Voorwaarden voor monitoring en doorsturen van het Windows-gebeurtenissenlogboek<\/h2>\n
Het belangrijkste doel van uw oplossing voor monitoring van het Windows-gebeurtenissenlogboek is ervoor zorgen dat er geen beveiligingssignalen worden gemist. Andere doelen zijn het detecteren en melden van belangrijke gebeurtenissen of verdacht gedrag, het centraal opslaan van kritieke logboeken en het via scripts verhelpen van bekende problemen.<\/p>\n
Om Windows-gebeurtenissenlogboeken te monitoren en door te sturen op Windows 10, Windows 11 en Windows Server 2016+, hebt u het volgende nodig:<\/p>\n
- \n
- Beheerderstoegang op alle machines<\/li>\n
- Toegang tot PowerShell<\/li>\n
- Een Active Directory-domein als u groepsbeleidsobjecten gebruikt<\/li>\n<\/ul>\n
In sommige voorbeelden hieronder worden e-mails voor notificaties via een script verstuurd. Toch kan het beter zijn om een externe oplossing te gebruiken om notificaties te versturen of de relevante logboekvermeldingen door te sturen naar een centraal platform<\/a> (bijvoorbeeld via een clienttoepassing of een REST API). Zoals bij alle kritieke IT- en MSP-functionaliteit moet u controleren of de ge\u00efmplementeerde oplossingen aan uw eisen voldoen en werken in uw specifieke omgeving.<\/p>\n
Methode 1: Logboeken en Taakplanner gebruiken voor automatisering via de GUI<\/h2>\n
Met Logboeken (Event Viewer) kunt u het doorsturen van gebeurtenissenlogboekvermeldingen automatiseren via de Windows Taakplanner. Ga als volgt te werk:<\/p>\n
- \n
- Open Logboeken via het startmenu of door eventvwr.msc<\/strong> uit te voeren in het dialoogvenster Uitvoeren<\/li>\n
- Zoek de gewenste gebeurtenis in het logboek op (bijvoorbeeld Windows > Systeem > Event ID 1001<\/strong> voor crashrapporten)<\/li>\n
- Klik met de rechtermuisknop<\/strong> op de gebeurtenis, kies Taak aan deze gebeurtenis koppelen…<\/strong> en geef de taak een naam<\/strong><\/li>\n<\/ul>\n
![\"Taakbalk](\"https:\/\/www.ninjaone.com\/wp-content\/uploads\/2025\/09\/image4.png\")
<\/h2>\n![\"Een](\"https:\/\/www.ninjaone.com\/wp-content\/uploads\/2025\/09\/image6.png\")
<\/p>\n- \n
- Wanneer u wordt gevraagd welke actie<\/strong> moet worden uitgevoerd, kiest u Een programma starten<\/strong> (u kunt ook een e-mail versturen of een bericht weergeven, maar die acties zijn verouderd)<\/li>\n<\/ul>\n
![\"Optie](\"https:\/\/www.ninjaone.com\/wp-content\/uploads\/2025\/09\/image5.png\")
<\/h2>\n- \n
- Voer het pad naar het programma of script in, samen met eventuele argumenten<\/li>\n<\/ul>\n
![\"Een](\"https:\/\/www.ninjaone.com\/wp-content\/uploads\/2025\/09\/image8.png\")
<\/h2>\n![\"Optie](\"https:\/\/www.ninjaone.com\/wp-content\/uploads\/2025\/09\/image7.png\")
<\/h2>\n- \n
- Controleer de gegevens en klik op Voltooien<\/strong><\/li>\n<\/ul>\n
Deze taak wordt vervolgens uitgevoerd telkens wanneer de gebeurtenis zich voordoet, inclusief de details van die gebeurtenis. Het programma of script dat u als actie gebruikt, kan een externe client zijn die notificaties verstuurt of een script dat diagnostiek uitvoert, services herstart en daarna een notificatie verstuurt of de diagnostische gegevens doorstuurt naar een andere service.<\/p>\n
Methode 2: PowerShell gebruiken voor centrale monitoring en respons<\/h2>\n
U kunt ook een PowerShell-script gebruiken om op specifieke gebeurtenissen te pollen en notificaties te versturen, zoals in het voorbeeldscript hieronder:<\/p>\n
$Events = Get-WinEvent -FilterHashtable @{LogName='Security'; ID=4625; StartTime=(Get-Date).AddMinutes(-5)}<\/strong><\/code>
\nforeach ($e in $Events) {<\/strong>
\n$message = $e.Message<\/strong>
\n# Custom action: send email, trigger flow, or write to external log<\/strong>
\nSend-MailMessage -To 'admin@example.com' -From 'alerts@example.com' -Subject 'Failed Login Attempt' -Body $message -SmtpServer 'smtp.example.com'<\/strong><\/code>
\n}<\/strong><\/p>\nHiervoor wordt de cmdlet Get-WinEvent<\/a> gebruikt om te zoeken naar gebeurtenissen met de opgegeven ID (in dit geval 4625<\/strong> voor een mislukte aanmelding) van de afgelopen 5 minuten. Houd er nogmaals rekening mee dat Send-MailMessage verouderd is. In productie kunt u beter vertrouwen op de alarmering van uw RMM of op API\u2019s van Slack of andere notificatiediensten.<\/p>\n
U kunt de Taakplanner of de cmdlet Register-ScheduledTask<\/a> gebruiken om dit automatisch te laten uitvoeren (met hetzelfde interval als in het script is ingesteld). U kunt het script ook uitrollen met een RMM oplossing zoals NinjaOne of via groepsbeleid.<\/p>\n
Methode 3: De opdrachtprompt gebruiken voor handmatig pollen of het starten van scripts<\/h2>\n
U kunt het aanmaken van nieuwe logboekvermeldingen ook detecteren met wevtutil<\/a> in de Windows-opdrachtprompt of via een batchbestand.<\/p>\n
De onderstaande opdracht gebruikt wevtutil om te zoeken naar gebeurtenissen met de ID 4625<\/strong> en geeft de meest recente overeenkomende vermelding terug:<\/p>\n
wevtutil qe Security \"\/q:*[System[(EventID=4625)]]\" \/c:1 \/f:text<\/strong><\/code><\/p>\nDeze opdracht kan worden gestart vanuit de Taakplanner of vanuit een batch- of PowerShell-script. Zo kunt u verschillende voorwaarden testen op de laatste overeenkomende logboekvermelding voor een Event ID en indien nodig een vervolgactie starten.<\/p>\n
Methode 4: Groepsbeleid gebruiken voor beleidsmatig doorsturen en controleren van logboeken<\/h2>\n
Met groepsbeleid in Active Directory<\/a> kunt u het doorsturen van gebeurtenissenlogboeken inschakelen en configureren op alle machines die lid zijn van een Windows-domein. Ga als volgt te werk:<\/p>\n
- \n
- Open de Groepsbeleidbeheer-console<\/li>\n
- Ga naar Computerconfiguratie > Beheersjablonen > Windows-onderdelen > Gebeurtenissen doorsturen<\/strong><\/li>\n
- Configureer de instellingen Doelabonnementsbeheer configureren (verzamelaar-URI defini\u00ebren)<\/strong>, Doorsturen van gebeurtenissen inschakelen<\/strong> en Gebruik <\/strong>WinRM<\/strong><\/a> voor beveiligde communicatie<\/strong><\/li>\n<\/ul>\n
![\"Doelabonnementsbeheer](\"https:\/\/www.ninjaone.com\/wp-content\/uploads\/2025\/09\/image2.png\")
<\/h2>\nBeleidshandhaving voor controle configureert u via Computerconfiguratie > Windows-instellingen > Beveiligingsinstellingen > Geavanceerde configuratie van controlebeleid > Systeemcontrolebeleid<\/strong>. Daar schakelt u controlebeleid in voor gebeurtenissen zoals aanmeldingsgebeurtenissen en objecttoegang. Ook de logboekgrootte, bewaartermijn en het overschrijfbeleid kunt u desgewenst via groepsbeleid instellen.<\/p>\n
![\"Editor](\"https:\/\/www.ninjaone.com\/wp-content\/uploads\/2025\/09\/image1-5.png\")
<\/p>\nHet Windows-register gebruiken voor logboekgrootte, bewaartermijn en gedrag<\/h2>\n
- Configureer de instellingen Doelabonnementsbeheer configureren (verzamelaar-URI defini\u00ebren)<\/strong>, Doorsturen van gebeurtenissen inschakelen<\/strong> en Gebruik <\/strong>WinRM<\/strong><\/a> voor beveiligde communicatie<\/strong><\/li>\n<\/ul>\n
- Controleer de gegevens en klik op Voltooien<\/strong><\/li>\n<\/ul>\n
- Voer het pad naar het programma of script in, samen met eventuele argumenten<\/li>\n<\/ul>\n
- Zoek de gewenste gebeurtenis in het logboek op (bijvoorbeeld Windows > Systeem > Event ID 1001<\/strong> voor crashrapporten)<\/li>\n
- Open Logboeken via het startmenu of door eventvwr.msc<\/strong> uit te voeren in het dialoogvenster Uitvoeren<\/li>\n
![\"Register-editor](\"https:\/\/www.ninjaone.com\/wp-content\/uploads\/2025\/09\/image3.png\")
<\/h2>\n