本地 云
下载PDF
此功能适用于事件日志分析器

# 设置 Windows 事件日志报表

最后更新于：2025年9月12日

EventLog Analyzer内置1000余份预定义报表，助力企业查看整合的安全事件、执行安全审计并满足各类合规要求。这些报表可帮助企业可视化网络安全事件，满足多样化的安全与合规需求。

在本帮助文档中，您将学习如何设置 Windows 报表生成。

## 设置Windows报表生成

在事件日志分析器中，当添加监控设备并配置事件源后，大多数Windows报表将自动生成。有关设备添加方法，请参阅此页面；有关事件源配置方法，请参阅本页"如何在设备中配置事件源文件？"章节。

下表所列的特定报表需要手动在Windows注册表中创建键值。请按照以下步骤设置这些报表的生成：

- 请确保已在事件查看器中启用事件记录：右键单击事件源 > 属性> 勾选“启用记录”复选框。
- 打开注册表编辑器，导航至HKEY_LOCAL_MACHINE > SYSTEM > CurrentControlSet > Service > EventLog。在此创建下表"新建键值"列所示的键值。
- 接着打开本地组策略编辑器，导航至计算机配置 > Windows设置 > 安全设置。后续路径及启用报表生成的步骤详见"审核策略"列。

报表 | 新键值 | 审核策略 | 其他先决条件
--- | --- | --- | ---
应用程序白名单报表 | Microsoft-Windows-AppLocker/EXE和DLL Microsoft-Windows-AppLocker/MSI和脚本 | 在应用程序控制策略下启用AppLocker | 启动应用程序身份验证服务。 创建两个新键后，事件查看器左侧面板将生成事件源Microsoft-Windows-AppLocker/EXEandDLL。右键单击该事件源，选择“属性”，复制日志路径。 导航至计算机\HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\WINEVT\通道\Microsoft-Windows-AppLocker/EXE和DLL，创建名为"文件"的可展开字符串值。将上一步复制的日志路径作为值数据。 在上述审核策略下配置可执行文件规则、Windows Installer规则及脚本规则。 重启计算机。
Windows 防火墙审核报表 | Microsoft-Windows-Windows 防火墙（带高级安全）/防火墙 | 启用审核MPSSVC规则 - 级别策略更改，位于高级审核策略配置 > 策略更改下。 | 要启用 Windows 防火墙日志，请在目标设备上执行以下命令（该设备将用于收集日志）： 复制到剪贴板 auditpol.exe /set /subcategory:"MPSSVC规则级策略变更,过滤平台策略变更" /success:enable /failure:enable 复制到剪贴板 auditpol.exe /set /subcategory:"IPsec 主模式,IPsec 快速模式,IPsec 扩展模式" /success:enable /failure:enable 复制到剪贴板 auditpol.exe /set /subcategory:"IPsec 驱动程序、其他系统事件" /success:enable /failure:enable 复制到剪贴板 auditpol.exe /set /subcategory:"过滤平台丢包,过滤平台丢包" /success:enable /failure:enable
可移动磁盘审核 | Microsoft-Windows-驱动程序框架-用户模式/操作 | 在“高级审核策略配置”>“对象访问”下，启用“审核句柄操作”、“审核可移动存储”和“审核文件系统”（在 NT 版本 6.2 中审核删除操作所需）。 | 要开始记录可移动存储设备事件，请导航至计算机\HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Storage，添加名为HotPlugSecureOpen 的新DWORD注册表项，并将值 设置为1。
注册表修改 |  | 在“高级审核策略配置”>“对象访问”下启用注册表审核。 | 在注册表编辑器中右键单击所需注册表项，依次导航至权限 > 高级 > 注册表中的审核，为该注册表项设置安全访问控制列表 (SACL)。
Windows 备份和还原报表 | Microsoft-Windows-备份 | 无需修改。 |
Windows 系统事件 | Microsoft-Windows-组策略/操作 Microsoft-Windows-WindowsUpdateClient/Operational Microsoft-Windows-WindowsUpdateClient/运行 Microsoft-Windows-Winlogon/运行 Microsoft-Windows-WLAN-自动配置/运行 Microsoft-Windows-终端服务网关/运行状态 Microsoft-Windows-终端服务-RDPClient/运行中 Microsoft-Windows-终端服务-远程连接管理器/运行中 Microsoft-Windows-有线自动配置/运行中 | 无需修改。 |
Hyper-V 服务器事件Hyper-V 虚拟机管理报表 | Microsoft-Windows-Hyper-V-Worker-Admin Microsoft-Windows-Hyper-V-VMMS-存储 Microsoft-Windows-Hyper-V-VMMS-网络 Microsoft-Windows-Hyper-V-VMMS-管理 Microsoft-Windows-Hyper-V-虚拟机管理程序-运行 Microsoft-Windows-Hyper-V-配置 Microsoft-Windows-Hyper-V-高可用性 Microsoft-Windows-Hyper-V-管理 Microsoft-Windows-Hyper-V-集成 Microsoft-Windows-Hyper-V-SynthFC Microsoft-Windows-Hyper-V-SynthStor Microsoft-Windows-Hyper-V-SynthStor Microsoft-Windows-Hyper-V-VID Microsoft-Windows-Hyper-V-VMMS | 无需修改。 |
程序库存报表 | Microsoft-Windows-应用程序体验/程序库存 | 无需修改。 |
IIS | Microsoft-Windows-Hyper-V-SynthStor | 无需修改。 | 要访问 IIS 报表，请打开 EventLog Analyzer，然后导航至“报表”>“IIS W3C Web 服务器”>“IIS 管理配置报表”。
打印服务 | Microsoft-Windows-打印服务/操作 Microsoft-Windows-打印服务/管理 | 无需修改。 |
终端 | Microsoft-Windows-终端服务网关/运行状态 | 无需修改。 |

EventLog Analyzer将开始生成表格中列出的报表。