圖 4 “目錄服務(wù)變更”事件前后

　　如果創(chuàng)建了一個(gè)新對(duì)象，則在對(duì)象創(chuàng)建時(shí)所填充的屬性值將被記錄下來(lái)。如果在域內(nèi)移動(dòng)對(duì)象，則以前的位置和新位置(以可分辨名稱的形式)將被記錄下來(lái)。在設(shè)置了相應(yīng)的“審核策略”后，默認(rèn)會(huì)啟用“old and new”(舊與新)功能。如果您希望將某個(gè)屬性保持專有，如雇員 ID 號(hào)的變更，可通過(guò)對(duì)架構(gòu)進(jìn)行簡(jiǎn)單的修改來(lái)明確排除這些屬性。如果在架構(gòu)中將該屬性的 searchFlags 屬性改為 0x100(值 256 -NEVER_AUDIT_VALUE)，如圖 5 所示，則當(dāng)該屬性發(fā)生變更時(shí)，“目錄服務(wù)變更”事件不會(huì)發(fā)生。

　　圖 5 從目錄服務(wù)變更中排除屬性

　　最后，Windows Eventing 6.0 中一個(gè)非常不錯(cuò)的新功能是“Event Subscriptions”(事件訂閱)。正如先前所述，訪問和查看事件日志是一項(xiàng)非常重要的系統(tǒng)管理任務(wù)。新的“事件訂閱”功能提供了一種方法，可在系統(tǒng)之間直接轉(zhuǎn)發(fā)事件?！笆录嗛啞庇墒占录摹笆录占鳌焙捅慌渲脼橄蛑付ㄖ鳈C(jī)轉(zhuǎn)發(fā)事件的“事件源”組成。消耗事件的能力由 Windows Event Collector 服務(wù)(Windows Eventing 6.0 的新功能)提供，而訂閱功能則被內(nèi)置在 Windows Event Log 服務(wù)中。用戶可以配置一個(gè)收集器，從各種事件源中收集事件，這里所說(shuō)的事件源可以是 Windows Server 2008 或 Windows 系統(tǒng)。

　　從事件源收集的所有數(shù)據(jù)都駐留在離散的名為 Forwarded Events (ForwardedEvents.evtx) 的事件日志中，并由收集器上的 Event Log 服務(wù)進(jìn)行管理。對(duì)兩個(gè)端點(diǎn)(收集器和源)的配置都是必不可少的，此操作可以自動(dòng)進(jìn)行(源上為 winrm quickconfig –q;收集器上為 wecutil qc /q)。要特別注意的是，此事件訂閱功能不是為企業(yè)設(shè)計(jì)的，也不是要將事件提供給外部數(shù)據(jù)庫(kù)的替換系統(tǒng)。

　　為了說(shuō)明如何使用此功能，讓我們假定有一個(gè)小 Web 場(chǎng)。您有一小組與特定網(wǎng)站(包括 Web 服務(wù)器和 SQL 服務(wù)器)關(guān)聯(lián)的系統(tǒng)。這些系統(tǒng)可使用新的“事件訂閱”功能，將其安全事件日志信息合并到單個(gè)系統(tǒng)中。環(huán)境規(guī)模越大，通常需要的事件日志合并工具集也越高級(jí)。

最新評(píng)論