C:\Windows\Logs

• .log files: tekst log bestanden met een time-stamp en een bericht

C:\Windows\System32\winevt\Logs

• .evtx files: binair-bestand met log events
  • Event viewer (Logboeken) maakt deze bestanden leesbaar

Opstarten

• eventvwr.exe
• MMC: Event Viewer

Windows Logs

System logboek

informatie over wat er met het besturingssysteem aan de hand is.

Application logboek

informatie over interactie tussen programma's en besturingssysteem.

Security logboek

informatie over succesvolle en mislukte pogingen om toegang te krijgen tot bronnen

Maximale log omvang

• Instellen per logbook
• Klik met de rechter muisknop op het logbook → eigenschappen
• Overschrijven middels Fifo: First In, First Out

Windows Events

Event Details

• Selecteer een Logboek
• Dubble klik een event
  • ID op web:
    • EventID <number>
    • Event ID <number>

Event ID: Probleem oplossen

• Zoek op het Event ID
• TechNet artikelen kun je vaak vertrouwen, ze komen van Microsoft

• Er wordt veel gelogd
  • Startende programma’s
  • Stoppende programma’s
• Let vooral op:
  Critical (Kritiek)
  Error (Fout)
  Warning (Waarschuwing)

Filteren van informatie

• Klik met de rechter muisknop op een logboek → Filter Current Log…

Selecteren van filters

• Filter bijvoorbeeld op Error / Critical / Warning

Rapportage monitoring

uitkomst health check

Op de machine staat de update service uit en is geen antivirus programma gevonden. Wel is windows defender geïnstalleerd. De performance monitor geeft aan dat de grafische kaart niet voldoet.

conclusie

Het systeem heeft serieuze security problemen. Onmiddellijk de bevindingen aan de CISO melden dat er geen updates worden uitgevoerd en geen virusscanner actief is.

aanbeveling

Updating en virusscan moeten worden geactiveerd, de grafische kaart is vanuit security oogpunt van minder belang (alleen de beschikbaarheid wordt enigszins geschaad). De melding van de grafische kaart doorgeven aan de systeembeheerder.

Views bewaren

• Create Custom Views
• Klik Event level aan
• Geef de custom view een naam
• Toont nu in 1x de views

Logs van een andere computer

• Logs lezen op een andere computer
• Let op! Firewall op de remote computer moet het wel toelaten
• Klik op Event View → Connect to Another Computer