0 如如何使用 NXLOG 管理配置 Windows Server 日誌如何使用 NXLOG 管理配置 Windows Server 日誌 V ( 繁體 ) 0 Copyright All rights are reserved by N-Partner Technologies Co

Size: px

Start display at page:

Download "0 如如何使用 NXLOG 管理配置 Windows Server 日誌如何使用 NXLOG 管理配置 Windows Server 日誌 V ( 繁體 ) 0 Copyright All rights are reserved by N-Partner Technologies Co"

托翔委陆
5 years ago
Views:

1 0 如如何使用 NXLOG 管理配置 Windows Server 日誌如何使用 NXLOG 管理配置 Windows Server 日誌 V ( 繁體 ) 0 ( ) 2015/06/23

2 前言本文件描述 N-Reporter 使用者如何使用 Open Source 工具 NXLOG 管理配置 Windows Server 2003/2008/2012 的日誌 (Eventlog), 將事件 (Event) 轉成 syslog, 再轉發到 N-Reporter 做正規化稽核與分析本文件配置的環境分別為 Windows Server 2003 Windows Server 2008 Windows Server 2012 N-Reporter 同時提供 Eventlog to Syslog Utility 和 NXLOG 兩種將事件 (Event) 轉 syslog 的配置文件, 其中 NXLOG 擁有較佳的效能, 適用於記錄大量事件的環境當 Windows Server 所有日誌 (Eventlog) 每秒最大記錄速率超過 700 筆, 請選用本文 NXLOG 的配置文件本章節內容如下 1 配置 Windows Server 配置 Windows Server 配置 Windows Server 配置 Windows Server Windows 2003 Server 稽核設定設定本機登入登出的稽核原則設定本機共享資料夾權限與稽核原則 Windows 2008 Server 稽核設定設定本機登入登出的稽核原則設定本機共享資料夾權限與稽核原則 Windows 2012 Server 稽核設定設定本機登入登出的稽核原則設定共享資料夾權限與稽核原則連絡資訊

3 2 如如何使用 NXLOG 管理配置 Windows Server 日誌 1 配置 Windows Server 1.1 配置 Windows Server 下載 NXLOG: 瀏覽 URL: 下載最新版 nxlog-ce-x.x.xxxx.msi, 本例下載 nxlog-ce msi 2. 安裝 NXLOG: 滑鼠雙點 nxlog-ce msi, 左點 [ Install ], 執行安裝 3. 下載 Windows 2003 NXLOG 配置檔 nxlog_win2k3.conf: 瀏覽 URL: 編輯 NXLOG 配置檔 "C:\Program Files (x86)\nxlog\conf\nxlog.conf": 註 :32 位元作業系統 NXLOG 安裝在 "C:\Program Files\nxlog\conf\nxlog.conf" 64 位元系統 NXLOG 安裝在 "C:\Program Files (x86)\nxlog\conf\nxlog.conf" 將 nxlog_win2k3.conf 設定貼上並覆蓋 nxlog.conf 設定此設定只輸出主機稽核物件存取帳戶管理等 eventlog, 過濾大部分雜訊, 減少 NXLOG 對 Windows Server 效能的負擔 Windows Server 的 eventlog 每秒寫入筆數超過 700 筆, 建議使用 nxlog_win2k3.conf 設定 4. 下載 Windows 2003 NXLOG 輸出全部 eventlog 配置檔 nxlog_win2k3_all.conf: 瀏覽 URL: N-Reporter 提供法規報表統計 Windows Server 所有 eventlog 使用者若是需 Windows Server 的法規報表, 請將 nxlog_win2k3_all.conf 設定貼上並覆蓋 nxlog.conf 設定此設定會輸出所有 eventlog,windows Server 需要較高的效能跑 NXLOG ( 接下頁 ) 2

4 ## This is a sample configuration file. See the nxlog reference manual about the ## online at ## Please set the ROOT to the folder your nxlog was installed into, ## otherwise it will not start. #define ROOT C:\Program Files\nxlog define ROOT C:\Program Files (x86)\nxlog Moduledir %ROOT%\modules CacheDir %ROOT%\data Pidfile %ROOT%\data\nxlog.pid SpoolDir %ROOT%\data LogFile %ROOT%\data\nxlog.log <Extension syslog> Module xm_syslog </Extension> <Input in_eventlog> # For windows 2003 and earlier use the following: Module im_mseventlog Exec parse_syslog_bsd(); \ if ($EventID == 672 or $EventID == 673 or $EventID == 675 or $EventID == 528 or $EventID == 529 or $EventID == 538 or $EventID == 540 or $EventID == 551 or $EventID == 560 or $EventID == 612 or $EventID == 624 or $EventID == 626 or $EventID == 627 or $EventID == 628 or $EventID == 629 or $EventID == 630 or $EventID == 631 or $EventID == 632 or $EventID == 633 or $EventID == 634 or $EventID == 635 or $EventID == 636 or $EventID == 637 or $EventID == 638 or $EventID == 641 or $EventID == 642 or $EventID == 645 or $EventID == 646 or $EventID == 647) { $SyslogFacilityValue = 13; } \ else if ($SourceName == "Service Control Manager") { $SyslogFacilityValue = 13; } \ else if ($SourceName =~ /^MSSQL*/) { $SyslogFacilityValue = 18; } \ else\ {\ drop();\ } </Input> <Output out_eventlog> Module om_udp Host Port 514 Exec $Message = string($eventid) + ": " + $Message; Exec if ($EventType == 'ERROR' or $EventType == 'AUDIT_FAILURE') { $SyslogSeverityValue = 3; } \ else if ($EventType == 'WARNING') { $SyslogSeverityValue = 4; } \ else if ($EventType == 'INFO' or $EventType == 'AUDIT_SUCCESS') { $SyslogSeverityValue = 5; } Exec to_syslog_bsd(); </Output> <Route eventlog> Path in_eventlog => out_eventlog </Route> 綠色部位請選擇 NXLOG 正確的安裝路徑, 本例環境為 64 位元系統選擇 "define ROOT C:\Program Files (x86)\nxlog" 紅色部位輸入 N-Reporter IP, 本例輸入 " " 3

[ 開始 ] [ 所有程式 ] [ 應用附屬程式 ], 滑鼠右點 [ 命令提示字元 ], 左點 [ 執行身分 ], 以系統管理員身分執行命令提示字元輸入 : net stop nxlog net

5 4 如如何使用 NXLOG 管理配置 Windows Server 日誌設定範例如下 : 5. 啟動 NXLOG: 步驟 a : 利用 [ 命令提示字元 ] 啟動 NXLOG 或步驟 b : [ 服務 ] 啟動 NXLOG a. [ 開始 ] [ 所有程式 ] [ 應用附屬程式 ], 滑鼠右點 [ 命令提示字元 ], 左點 [ 執行身分 ], 以系統管理員身分執行命令提示字元輸入 : net stop nxlog net start nxlog b. [ 開始 ] [ 所有程式 ] [ 系統管理工具 ] [ 服務 ], 右點服務 [ nxlog ], 左點 [ 啟動 ] 或 [ 重新啟動 ] 6. 檢查 NXLOG 是否正常啟動 : 檢查 NXLOG 的 log 檔 "C:\Program Files (x86)\nxlog\data\nxlog.log", 沒有顯示 Error 的訊息, 表示正常啟動 4

6 7. 新增 Windows Server 2003 設備時語系選擇 : Windows Server 2003 繁體版請選擇 [ BIG5 ] 編碼 Windows Server 2003 簡體版請選擇 [ GB2312 ] 編碼 Windows Server 2003 英文版請選擇 [ UTF8 ] 編碼註 : 因 NXLOG 沒有 Eventlog to Syslog Utility 將事件編碼轉成 UTF8 編碼的功能, 所以新增 Windows Server 2003 設備時請注意語系選擇, 避免出現亂碼 8. 新增 Windows Server 2003 設備時 Facility 請選擇 "(13) log audit" 1.2 配置 Windows Server 下載 NXLOG: 瀏覽 URL 下載最新版 nxlog-ce-x.x.xxxx.msi, 本例下載 nxlog-ce msi 2. 安裝 NXLOG: 滑鼠雙點 nxlog-ce msi, 左點 [ Install ], 執行安裝 3. 下載 Windows 2008 NXLOG 配置檔 nxlog_win2k8.conf: 瀏覽 URL: 編輯 NXLOG 配置檔 "C:\Program Files (x86)\nxlog\conf\nxlog.conf": 註 :32 位元作業系統 NXLOG 安裝在 "C:\Program Files\nxlog\conf\nxlog.conf" 64 位元系統 NXLOG 安裝在 "C:\Program Files (x86)\nxlog\conf\nxlog.conf" 將 nxlog_win2k8.conf 設定貼上並覆蓋 nxlog.conf 設定此設定只輸出主機稽核物件存取帳戶管理等 eventlog, 過濾大部分雜訊, 減少 NXLOG 對 Windows Server 效能的負擔 Windows Server 的 eventlog 每秒寫入筆數超過 700 筆, 建議使用 nxlog_win2k8.conf 設定 4. 下載 Windows 2008 NXLOG 輸出全部 eventlog 配置檔 nxlog_win2k8_all.conf: 瀏覽 URL: N-Reporter 提供法規報表統計 Windows Server 所有 eventlog 使用者若是需 Windows Server 的法規報表, 請將 nxlog_win2k8_all.conf 設定貼上並覆蓋 nxlog.conf 設定此設定會輸出所有 eventlog,windows Server 需要較高的效能跑 NXLOG ( 接下頁 ) 5

7 6 如如何使用 NXLOG 管理配置 Windows Server 日誌 ## This is a sample configuration file. See the nxlog reference manual about the ## online at ## Please set the ROOT to the folder your nxlog was installed into, ## otherwise it will not start. #define ROOT C:\Program Files\nxlog define ROOT C:\Program Files (x86)\nxlog Moduledir %ROOT%\modules CacheDir %ROOT%\data Pidfile %ROOT%\data\nxlog.pid SpoolDir %ROOT%\data LogFile %ROOT%\data\nxlog.log <Extension syslog> Module xm_syslog </Extension> <Input in_eventlog> # For windows 2008/vista/7/8/2012/2012r2 and latter use the following: Module im_msvistalog ReadFromLast TRUE SavePos TRUE Query <QueryList> \ <Query Id="0"> \ <Select Path="Security">*[System[(EventID=4768)]]</Select> \ <Select Path="Security">*[System[(EventID=4769)]]</Select> \ <Select Path="Security">*[System[(EventID=4771)]]</Select> \ <Select Path="Security">*[System[(EventID=4624)]]</Select> \ <Select Path="Security">*[System[(EventID=4625)]]</Select> \ <Select Path="Security">*[System[(EventID=4634)]]</Select> \ <Select Path="Security">*[System[(EventID=4647)]]</Select> \ <Select Path="Security">*[System[(EventID=4648)]]</Select> \ <Select Path="Security">*[System[(EventID=4656)]]</Select> \ <Select Path="Security">*[System[(EventID=4719)]]</Select> \ <Select Path="Security">*[System[(EventID=4720)]]</Select> \ <Select Path="Security">*[System[(EventID=4722)]]</Select> \ <Select Path="Security">*[System[(EventID=4723)]]</Select> \ <Select Path="Security">*[System[(EventID=4724)]]</Select> \ <Select Path="Security">*[System[(EventID=4725)]]</Select> \ <Select Path="Security">*[System[(EventID=4726)]]</Select> \ <Select Path="Security">*[System[(EventID=4727)]]</Select> \ <Select Path="Security">*[System[(EventID=4728)]]</Select> \ <Select Path="Security">*[System[(EventID=4729)]]</Select> \ <Select Path="Security">*[System[(EventID=4730)]]</Select> \ <Select Path="Security">*[System[(EventID=4731)]]</Select> \ <Select Path="Security">*[System[(EventID=4732)]]</Select> \ <Select Path="Security">*[System[(EventID=4733)]]</Select> \ <Select Path="Security">*[System[(EventID=4734)]]</Select> \ <Select Path="Security">*[System[(EventID=4735)]]</Select> \ <Select Path="Security">*[System[(EventID=4737)]]</Select> \ <Select Path="Security">*[System[(EventID=4738)]]</Select> \ <Select Path="Security">*[System[(EventID=4739)]]</Select> \ <Select Path="Security">*[System[(EventID=4741)]]</Select> \ <Select Path="Security">*[System[(EventID=4742)]]</Select> \ <Select Path="Security">*[System[(EventID=4743)]]</Select> \ <Select Path="System">*[System[(EventID=7036)]]</Select> \ <Select Path="Application">*[System[(EventID=18454)]]</Select> \ <Select Path="Application">*[System[(EventID=18456)]]</Select> \ </Query> \ </QueryList> </Input> <Output out_eventlog> Module om_udp Host Port 514 Exec $Message = string($sourcename) + ": " + string($eventid) + ": " + $Message; Exec if ($EventID == or $EventID == ) { $SyslogFacilityValue = 18; } \ else { $SyslogFacilityValue = 13; } Exec if ($EventType == 'ERROR' or $EventType == 'AUDIT_FAILURE') { $SyslogSeverityValue = 3; } \ else if ($EventType == 'WARNING') { $SyslogSeverityValue = 4; } \ else if ($EventType == 'INFO' or $EventType == 'AUDIT_SUCCESS') { $SyslogSeverityValue = 5; } Exec to_syslog_bsd(); </Output> <Route eventlog> Path in_eventlog => out_eventlog </Route> 6

$綠色部位請選擇 NXLOG 正確的安裝路徑, 本例環境為 64 位元系統選擇 "define ROOT C:\Program Files (x86)\nxlog" 紅色部位輸入 N-Reporter IP, 本例輸入 "192.168.2.64" 設定範例如下 : 5.$ [ 開始 ] [ 所有程式 ] [ 應用附屬程式 ], 滑鼠右點 [ 命令提示字元 ], 左點 [ 以系統管理員身分執行 ] 命令提示字元輸入 : net stop nxlog net start nxlog b.

[ 開始 ] [ 所有程式 ] [ 應用附屬程式 ], 滑鼠右點 [ 命令提示字元 ], 左點 [ 以系統管理員身分執行 ] 命令提示字元輸入 : net stop nxlog net start nxlog b.

8 綠色部位請選擇 NXLOG 正確的安裝路徑, 本例環境為 64 位元系統選擇 "define ROOT C:\Program Files (x86)\nxlog" 紅色部位輸入 N-Reporter IP, 本例輸入 " " 設定範例如下 : 5. 啟動 NXLOG: 步驟 a : 利用 [ 命令提示字元 ] 啟動 NXLOG 或步驟 b : [ 服務 ] 啟動 NXLOG a. [ 開始 ] [ 所有程式 ] [ 應用附屬程式 ], 滑鼠右點 [ 命令提示字元 ], 左點 [ 以系統管理員身分執行 ] 命令提示字元輸入 : net stop nxlog net start nxlog b. [ 開始 ] [ 所有程式 ] [ 系統管理工具 ] [ 服務 ], 右點服務 [ nxlog ], 左點 [ 啟動 ] 或 [ 重新啟動 ] 6. 檢查 NXLOG 是否正常啟動 : 檢查 NXLOG 的 log 檔 "C:\Program Files (x86)\nxlog\data\nxlog.log", 沒有顯示 Error 的訊息, 表示正常啟動 7. 新增 Windows Server 2008 設備時 Facility 請選擇 "(13) log audit" 7

9 8 如如何使用 NXLOG 管理配置 Windows Server 日誌 1.3 配置 Windows Server 下載 NXLOG: 瀏覽 URL: 下載最新版 nxlog-ce-x.x.xxxx.msi, 本例下載 nxlog-ce msi 2. 安裝 NXLOG: 滑鼠雙點 nxlog-ce msi, 左點 [ Install ], 執行安裝 3. 下載 Windows 2012 NXLOG 配置檔 nxlog_win2012.conf: 瀏覽 URL: 編輯 NXLOG 配置檔 "C:\Program Files (x86)\nxlog\conf\nxlog.conf": 註 :32 位元作業系統 NXLOG 安裝在 "C:\Program Files\nxlog\conf\nxlog.conf" 64 位元系統 NXLOG 安裝在 "C:\Program Files (x86)\nxlog\conf\nxlog.conf" 將 nxlog_win2012.conf 設定貼上並覆蓋 nxlog.conf 設定此設定只輸出主機稽核物件存取帳戶管理等 eventlog, 過濾大部分雜訊, 減少 NXLOG 對 Windows Server 的負擔 Windows Server 的 eventlog 每秒寫入筆數超過 700 筆, 建議使用 nxlog_win2012.conf 設定 4. 下載 Windows 2012 NXLOG 輸出全部 eventlog 配置檔 nxlog_win2012_all.conf: 瀏覽 URL: N-Reporter 提供法規報表統計 Windows Server 所有 eventlog 使用者若是需 Windows Server 的法規報表, 請將 nxlog_win2012_all.conf 設定貼上並覆蓋 nxlog.conf 設定此設定會輸出所有 eventlog,windows Server 需要較高的效能跑 NXLOG ( 接下頁 ) 8

10 ## This is a sample configuration file. See the nxlog reference manual about the ## online at ## Please set the ROOT to the folder your nxlog was installed into, ## otherwise it will not start. #define ROOT C:\Program Files\nxlog define ROOT C:\Program Files (x86)\nxlog Moduledir %ROOT%\modules CacheDir %ROOT%\data Pidfile %ROOT%\data\nxlog.pid SpoolDir %ROOT%\data LogFile %ROOT%\data\nxlog.log <Extension syslog> Module xm_syslog </Extension> <Input in_eventlog> # For windows 2008/vista/7/8/2012/2012r2 and latter use the following: Module im_msvistalog ReadFromLast TRUE SavePos TRUE Query <QueryList> \ <Query Id="0"> \ <Select Path="Security">*[System[(EventID=4768)]]</Select> \ <Select Path="Security">*[System[(EventID=4769)]]</Select> \ <Select Path="Security">*[System[(EventID=4771)]]</Select> \ <Select Path="Security">*[System[(EventID=4624)]]</Select> \ <Select Path="Security">*[System[(EventID=4625)]]</Select> \ <Select Path="Security">*[System[(EventID=4634)]]</Select> \ <Select Path="Security">*[System[(EventID=4647)]]</Select> \ <Select Path="Security">*[System[(EventID=4648)]]</Select> \ <Select Path="Security">*[System[(EventID=4656)]]</Select> \ <Select Path="Security">*[System[(EventID=4719)]]</Select> \ <Select Path="Security">*[System[(EventID=4720)]]</Select> \ <Select Path="Security">*[System[(EventID=4722)]]</Select> \ <Select Path="Security">*[System[(EventID=4723)]]</Select> \ <Select Path="Security">*[System[(EventID=4724)]]</Select> \ <Select Path="Security">*[System[(EventID=4725)]]</Select> \ <Select Path="Security">*[System[(EventID=4726)]]</Select> \ <Select Path="Security">*[System[(EventID=4727)]]</Select> \ <Select Path="Security">*[System[(EventID=4728)]]</Select> \ <Select Path="Security">*[System[(EventID=4729)]]</Select> \ <Select Path="Security">*[System[(EventID=4730)]]</Select> \ <Select Path="Security">*[System[(EventID=4731)]]</Select> \ <Select Path="Security">*[System[(EventID=4732)]]</Select> \ <Select Path="Security">*[System[(EventID=4733)]]</Select> \ <Select Path="Security">*[System[(EventID=4734)]]</Select> \ <Select Path="Security">*[System[(EventID=4735)]]</Select> \ <Select Path="Security">*[System[(EventID=4737)]]</Select> \ <Select Path="Security">*[System[(EventID=4738)]]</Select> \ <Select Path="Security">*[System[(EventID=4739)]]</Select> \ <Select Path="Security">*[System[(EventID=4741)]]</Select> \ <Select Path="Security">*[System[(EventID=4742)]]</Select> \ <Select Path="Security">*[System[(EventID=4743)]]</Select> \ <Select Path="System">*[System[(EventID=7036)]]</Select> \ <Select Path="Application">*[System[(EventID=18454)]]</Select> \ <Select Path="Application">*[System[(EventID=18456)]]</Select> \ </Query> \ </QueryList> </Input> <Output out_eventlog> Module om_udp Host Port 514 Exec $Message = string($sourcename) + ": " + string($eventid) + ": " + $Message; Exec if ($EventID == or $EventID == ) { $SyslogFacilityValue = 18; } \ else { $SyslogFacilityValue = 13; } Exec if ($EventType == 'ERROR' or $EventType == 'AUDIT_FAILURE') { $SyslogSeverityValue = 3; } \ else if ($EventType == 'WARNING') { $SyslogSeverityValue = 4; } \ else if ($EventType == 'INFO' or $EventType == 'AUDIT_SUCCESS') { $SyslogSeverityValue = 5; } Exec to_syslog_bsd(); </Output> <Route eventlog> Path in_eventlog => out_eventlog </Route> 9

$10 如如何使用 NXLOG 管理配置 Windows Server 日誌綠色部位請選擇 NXLOG 正確的安裝路徑, 本例環境為 64 位元系統選擇 "define ROOT C:\Program Files (x86)\nxlog" 紅色部位輸入 N-Reporter IP, 本例輸入 "192.168.2.64" 設定範例如下 : 3.$

11 10 如如何使用 NXLOG 管理配置 Windows Server 日誌綠色部位請選擇 NXLOG 正確的安裝路徑, 本例環境為 64 位元系統選擇 "define ROOT C:\Program Files (x86)\nxlog" 紅色部位輸入 N-Reporter IP, 本例輸入 " " 設定範例如下 : 3. 啟動 NXLOG: 步驟 a : 利用 [ Windows PowerShell ] 啟動 NXLOG 或步驟 b : [ 服務 ] 啟動 NXLOG a. 滑鼠左點 [ 開始 ], 滑鼠右點 [ Windows PowerShell ], 左點 [ 以系統管理員身分執行 ] [ Windows PowerShell ] 輸入 : net stop nxlog net start nxlog b. 滑鼠左點 [ 開始 ] [ 系統管理工具 ] [ 服務 ], 右點服務 [ nxlog ], 左點 [ 啟動 ] 或 [ 重新啟動 ] 10

$4. 檢查 NXLOG 是否正常啟動 : 檢查 NXLOG 的 log 檔 "C:\Program Files (x86)\nxlog\data\nxlog.$

12 4. 檢查 NXLOG 是否正常啟動 : 檢查 NXLOG 的 log 檔 "C:\Program Files (x86)\nxlog\data\nxlog.log", 沒有顯示 Error 的訊息, 表示正常啟動 5. 新增 Windows Server 2012 設備時 Facility 請選擇 "(13) log audit" 11

13 12 如如何使用 NXLOG 管理配置 Windows Server 日誌 2 Windows 2003 Server 稽核設定本章節說明的 Windows 2003 Server 本機稽核原則, 這裡的本機是指該主機為獨立主機, 並不屬於任何的網域主要說明以下操作設定 : 1. 設定本機登入登出的稽核原則 2. 設定本機共享資料夾權限與稽核原則請記得安裝 NXLOG, 詳細請參閱第一章節 2.1 設定本機登入登出的稽核原則設定步驟如下 : 1. 以系統管理員 Administrator 登入 Windows 2003 Server 點選 [ 開始功能表 / 所有程式 / 系統管理工具 / 本機安全性原則 ] 12

14 2. 點選 [ 本機原則 / 稽核原則 ] 3. 定義下列的原則設定值 : (1) 稽核登入事件 : 雙擊 [ 稽核登入事件 ], 勾選 [ 成功 ] 及 [ 失敗 ], 設定完成後按 [ 確定 ] 13

15 14 如如何使用 NXLOG 管理配置 Windows Server 日誌 (2) 稽核帳戶登入事件 : 雙擊 [ 稽核帳戶登入事件 ], 勾選 [ 成功 ] 及 [ 失敗 ], 設定完成後按 [ 確定 ] 14

16 (3) 稽核物件存取 : 雙擊 [ 稽核物件存取 ], 勾選 [ 成功 ] 及 [ 失敗 ], 設定完成後按 [ 確定 ] 成功 : 若欲稽核成功事件的 Log, 請勾選 [ 成功 ] 核取方塊失敗 : 若欲稽核失敗事件的 Log, 請勾選 [ 失敗 ] 核取方塊 (4) 稽核原則變更 : 雙擊 [ 稽核原則變更 ], 勾選 [ 定義這些原則設定值 ], 再勾選 [ 成功 ] 及 [ 失敗 ], 設定完成後按 [ 確定 ] (5) 稽核帳戶管理 : 雙擊 [ 稽核帳戶管理 ], 勾選 [ 定義這些原則設定值 ], 再勾選 [ 成功 ] 及 [ 失敗 ], 設定完成後按 [ 確定 ] 註 : 若 Windows 2003 Server 不做檔案伺服器稽核 (File server audit), 建議不稽核物件存取, 只需完成, 請直接跳過 2.1 中 (3) 與 2.2 的設置, 只需完成 2.1 的 (1) (2) (4) (5) 步驟的設定, 以避免 Windows 稽核多餘的物件存取 (Object access) 稽核的安全事件此多餘且事件冗長的安全事件轉成 syslog 後發送給 N-Reporter 接收, 會影響效能 (performance) 15

17 16 如如何使用 NXLOG 管理配置 Windows Server 日誌 2.2 設定本機共享資料夾權限與稽核原則設定步驟如下 : 1. 在欲共用的資料夾上點擊滑鼠右鍵, 點選 [ 內容 ] 2. 點選 [ 共用 ] 索引標籤, 圈選 [ 共用此資料夾 ] 點選 [ 使用權限 ] 3. 使用者設定 : (1) 點選 [ 新增 ], 來新增一使用者 (2) 點選 [ 位置 ], 選擇本機電腦名稱 (3) 輸入使用者帳號 (4) 設定完成後按 [ 確定 ] 16

18 4. 設定使用者權限 : (1) 點選使用者帳號 (2) 勾選允許 [ 完全控制 ] 及 [ 變更 ] 權限 (3) 設定完成後按 [ 確定 ] 5. 安全性設定 : (1) 點選 [ 安全性 ] 索引標籤 (2) 點選 [ 新增 ], 來新增一使用者 (3) 點選 [ 位置 ], 選擇本機電腦名稱 (4) 輸入使用者帳號 (5) 設定完成後按 [ 確定 ] 17

19 18 如如何使用 NXLOG 管理配置 Windows Server 日誌 6. 設定使用者權限 : (1) 點選使用者帳號 (2) 勾選允許 [ 完全控制 ] 權限, 以取得所有權限 (3) 設定完成後按 [ 套用 ] 18

20 7. 進階安全性設定 : (1) 點選 [ 進階 ] (2) 點選 [ 稽核 ] 索引標籤 (3) 點選 [ 新增 ] (4) 點選 [ 位置 ], 選擇本機電腦名稱 (5) 輸入使用者帳號 (6) 設定完成後按 [ 確定 ] 19

21 20 如如何使用 NXLOG 管理配置 Windows Server 日誌 8. 稽核項目設定 : 勾選所有稽核項目的 [ 成功 ] 及 [ 失敗 ], 設定完成後按 [ 確定 ] 9. 在進階安全性設定完成後, 點選 [ 確定 ] 20

22 10. 在分享資料夾設定完成後, 點選 [ 確定 ] 21

23 22 如如何使用 NXLOG 管理配置 Windows Server 日誌 11. 點選 [ 開始功能表 / 所有程式 / 系統管理工具 / 電腦管理 ] 22

24 12. 點選 [ 系統工具 / 共用資料夾 / 共用 ] 23

25 24 如如何使用 NXLOG 管理配置 Windows Server 日誌 13. 雙擊該分享資料夾, 點選 [ 共用使用權限 ] 索引標籤點選使用者帳號, 勾選允許 [ 完全控制 ] [ 變更 ] 及 [ 讀取 ] 權限, 設定完成後按 [ 確定 ] 24

26 3 Windows 2008 Server 稽核設定本章節說明的 Windows 2008 Server 本機稽核原則, 這裡的本機是指該主機為獨立主機, 並不屬於任何的網域主要說明以下操作設定 : 1. 設定本機登入登出的稽核原則 2. 設定本機共享資料夾權限與稽核原則請記得安裝 NXLOG, 詳細請參閱第一章節 3.1 設定本機登入登出的稽核原則設定步驟如下 : 1. 以系統管理員 Administrator 登入 Windows 2008 Server 點選 [ 開始功能表 / 系統管理工具 / 本機安全性原則 ] 25

27 26 如如何使用 NXLOG 管理配置 Windows Server 日誌 2. 點選 [ 本機原則 / 稽核原則 ] 26

28 3. 定義下列的原則設定值 : (1) 稽核登入事件 : 雙擊 [ 稽核登入事件 ], 勾選 [ 成功 ] 及 [ 失敗 ], 設定完成後按 [ 確定 ] 27

29 28 如如何使用 NXLOG 管理配置 Windows Server 日誌 (2) 稽核帳戶登入事件 : 雙擊 [ 稽核帳戶登入事件 ], 勾選 [ 成功 ] 及 [ 失敗 ], 設定完成後按 [ 確定 ] 28

30 (3) 稽核物件存取 : 雙擊 [ 稽核物件存取 ], 勾選 [ 成功 ] 及 [ 失敗 ], 設定完成後按 [ 確定 ] (4) 稽核原則變更 : 雙擊 [ 稽核原則變更 ], 勾選 [ 定義這些原則設定值 ], 再勾選 [ 成功 ] 及 [ 失敗 ], 設定完成後按 [ 確定 ] (5) 稽核帳戶管理 : 雙擊 [ 稽核帳戶管理 ], 勾選 [ 定義這些原則設定值 ], 再勾選 [ 成功 ] 及 [ 失敗 ], 設定完成後按 [ 確定 ] 註 : 若 Windows 2008 Server 不做檔案伺服器稽核 (File server audit), 建議不稽核物件存取, 請直接跳過 3.1 中 (3) 與 3.2 的設置, 只需完成 3.1 的 (1) (2) (4) (5) 步驟的設定, 以避免 Windows 稽核多餘的物件存取 (Object access) 稽核的安全事件此多餘且事件冗長的安全事件轉成 syslog 後發送給 N-Reporter 接收, 會影響效能 (performance) 29

31 30 如如何使用 NXLOG 管理配置 Windows Server 日誌 3.2 設定本機共享資料夾權限與稽核原則設定步驟如下 : 1. 在欲共用的資料夾上點擊滑鼠右鍵, 點選 [ 內容 ] 2. 點選 [ 共用 ] 索引標籤, 圈選 [ 共用 ] 3. 在檔案分享權限設定中, 點下拉選單, 選擇此電腦已建立的使用者帳戶後, 點選 [ 新增 ] 30

32 4. 點選 [ 共用 ] 31

33 32 如如何使用 NXLOG 管理配置 Windows Server 日誌 5. 等待共用設定完成後, 再按 [ 完成 ] 32

34 6. 安全性設定 : (1) 點選 [ 安全性 ] 索引標籤 (2) 點選 [ 編輯 ] (3) 選擇使用者 (4) 勾選允許 [ 完全控制 ] 權限, 以取得所有權限 (5) 設定完成後按 [ 確定 ] 33

35 34 如如何使用 NXLOG 管理配置 Windows Server 日誌 7. 進階安全性設定 : (1) 點選 [ 進階 ] (2) 點選 [ 稽核 ] 索引標籤 (3) 點選 [ 編輯 ] (4) 點選 [ 新增 ] (5) 點選 [ 位置 ], 選擇本機電腦名稱 (6) 輸入使用者帳號 (7) 設定完成後按 [ 確定 ] 34

36 8. 稽核項目設定 : 勾選所有稽核項目的 [ 成功 ] 及 [ 失敗 ], 設定完成後按 [ 確定 ] 9. 在進階安全性設定完成後, 點選 [ 確定 ] 35

37 36 如如何使用 NXLOG 管理配置 Windows Server 日誌 10. 在分享資料夾設定完成後, 點選 [ 關閉 ] 36

38 11. 點選 [ 開始功能表 / 系統管理工具 / 電腦管理 ] 37

39 38 如如何使用 NXLOG 管理配置 Windows Server 日誌 12. 點選 [ 系統工具 / 共用資料夾 / 共用 ] 13. 在 [ 共用 ] 點擊滑鼠右鍵, 點選 [ 新增共用 ] 38

40 14. 建立共用資料夾精靈 : (1) 點選 [ 下一步 ] (2) 按 [ 瀏覽 ] 指出欲共用資料夾路徑, 完成後按 [ 下一步 ] 39

41 40 如如何使用 NXLOG 管理配置 Windows Server 日誌 (3) 點選 [ 下一步 ] (4) 點選 [ 完成 ] 40

42 (5) 點選 [ 完成 ] 15. 設定共用資料夾使用者 : (1) 雙擊該分享資料夾 (2) 點選 [ 共用使用權限 ] 索引標籤 (3) 點選 [ 新增 ] (4) 點選 [ 位置 ], 選擇本機電腦名稱 (5) 輸入使用者帳號 (6) 設定完成後按 [ 確定 ] 41

43 42 如如何使用 NXLOG 管理配置 Windows Server 日誌 16. 設定共用使用權限 : 點選使用者帳號, 勾選允許 [ 完全控制 ] [ 變更 ] 及 [ 讀取 ] 權限, 設定完成後按 [ 確定 ] 42

4 Windows 2012 Server 稽核設定本章節主要說明以下操作設定 : 1. 設定本機使用者登入登出的稽核原則 2. 設定共享資料夾權限與稽核原則 Windows 2012 Server 登入登出的稽核原則和目錄分享的稽核原則, 預設是關閉的請記得安裝 NXLOG, 詳細請參閱第一章節 4.1 設定本機登入登出的稽核原則設定步驟如下 : 1.

44 4 Windows 2012 Server 稽核設定本章節主要說明以下操作設定 : 1. 設定本機使用者登入登出的稽核原則 2. 設定共享資料夾權限與稽核原則 Windows 2012 Server 登入登出的稽核原則和目錄分享的稽核原則, 預設是關閉的請記得安裝 NXLOG, 詳細請參閱第一章節 4.1 設定本機登入登出的稽核原則設定步驟如下 : 1. 以系統管理員 administrator 登入 Windows 2012 Server 點選[ Start / Administrative Tools / Local Security Policy ], 開啟 [ 本機安全性原則 (Local Security Policy) ] 2. 點選 [ Security Settings / Local Policies / Audit Policy ] 43

45 44 如如何使用 NXLOG 管理配置 Windows Server 日誌 3. 定義下列的原則設定值 : (1) 稽核登入事件 (Audit logon events): 雙擊 [ Audit logon events ], 勾選 [ Success ] 及 [ Failure ], 設定完成後按 [ OK ] 44

(2) 稽核帳戶登入事件 (Audit account logon events): 雙擊 [ Audit account logon events ], 勾選 [ Success ] 及 [ Failure ], 設定完成後按 [ OK ] (3) 稽核物件存取 (Audit object access): 雙擊 [ Audit object access ], 勾選 [ Success ]

46 (2) 稽核帳戶登入事件 (Audit account logon events): 雙擊 [ Audit account logon events ], 勾選 [ Success ] 及 [ Failure ], 設定完成後按 [ OK ] (3) 稽核物件存取 (Audit object access): 雙擊 [ Audit object access ], 勾選 [ Success ] 及 [ Failure ], 設定完成後按 [ OK ] (4) 稽核原則變更 (Audit policy change): 雙擊 [ Audit policy change ], 勾選 [ Success ] 及 [ Failure ], 設定完成後按 [ OK ] (5) 稽核帳戶管理 (Audit account management): 雙擊 [ Audit account management ], 勾選 [ Success ] 及 [ Failure ], 設定完成後按 [ OK ] 註 : 若 Windows 2012 Server 不做檔案伺服器稽核 (File server audit), 建議不稽核物件存取, 請直接跳過 4.1 中 (3) 與 4.2 的設置, 只需完成 4.1 的 (1) (2) (4) (5) 步驟的設定, 以避免 Windows 稽核多餘的物件存取 (Object access) 稽核的安全事件此多餘且事件冗長的安全事件轉成 syslog 後發送給 N-Reporter 接收, 會影響效能 (performance) 45

47 46 如如何使用 NXLOG 管理配置 Windows Server 日誌 4.2 設定共享資料夾權限與稽核原則設定步驟如下 : 1. 點選 [ Server Manager / File and Storage Services / Shares / TASKS / New Share...] 46

$2. 滑鼠左點 [ SMB Share - Quick ], 左點 [ Next ] 3. 左點 [ Type a custom path ], 本例輸入 "C:\share_folder", 左點 [ Next ] 4.$

48 2. 滑鼠左點 [ SMB Share - Quick ], 左點 [ Next ] 3. 左點 [ Type a custom path ], 本例輸入 "C:\share_folder", 左點 [ Next ] 4. 輸入 share name, 左點 [ Next ] 5. 勾選 [ Enable access-based enumeration ], 左點 [ Next ] 6. 點選 [ Customize permissions... / Auditing / Add ] 47

49 48 如如何使用 NXLOG 管理配置 Windows Server 日誌 7. 左點 [ Select a principal ], 如果欲稽核所有使用者,Enter the object name 輸入 "everyone", 左點 [ OK ] 8. Type 下拉選 [ All ], 勾選 [ Full control ], 左點 [ OK ] 9. 等待 auditing 設定完成後, 左點 [ OK ] 左點 [ Next ] 左點 [ Create ] 完成設定 48

連絡資訊 N-Partner 公司連絡方式 : TEL: +886-4-23752865 FAX: +886-4-23757458 有關技術問題請洽 : Email:

50 連絡資訊 N-Partner 公司連絡方式 : TEL: FAX: 有關技術問題請洽 : support@npartnertech.com Skype:support@npartnertech.com 有關業務相關問題請洽 : sales@npartnertech.com 49

前言此文件主要描述如何使用 N-Reporter 接收 SQL Server 的 log 首先必須開啟 SQL Server 的 C2 audit mode 功能, 透過 C2 audit mode, 系統將 SQL Server 的 log 送至 Windows 的 eventlog 接著利用

前言此文件主要描述如何使用 N-Reporter 接收 SQL Server 的 log 首先必須開啟 SQL Server 的 C2 audit mode 功能, 透過 C2 audit mode, 系統將 SQL Server 的 log 送至 Windows 的 eventlog 接著利用 0 如何管理 SQL Server 登入稽核 V 006 0 2017/09/15 前言此文件主要描述如何使用 N-Reporter 接收 SQL Server 的 log 首先必須開啟 SQL Server 的 C2 audit mode 功能, 透過 C2 audit mode, 系統將 SQL Server 的 log 送至 Windows 的 eventlog 接著利用 NXLOG 將 eventlog

0 如如何使用 NXLOG 管理配置 Windows Server 日誌 如何使用 NXLOG 管理配置 Windows Server 日誌 V ( 繁體 ) 0 Copyright All rights are reserved by N-Partner Technologies Co

0 如如何使用 NXLOG 管理配置 Windows Server 日誌如何使用 NXLOG 管理配置 Windows Server 日誌 V ( 繁體 ) 0 Copyright All rights are reserved by N-Partner Technologies Co