Quản lý dọn sự kiện kiểm toán AD

Việc dọn sự kiện kiểm toán xóa chi tiết sự kiện lịch sử đủ điều kiện và nội dung gốc liên quan được lưu trong Ping64 theo loại sự kiện và số ngày lưu giữ. Thống kê tổng hợp đã tạo không bị xóa, vì vậy tổng thống kê có thể khác số chi tiết còn xem được. Thao tác dọn dữ liệu nền tảng, không xóa nhật ký bảo mật trên bộ điều khiển miền và không khôi phục bản ghi đã mất.

Dọn sẽ xóa dữ liệu. Quy tắc áp dụng cho bản ghi phù hợp trên nhiều miền của tổ chức hiện tại, không chỉ miền đang xem. Trước khi thực hiện phải xác nhận mọi miền, loại sự kiện và yêu cầu lưu giữ chịu ảnh hưởng. Hủy tác vụ không khôi phục bản ghi đã xóa. Nếu cần giữ bằng chứng, trước tiên xác nhận có bản sao lưu dùng được và phương án khôi phục theo chính sách của tổ chức; không giả định nền tảng tự khôi phục.

Chuẩn bị

1. Xác nhận giấy phép quản lý miền AD và quyền xem, sửa quy tắc dọn của quản trị viên. Khởi chạy thủ công hoặc hủy tác vụ cần thêm quyền thao tác tương ứng. Cùng chủ dữ liệu xác nhận yêu cầu lưu giữ phục vụ kiểm toán, tuân thủ và điều tra đối với mọi miền bị ảnh hưởng.
2. Dựa vào thu thập và xem sự kiện bảo mật để xác nhận mục đích bản ghi và bằng chứng gốc cần giữ; xem xét điều tra bảo mật và yêu cầu bảo toàn pháp lý đang có. Phạm vi dọn và phạm vi thu thập là các cài đặt riêng; dừng thu thập không tự bảo vệ dữ liệu lịch sử khỏi bị dọn.
3. Thực hiện thay đổi được phê duyệt trong thời gian bảo trì. Xác nhận trước phương án sao lưu, khôi phục và sắp xếp kiểm tra sau khi chạy. Nếu chưa xác định ảnh hưởng hoặc bằng chứng phải giữ, không bật quy tắc hay gửi tác vụ dọn.

Đặt quy tắc lưu giữ theo loại

1. Trong quản lý miền AD mở Audit Event Cleanup. Xem từng loại sự kiện, số hiện tại, số ước tính hết hạn, trạng thái dọn và Retention Days. Danh sách có thể gồm xác thực đăng nhập, quản lý tài khoản người dùng, kiểm toán DNS và các loại khác; căn cứ màn hình thực tế.
2. Chỉ bật Enable cleanup với loại đã được phê duyệt và đặt thời hạn từ 1 đến 3650 ngày cho từng loại. Quy tắc ban đầu tắt và có thời hạn 180 ngày; cấu hình hiện có có thể khác, cần kiểm tra màn hình. Loại bị tắt không tham gia dọn theo quy tắc đó.
3. Kiểm tra công tắc và số ngày của mọi loại rồi chọn Save rules. Nếu lưu thất bại do quản trị viên khác sửa đồng thời, làm mới và kiểm tra cấu hình mới nhất cùng ảnh hưởng trước khi sửa lại theo quy trình phê duyệt. Không ghi đè mù quáng.

Xem trước và dọn thủ công

1. Sau khi lưu quy tắc chọn Clean up now. Cần ít nhất một quy tắc đã bật để tạo bản xem trước hợp lệ; nếu có thay đổi chưa lưu, hãy lưu và kiểm tra lại trước. Mở bản xem trước không xóa dữ liệu ngay.
2. Trong Confirm immediate cleanup, kiểm tra từng loại, số ngày lưu, thời điểm cắt, số dự kiến xóa và tổng số. Bản xem trước dùng dữ liệu và quy tắc tại thời điểm tạo; khi gửi tác vụ, phạm vi thực hiện được xác định lại nên số thực tế có thể khác. Không coi số dự kiến là danh sách xóa đã khóa.
3. Nếu ảnh hưởng đã được phê duyệt và phương án sao lưu, khôi phục đã xác nhận, chọn Confirm cleanup; nếu không, hủy và đánh giá lại. Gửi thành công chỉ có nghĩa tác vụ đã được gửi, không phải đã xóa xong.
4. Mở Cleanup runs, xem trạng thái và chi tiết, đối chiếu số quét, số xóa, lỗi và kết quả từng loại. Tác vụ có thể chờ, chạy, thử lại, thất bại, thất bại một phần, hoàn tất hoặc bị hủy. Không gửi lặp tác vụ trước khi xác nhận trạng thái cuối.

Dọn tự động và hủy

1. Để dọn định kỳ, mở Automatic cleanup settings, bật Enable daily automatic cleanup, đặt Daily execution time rồi lưu. Hệ thống dùng giờ địa phương của máy chủ; kiểm tra múi giờ, lịch bảo trì và quy tắc đã bật trước. Ban đầu dọn tự động bị tắt; với cấu hình hiện có hãy xem giá trị hiển thị.
2. Tác vụ tự động dùng các quy tắc loại đang bật khi tác vụ được tạo. Sau khi đổi hoặc tắt quy tắc, kiểm tra lại quy tắc và cài đặt tự động. Không giả định tắt một cài đặt sẽ hủy tác vụ đã gửi.
3. Với tác vụ đang chờ, chạy hoặc chờ thử lại, chọn hủy trong Cleanup runs và xác nhận dừng. Sau yêu cầu tiếp tục theo dõi trạng thái cuối và số đã xóa. Tác vụ chạy theo lô; hủy không khôi phục dữ liệu đã xóa và không đảm bảo lô đang xử lý dừng ngay.

Kiểm tra và xử lý sự cố

• Nếu bản xem trước thiếu kết quả mong đợi, kiểm tra có bật ít nhất một loại, số ngày và thời điểm cắt đúng, cùng sự tồn tại của bản ghi lịch sử đủ điều kiện. Một số bản ghi có thể chưa đáp ứng điều kiện dọn; tuổi bản ghi không tự đảm bảo sẽ bị xóa.
• Khi tác vụ thất bại hoặc thất bại một phần, xem kết quả và lỗi từng loại, xác định dữ liệu đã xóa trước khi xử lý theo quy trình tổ chức. Không chạy lại hoặc rút ngắn thời hạn để mở rộng xóa khi chưa hiểu kết quả thực tế.
• Sau khi hoàn tất, tra cứu lại sự kiện bảo mật nếu cần và đối chiếu bản ghi tác vụ. Thống kê tổng hợp có thể còn; thiếu chi tiết trên nền tảng không có nghĩa nhật ký gốc trên bộ điều khiển đã bị xóa hoặc chắc chắn có bản sao lưu khôi phục được.