设置 Windows 事件日志报表

    最后更新于：

    EventLog Analyzer内置1000余份预定义报表，助力企业查看整合的安全事件、执行安全审计并满足各类合规要求。这些报表可帮助企业可视化网络安全事件，满足多样化的安全与合规需求。

    在本帮助文档中，您将学习如何设置 Windows 报表生成。

    设置Windows报表生成

    在事件日志分析器中，当添加监控设备并配置事件源后，大多数Windows报表将自动生成。有关设备添加方法，请参阅此页面；有关事件源配置方法，请参阅本页"如何在设备中配置事件源文件？"章节。

    下表所列的特定报表需要手动在Windows注册表中创建键值。请按照以下步骤设置这些报表的生成：

    • 请确保已在事件查看器中启用事件记录：右键单击事件源 > 属性> 勾选“启用记录”复选框。
    • 打开注册表编辑器，导航至HKEY_LOCAL_MACHINE > SYSTEM > CurrentControlSet > Service > EventLog。在此创建下表"新建键值"列所示的键值。
    • 接着打开本地组策略编辑器，导航至计算机配置 > Windows设置 > 安全设置。后续路径及启用报表生成的步骤详见"审核策略"列。
    报表 新键值 审核策略 其他先决条件
    应用程序白名单报表
    • Microsoft-Windows-AppLocker/EXE和DLL
    • Microsoft-Windows-AppLocker/MSI和脚本
    		 在应用程序控制策略下启用AppLocker
    • 启动应用程序身份验证服务。
    • 创建两个新键后，事件查看器左侧面板将生成事件源Microsoft-Windows-AppLocker/EXEandDLL。右键单击该事件源，选择“属性”，复制日志路径。
    • 导航至计算机\HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\WINEVT\通道\Microsoft-Windows-AppLocker/EXE和DLL，创建名为"文件"的可展开字符串值。将上一步复制的日志路径作为值数据。
    • 在上述审核策略下配置可执行文件规则、Windows Installer规则及脚本规则。
    • 重启计算机。
    Windows 防火墙审核报表
    • Microsoft-Windows-Windows 防火墙（带高级安全）/防火墙
    		 启用审核MPSSVC规则 - 级别策略更改，位于高级审核策略配置 > 策略更改下。 要启用 Windows 防火墙日志，请在目标设备上执行以下命令（该设备将用于收集日志）：
    复制到剪贴板

    auditpol.exe /set /subcategory:"MPSSVC规则级策略变更,过滤平台策略变更" /success:enable /failure:enable

    复制到剪贴板

    auditpol.exe /set /subcategory:"IPsec 主模式,IPsec 快速模式,IPsec 扩展模式" /success:enable /failure:enable

    复制到剪贴板

    auditpol.exe /set /subcategory:"IPsec 驱动程序、其他系统事件" /success:enable /failure:enable

    复制到剪贴板

    auditpol.exe /set /subcategory:"过滤平台丢包,过滤平台丢包" /success:enable /failure:enable
    可移动磁盘审核
    • Microsoft-Windows-驱动程序框架-用户模式/操作
    		 在“高级审核策略配置”>“对象访问”下，启用“审核句柄操作”、“审核可移动存储”和“审核文件系统”（在 NT 版本 6.2 中审核删除操作所需）。 要开始记录可移动存储设备事件，请导航至计算机\HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Storage，添加名为HotPlugSecureOpen 的新DWORD注册表项，并将值 设置为1。
    注册表修改   在“高级审核策略配置”>“对象访问”下启用注册表审核。 在注册表编辑器中右键单击所需注册表项，依次导航至权限 > 高级 > 注册表中的审核，为该注册表项设置安全访问控制列表 (SACL)。
    Windows 备份和还原报表
    • Microsoft-Windows-备份
    		 无需修改。  
    Windows 系统事件
    • Microsoft-Windows-组策略/操作
    • Microsoft-Windows-WindowsUpdateClient/Operational
    • Microsoft-Windows-WindowsUpdateClient/运行
    • Microsoft-Windows-Winlogon/运行
    • Microsoft-Windows-WLAN-自动配置/运行
    • Microsoft-Windows-终端服务网关/运行状态
    • Microsoft-Windows-终端服务-RDPClient/运行中
    • Microsoft-Windows-终端服务-远程连接管理器/运行中
    • Microsoft-Windows-有线自动配置/运行中
    		无需修改。  
    Hyper-V 服务器事件Hyper-V 虚拟机管理报表
    • Microsoft-Windows-Hyper-V-Worker-Admin
    • Microsoft-Windows-Hyper-V-VMMS-存储
    • Microsoft-Windows-Hyper-V-VMMS-网络
    • Microsoft-Windows-Hyper-V-VMMS-管理
    • Microsoft-Windows-Hyper-V-虚拟机管理程序-运行
    • Microsoft-Windows-Hyper-V-配置
    • Microsoft-Windows-Hyper-V-高可用性
    • Microsoft-Windows-Hyper-V-管理
    • Microsoft-Windows-Hyper-V-集成
    • Microsoft-Windows-Hyper-V-SynthFC
    • Microsoft-Windows-Hyper-V-SynthStor
    • Microsoft-Windows-Hyper-V-SynthStor
    • Microsoft-Windows-Hyper-V-VID
    • Microsoft-Windows-Hyper-V-VMMS
    		无需修改。  
    程序库存报表
    • Microsoft-Windows-应用程序体验/程序库存
    		 无需修改。  
    IIS
    • Microsoft-Windows-Hyper-V-SynthStor
    		 无需修改。 要访问 IIS 报表，请打开 EventLog Analyzer，然后导航至“报表”>“IIS W3C Web 服务器”>“IIS 管理配置报表”。
    打印服务
    • Microsoft-Windows-打印服务/操作
    • Microsoft-Windows-打印服务/管理
    		 无需修改。  
    终端
    • Microsoft-Windows-终端服务网关/运行状态
    		 无需修改。  

    EventLog Analyzer将开始生成表格中列出的报表。