企業安全管理：免費的Windows集中式審計
很多人都會問這樣的問題，如何集中不同計算機的事件查看器產生的日志?因為微軟解決方案并不提供這個功能，因此我們過去只能使用第三方產品。不過現在發布的Windows Server 2008和windows Vista讓集中化日志記錄成為可能。如果你沒有Windows Server 2008和windows Vista，那也不用擔心，因為微軟公司將日志記錄集中化管理的功能也向后兼容到了Windows Server3和Windows XP客戶端。沒錯，只要你有Windows Server 2008或者windows Vista，你就能為Windows計算機進行集中日志管理。
進行集中日志管理的計算機要求和配置
任何Windows Server 2008或者windows Vista都可以成為你的集中日志計算機，這就意味著，你在Windows Server 2008、Windows Server 2003、Windows Vista或者Windows XP等計算機上配置的所有日志都可以發送到集中日志計算機進行一站式處理。
如果你希望利用你的Windows Server 2008或者windows Vista來集中處理日志，真的不需要進行太多的工作，不過你至少需要將計算機配置為支持日志，你可以通過從提升的命令提示符中運行一些命令來實現。
注意：
當用戶帳戶控制(User Account Control)已經啟用時，命令提示符必須被提升。
你需要運行的第一個命令將在計算機上建立遠程管理器(Remote Management)，就是以下命令：
winrm qc |
該命令將會生成一個響應信息，告訴你某些任務需要由系統來執行，你只需要確認“Yes”，該信息可以在圖1中看到。
注意：
如果你在命令結尾處使用-q switch，命令和行動將自動安靜的進行執行。
圖1：在Windows Vista計算機上配置遠程管理
當你輸入Y來進行更改時，將會立即顯示結果告訴你操作成功。
第二個命令將會配置Event Collector服務，這個命令很類似，但是可以控制Event Collector服務：
wecutil qc /q |
再一次，你會收到操作成功的確認信息。
集中日志管理的計算機要求和配置
如果你使用Windows Server 2008 或者Windows Vista作為源計算機，那么你只需要運行一個命令讓計算機隨時準備向中央日志計算機發送信息，使用的命令與上文中所說的安裝遠程管理器的命令相同：
winrm qc –q |
如果你使用的是Windows Server 2003或者 XP，你將需要為操作系統下載并安裝遠程管理的Forwarding部分。
注意：
在正確配置發送日志功能時，你必須在Windows Server 2003上安裝SP1，Windows XP系統上安裝SP2。
安裝好后，接著你再執行相同的遠程管理配置字符串。
winrm qc –q |
注意：
你必須具備管理權限才能執行此配置。
你可以通過啟動Event Viewer來檢查配置情況，當開啟Event Viewer，你需要查看以下名為Microsoft-Windows-Forwarding/Operational新節點，如圖2所示。
圖2：Event Viewer中的 Windows XP轉發日志 #p#
安裝Subscription
對subscription的配置需要在中央日志計算機上執行，對于這些步驟泥漿需要進行以下配置：
◆Computer name：你想要收集日志信息的計算機
◆Event type (例如關鍵、錯誤和警告等)
◆By log (例如系統和應用程序等)
◆By source
◆Event ID(s)(通常不會想要收集所有時間，那么就應該把這些事件都列出來)
◆Keywords
◆User or Computer
注意：
并不是上述所有都是必須的，但是可以作為選擇。
第一步你首先要確定你想要從哪些計算機收集信息，這可以通過右鍵單擊事件查看器中的Subscription節點來實現，然后選擇新建Subscription，在Subscription Properties框中，選擇Select Computers按鈕，如圖3所示。
圖3：Subscription Properties對話框可以讓你配置想要收集的計算機日志
在計算機對話框中，你可以添加Domain Computers到想要收集日志信息的計算機列表中，這是很有用的，因為你可以創建一個Subscription來收集來自很多計算機的類似事件，并將其卻認為一組事件。同時還有一個Test選項，為了確保中央計算機可以查看其收集事件的遠程計算機，如圖4所示。
圖4：你可以測試以確保你收集日志的計算機進行了正確的配置
在配置好這些源計算機后，現在你只需要配置事件以及你想要收集的詳細細節，圖5中顯示的是你的可選項。
圖5：每個subscription都可以允許你對收集的信息提出細節要求
在配置好想要收集的事件類型后，基于眾多可用的選項，你只需要等待收集到源計算機的事件并發送到中央日志計算機即可。 #p#
查看收集的事件
要想查看收集到中央日志計算機的事件，你只需要到事件查看器即可查看。在這里，你將會看到Windows Logs下名為Forwarded Events的節點，源計算機配置為發送所有事件到該位置，你當然也可以設置自定義試圖分割以及將事件按照自定義的格式進行排列(如果你收集的是來自很多計算機和不同類型的事件的話，這樣做將很有幫助)。圖6顯示的是從Windows XP計算機收集來的事件信息，顯示在Windows Server 2008計算機上。
圖6：由Windows XP收集的事件并發送到Windows Server 2008中央日志計算機
總結
對于負責管理和查看事件日志的人員，現在可以利用Windows Server 2008 和Windows Vista中的新技術來創建集中式日志管理計算機。只要安裝好了這種集中式日至管理計算機，你就只需要初始化源計算機上的遠程管理組件即可。源計算機可以是Windows XP SP2、Windows Server 2003 SP1、Windows Vista或者 Windows Server 2008。另外可以在中央日志管理計算機上安裝Subscription，你只需要確定你想要收集來自哪些計算機的事件以及收集的事件類型。至于其他計算機，你只需要查看中央日志管理計算機的事件查看器就可以看到網絡中各地的事件情況。
【編輯推薦】
