hợp và kiểm tra. Khi điều tra sự kiện trước đó, hãy đối chiếu nhật ký cục bộ của thiết bị; không mặc định lịch sử sẽ tự được bổ sung.
Khi không có bản ghi
Kiểm tra quyền sử dụng và phạm vi quản trị viên nhìn thấy; sau đó kiểm tra đồng bộ đã bật, thiết bị thử đã được chọn, kênh và mức độ, bộ lọc ID và việc nhận cấu hình. Tiếp tục kiểm tra sự kiện cục bộ phù hợp, quyền đọc kênh, trạng thái thiết bị và mạng, thời gian gửi, ngày và mức lọc trên trang. Danh sách trống không chứng minh không có sự kiện hoặc cấu hình đã áp dụng. Khi cần, yêu cầu quản trị viên kiểm tra trạng thái đồng bộ và gửi.
Nếu có bản ghi nhưng phần tóm tắt thông báo trống, thiết bị có thể không lấy hoặc định dạng được thông báo của nguồn sự kiện. Chỉ điều đó không chứng minh sự kiện không tồn tại. Hãy đối chiếu ID, nguồn và thời gian với sự kiện cục bộ trên thiết bị.
Ngày cập nhật