Event Viewer Custom Views (vlastní zobrazení a filtry)
Pripravil jsem 52 filtru pro trídení událostí v protokolu zabezpecení (Security log) podle 52 kategorií v OS Windows Vista / 2008 / a Windows 7, jak je vypíše auditpol:
C:\Windows\system32>auditpol /get /category:*
System audit policy
Category/Subcategory (9/52)
System (5)
Security System Extension
System Integrity
IPsec Driver
Other System Events
Security State Change
Logon/Logoff (9)
Logon
Logoff
Account Lockout
IPsec Main Mode
IPsec Quick Mode
IPsec Extended Mode
Special Logon
Other Logon/Logoff Events
Network Policy Server
Object Access (11)
File System
Registry
Kernel Object
SAM
Certification Services
Application Generated
Handle Manipulation
File Share
Filtering Platform Packet Drop
Filtering Platform Connection
Other Object Access Events
Privilege Use (3)
Sensitive Privilege Use
Non Sensitive Privilege Use
Other Privilege Use Events
Detailed Tracking (4)
Process Termination
DPAPI Activity
RPC Events
Process Creation
Policy Change (6)
Audit Policy Change
Authentication Policy Change
Authorization Policy Change
MPSSVC Rule-Level Policy Change
Filtering Platform Policy Change
Other Policy Change Events
Account Management (6)
User Account Management
Computer Account Management
Security Group Management
Distribution Group Management
Application Group Management
Other Account Management Events
DS Access (4)
Directory Service Changes
Directory Service Replication
Detailed Directory Service Replication
Directory Service Access
Account Logon (4)
Kerberos Service Ticket Operations
Other Account Logon Events
Kerberos Authentication Service
Credential Validation
Kategorie jsou trídené podle devíti puvodních základních kategorií do devíti skupin. Kvuli zobrazení v prohlížeci událostí jejich názvy zacínají císlicí. Požadovaného setrídení v jednotlivých složkách je dosaženo správným pojmenováním konfiguracních souboru (View_N.xml, kde N je poradové císlo (0,1,2,3,…)). Ve složce 3 Object Access jsem císlování opravil na dvouciferné, protože razení bylo puvodne View_0, View_1, View_10, View_2, …
V príloze (Attachment, dole) najdete konfiguracní soubory v požadované adresárové strukture (Security Auditing). Po nakopírování do složky uživatele “%LOCALAPPDATA%\Microsoft\Event Viever\Views” nebo pro všechny uživatele do složky “%ALLUSERSPROFILE%\Microsoft\Event Viever\Views” získáte strukturu zobrazení filtru podle výše uvedeného seznamu .
Poznámka: Razení náhledu podle jména (císla) souboru View_N.xml funguje ve Windows 2008 / Vista. Ve Windows 7 se náhledy setrídí podle abecedy podle názvu náhledu (filtru), tak jak je uveden v konfiguracním souboru…
Znacky Technorati: Admin,Security Audit,Windows 2008 Server