Windows-gebeurtenissenlogboeken bevatten gedetailleerde informatie over het gedrag van uw endpoints: van beveiligingsincidenten tot mislukte updates. IT-beheerders en MSP’s moeten zicht hebben op de inhoud van deze logboeken.
Monitoring van het Windows-gebeurtenissenlogboek is een belangrijke voorwaarde om netwerken te overzien en te beveiligen, zowel bij kleine bedrijven als bij grote ondernemingen. Handmatige controles zijn echter lastig schaalbaar door het grote aantal vaak onbelangrijke gebeurtenissen dat wordt vastgelegd. In deze gids leest u hoe u de monitoring van het Windows-gebeurtenissenlogboek bij meerdere klanten kunt automatiseren, zodat opvallende incidenten worden gemeld en alle logboeken van meerdere apparaten op één centrale plek beschikbaar zijn.
Voorwaarden voor monitoring en doorsturen van het Windows-gebeurtenissenlogboek
Het belangrijkste doel van uw oplossing voor monitoring van het Windows-gebeurtenissenlogboek is ervoor zorgen dat er geen beveiligingssignalen worden gemist. Andere doelen zijn het detecteren en melden van belangrijke gebeurtenissen of verdacht gedrag, het centraal opslaan van kritieke logboeken en het via scripts verhelpen van bekende problemen.
Om Windows-gebeurtenissenlogboeken te monitoren en door te sturen op Windows 10, Windows 11 en Windows Server 2016+, hebt u het volgende nodig:
- Beheerderstoegang op alle machines
- Toegang tot PowerShell
- Een Active Directory-domein als u groepsbeleidsobjecten gebruikt
In sommige voorbeelden hieronder worden e-mails voor notificaties via een script verstuurd. Toch kan het beter zijn om een externe oplossing te gebruiken om notificaties te versturen of de relevante logboekvermeldingen door te sturen naar een centraal platform (bijvoorbeeld via een clienttoepassing of een REST API). Zoals bij alle kritieke IT- en MSP-functionaliteit moet u controleren of de geïmplementeerde oplossingen aan uw eisen voldoen en werken in uw specifieke omgeving.
Methode 1: Logboeken en Taakplanner gebruiken voor automatisering via de GUI
Met Logboeken (Event Viewer) kunt u het doorsturen van gebeurtenissenlogboekvermeldingen automatiseren via de Windows Taakplanner. Ga als volgt te werk:
- Open Logboeken via het startmenu of door eventvwr.msc uit te voeren in het dialoogvenster Uitvoeren
- Zoek de gewenste gebeurtenis in het logboek op (bijvoorbeeld Windows > Systeem > Event ID 1001 voor crashrapporten)
- Klik met de rechtermuisknop op de gebeurtenis, kies Taak aan deze gebeurtenis koppelen… en geef de taak een naam
- Wanneer u wordt gevraagd welke actie moet worden uitgevoerd, kiest u Een programma starten (u kunt ook een e-mail versturen of een bericht weergeven, maar die acties zijn verouderd)
- Voer het pad naar het programma of script in, samen met eventuele argumenten
- Controleer de gegevens en klik op Voltooien
Deze taak wordt vervolgens uitgevoerd telkens wanneer de gebeurtenis zich voordoet, inclusief de details van die gebeurtenis. Het programma of script dat u als actie gebruikt, kan een externe client zijn die notificaties verstuurt of een script dat diagnostiek uitvoert, services herstart en daarna een notificatie verstuurt of de diagnostische gegevens doorstuurt naar een andere service.
Methode 2: PowerShell gebruiken voor centrale monitoring en respons
U kunt ook een PowerShell-script gebruiken om op specifieke gebeurtenissen te pollen en notificaties te versturen, zoals in het voorbeeldscript hieronder:
$Events = Get-WinEvent -FilterHashtable @{LogName='Security'; ID=4625; StartTime=(Get-Date).AddMinutes(-5)}
foreach ($e in $Events) {
$message = $e.Message
# Custom action: send email, trigger flow, or write to external logSend-MailMessage -To '[email protected]' -From '[email protected]' -Subject 'Failed Login Attempt' -Body $message -SmtpServer 'smtp.example.com'
}
Hiervoor wordt de cmdlet Get-WinEvent gebruikt om te zoeken naar gebeurtenissen met de opgegeven ID (in dit geval 4625 voor een mislukte aanmelding) van de afgelopen 5 minuten. Houd er nogmaals rekening mee dat Send-MailMessage verouderd is. In productie kunt u beter vertrouwen op de alarmering van uw RMM of op API’s van Slack of andere notificatiediensten.
U kunt de Taakplanner of de cmdlet Register-ScheduledTask gebruiken om dit automatisch te laten uitvoeren (met hetzelfde interval als in het script is ingesteld). U kunt het script ook uitrollen met een RMM oplossing zoals NinjaOne of via groepsbeleid.
Methode 3: De opdrachtprompt gebruiken voor handmatig pollen of het starten van scripts
U kunt het aanmaken van nieuwe logboekvermeldingen ook detecteren met wevtutil in de Windows-opdrachtprompt of via een batchbestand.
De onderstaande opdracht gebruikt wevtutil om te zoeken naar gebeurtenissen met de ID 4625 en geeft de meest recente overeenkomende vermelding terug:
wevtutil qe Security "/q:*[System[(EventID=4625)]]" /c:1 /f:text
Deze opdracht kan worden gestart vanuit de Taakplanner of vanuit een batch- of PowerShell-script. Zo kunt u verschillende voorwaarden testen op de laatste overeenkomende logboekvermelding voor een Event ID en indien nodig een vervolgactie starten.
Methode 4: Groepsbeleid gebruiken voor beleidsmatig doorsturen en controleren van logboeken
Met groepsbeleid in Active Directory kunt u het doorsturen van gebeurtenissenlogboeken inschakelen en configureren op alle machines die lid zijn van een Windows-domein. Ga als volgt te werk:
- Open de Groepsbeleidbeheer-console
- Ga naar Computerconfiguratie > Beheersjablonen > Windows-onderdelen > Gebeurtenissen doorsturen
- Configureer de instellingen Doelabonnementsbeheer configureren (verzamelaar-URI definiëren), Doorsturen van gebeurtenissen inschakelen en Gebruik WinRM voor beveiligde communicatie
Beleidshandhaving voor controle configureert u via Computerconfiguratie > Windows-instellingen > Beveiligingsinstellingen > Geavanceerde configuratie van controlebeleid > Systeemcontrolebeleid. Daar schakelt u controlebeleid in voor gebeurtenissen zoals aanmeldingsgebeurtenissen en objecttoegang. Ook de logboekgrootte, bewaartermijn en het overschrijfbeleid kunt u desgewenst via groepsbeleid instellen.
Het Windows-register gebruiken voor logboekgrootte, bewaartermijn en gedrag
U kunt de logboekgrootte en bewaartermijn regelen via de Windows Register-editor door de registerwaarden aan te passen in de EventLog-sleutel onder HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Eventlog\<LogName>
- MaxSize (DWORD): maximale logboekgrootte in bytes
- Retention (DWORD): 1 = overschrijven indien nodig, 0 = niet overschrijven
- AutoBackupLogFiles (DWORD): 1 = ingeschakeld, 0 = uitgeschakeld
U kunt PowerShell gebruiken om deze registerwaarden in te stellen en uw script uit te rollen via groepsbeleid of uw platform voor endpoint management:
Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\Eventlog\Security" -Name MaxSize -Value 104857600
Aanvullende aandachtspunten en probleemoplossing
Bij het implementeren van uw oplossing voor het doorsturen of monitoren van Windows-gebeurtenissenlogboeken kunt u, afhankelijk van uw scenario en eisen, ook rekening houden met de volgende factoren:
- Beperkingen van doorsturen: Het ingebouwde doorsturen werkt op basis van pull en is niet realtime. Gebruik daarom scripts of een SIEM als u live notificaties nodig hebt
- Logboekgrootte: Houd de logboekgrootte en bewaartermijn in de gaten om te voorkomen dat relevante gegevens worden overschreven
- Beveiligingslogboeken: Maak een back-up van deze belangrijke logboeken en/of voer ze in een SIEM in voor analyse
- Frequentie van automatisering: Kies een evenwichtig schema (bijvoorbeeld pollen om de 5 minuten) om de impact op de prestaties te beperken
Als uw oplossing voor het monitoren van gebeurtenissen zich niet gedraagt zoals verwacht, controleert u het volgende:
- Doorsturen van gebeurtenissen werkt niet: Controleer de status van WinRM en de firewallregels
- Scripts worden niet gestart: Controleer of de Event ID overeenkomt en of het gebruikersaccount de juiste rechten heeft
- Ontbrekende of onvolledige logboeken: Controleer het bewaarbeleid en zorg dat logboeken niet worden overschreven
- Scriptrechten: Zorg dat het uitvoeringsbeleid voor PowerShell-scripts het uitvoeren van niet-ondertekende scripts toestaat
Centrale monitoring van het Windows-gebeurtenissenlogboek zonder ingewikkelde scripts
Voor interne IT-teams en MSP’s is het cruciaal om de Windows-gebeurtenissenlogboeken van alle endpoints te monitoren met het oog op operationeel inzicht, beveiliging en compliance. Endpoint management van NinjaOne vereenvoudigt die taak met realtime monitoring en alarmering (via sms, e-mail en pushnotificaties), zodat technici meteen stappen kunnen zetten om een probleem op te lossen zodra er iets misgaat.
Daarnaast kunt u uw eigen monitoring van het gebeurtenissenlogboek op maat inrichten met het uitrollen van scripts, instelbare notificaties op basis van Event ID’s en automatische herstelscripts die worden gestart door specifieke triggers in het gebeurtenissenlogboek. Alles is overzichtelijk zichtbaar in één webdashboard, wat diagnostiek stroomlijnt en uw IT-apparaat proactief maakt in het opsporen en oplossen van cyberdreigingen, problemen van eindgebruikers en storingen.
