Ereignisprotokoll-Check-Referenz

Konfigurationsoptionen für den Windows-Ereignisprotokoll-Check

Ereignisprotokoll-Check-Referenz

Konfigurationsoptionen für den Windows-Ereignisprotokoll-Check

Der Ereignisprotokoll-Check durchsucht das Windows-Ereignisprotokoll nach Einträgen ab einem bestimmten Schweregrad und löst einen Alarm aus, wenn die Anzahl einen Schwellenwert überschreitet.

Konfigurationsfelder

FeldTypErforderlichStandardBeschreibung
EreignisprotokolleListe von StringsNeinSystem, ApplicationWelche Ereignisprotokolle durchsucht werden
MindestschweregradAuswahl (eine von fünf Optionen)NeinKritisch + FehlerMindestschweregrad, der erfasst wird. Inklusiv: Die gewählte Option umfasst diese Stufe und jede schwerwiegendere Stufe. Optionen: Nur Kritisch, Kritisch + Fehler, Kritisch + Fehler + Warnung, Bis Information, Alle Stufen (einschließlich Ausführlich). Andere Werte werden nicht akzeptiert.
Nur passende Ereignisse einschließenListe von RegelnNein—Nur Ereignisse, die mindestens einer Regel entsprechen, werden gezählt. Jede Regel hat die Felder Ereignis-ID, Quelle und Nachricht enthält — fülle pro Regel mindestens ein Feld aus; jedes ausgefüllte Feld muss übereinstimmen. Nachricht enthält liest den Meldungstext so, wie er in der Ereignisanzeige steht, und beachtet Groß- und Kleinschreibung nicht. Lass die Liste leer, um alle Ereignisse ab dem gewählten Schweregrad zu zählen.
Quellen ausschließenListe von StringsNein—Zu ignorierende Ereignisquellen (z. B. ESENT, DistributedCOM)
Bestimmte Ereignisse ausschließenListe von RegelnNein—Ereignisse, die mindestens einer Regel entsprechen, werden ignoriert. Dieselben Felder wie bei Nur passende Ereignisse einschließen: Ereignis-ID, Quelle und Nachricht enthält.
Erwartete Ereignisse (warnen wenn nicht vorhanden)Liste von RegelnNein—Kehrt die Logik um: Der Check warnt, wenn ein Ereignis, das vorhanden sein sollte, im Rückblickzeitraum fehlt — zum Beispiel ein tägliches Backup, das ein Erfolgsereignis protokolliert. Gib für einen zuverlässigen Treffer eine Quelle und/oder Ereignis-ID an und wähle den Rückblickzeitraum passend zum erwarteten Intervall. Zusätzlich zu den drei Abgleichfeldern hat jede Regel Mindestanzahl (Standard 1) — wie oft das Ereignis auftreten muss, damit die Regel als erfüllt gilt — und Schweregrad wenn nicht vorhanden, entweder Warnung (Standard) oder Kritisch. Erwartete Ereignisse werden unabhängig vom Mindestschweregrad abgeglichen, sodass auch ein regelmäßiges Erfolgsereignis auf der Stufe Information gefunden wird.
Rückblickzeitraum (Minuten)MinutenNein (erweitert)60Wie weit vom aktuellen Zeitpunkt zurück gesucht wird. Hinter Erweiterte Optionen anzeigen im Abschnitt Abfrageeinstellungen verborgen.
Maximale EreignisdetailsGanzzahlNein (erweitert)50Maximale Anzahl passender Ereignisse, die im Ergebnis angezeigt werden. Ohne Include-Regeln oder Ausschlüsse nach Nachrichtentext begrenzt dies auch, wie viele Ereignisse pro Protokoll gelesen werden. Hinter Erweiterte Optionen anzeigen im Abschnitt Abfrageeinstellungen verborgen.
Filter-Scanlimit pro ProtokollGanzzahlNein (erweitert)1000Maximale Anzahl geprüfter Ereigniskandidaten pro Protokoll, wenn Include-Regeln oder Ausschlüsse nach Nachrichtentext verwendet werden. Wird das Limit erreicht, meldet der Check eine Warnung und weist im Ergebnis darauf hin. Hinter Erweiterte Optionen anzeigen im Abschnitt Abfrageeinstellungen verborgen.
Warnschwelle (Ereignisanzahl)GanzzahlNein (erweitert)5Anzahl passender Ereignisse, die eine Warnung auslösen. Setze den Wert auf 0, um die Warnschwelle abzuschalten. Hinter Erweiterte Optionen anzeigen im Abschnitt Schwellenwerte verborgen.
Kritische Schwelle (Ereignisanzahl)GanzzahlNein (erweitert)20Anzahl passender Ereignisse, die ein kritisches Ergebnis auslösen. Setze den Wert auf 0, um die kritische Schwelle abzuschalten. Hinter Erweiterte Optionen anzeigen im Abschnitt Schwellenwerte verborgen.

Schweregrade

StufeWertBeschreibung
Kritisch1System ist unbrauchbar oder Datenverlust ist eingetreten
Fehler2Ein Vorgang ist fehlgeschlagen
Warnung3Etwas könnte bald Aufmerksamkeit erfordern
Information4Ein normaler Betriebsvorgang wurde protokolliert
Ausführlich5Detaillierte Ablaufverfolgungsausgabe

Nur Kritisch, Kritisch + Fehler und Kritisch + Fehler + Warnung zählen ausschließlich die Stufen 1 bis 3, informative Einträge bleiben also aus den Summen heraus. Bis Information erfasst zusätzlich Ereignisse, die Windows ohne Stufe protokolliert und die die Ereignisanzeige als Information darstellt. Alle Stufen (einschließlich Ausführlich) hebt die Begrenzung ganz auf, sodass auch herstellerdefinierte Stufen über 5 mitgezählt werden.

Erfasste Metriken

  • Gesamtzahl der passenden Ereignisse über die ausgewählten Protokolle hinweg. Mit Include-Regeln oder Ausschlüssen nach Nachrichtentext wird die vollständige gefilterte Anzahl gemeldet, je Protokoll bis zum Filter-Scanlimit pro Protokoll; andernfalls ist die Anzahl auf Maximale Ereignisdetails begrenzt
  • Einzelne passende Einträge (Quelle, Ereignis-ID, Nachricht, Zeitstempel)
  • Ein Ergebnis je Regel für erwartete Ereignisse: wie viele Treffer gefunden wurden, die geforderte Mindestanzahl und ob die Regel erfüllt ist
  • Liste der angeforderten Protokolle, die nicht gelesen werden konnten

Plattformunterstützung

PlattformUnterstützt
WindowsJa
LinuxNein (verwende den System-Log-Check)
macOSNein (verwende den System-Log-Check)

Hinweise

  • Der Check läuft standardmäßig alle 15 Minuten. Das Intervall ist eine Einstellung auf Check-Ebene und nicht Teil der Konfiguration pro Zuweisung.
  • Setze den Rückblick-Zeitraum gleich oder größer als das Check-Intervall, um Lücken zwischen den Läufen zu vermeiden.
  • Häufige laute Quellen zum Ausschließen: ESENT, DistributedCOM.
  • Standardmäßig zeigt der Check bis zu 50 passende Ereignisse an (konfigurierbar über Maximale Ereignisdetails), um die Ergebnisgröße handhabbar zu halten. Für detailliertere Analyse öffne die Ereignisanzeige in der Toolbox des Geräts — oder frage das Ereignisprotokoll über das Remote-Terminal ab.

Siehe auch: Einen Ereignisprotokoll-Check konfigurieren