Os logs de eventos do Windows trazem informações detalhadas sobre o comportamento dos endpoints: de incidentes de segurança a falhas de atualização, administradores de TI e MSPs precisam de visibilidade sobre o conteúdo desses logs.
O monitoramento dos logs de eventos do Windows é um requisito central para supervisionar e proteger redes, tanto em pequenas empresas quanto em grandes organizações. Só que a verificação manual não escala, já que uma enorme quantidade de eventos registrados costuma ser irrelevante. Este guia mostra como automatizar o monitoramento de logs de eventos do Windows em vários clientes, de forma que incidentes relevantes sejam reportados e todos os logs de vários dispositivos fiquem disponíveis em um único lugar.
Pré-requisitos para monitorar e encaminhar logs de eventos do Windows
O objetivo principal da sua solução de monitoramento de logs de eventos do Windows deve ser garantir que nenhum sinal de segurança passe despercebido. Outros objetivos: detectar e notificar eventos importantes ou comportamentos suspeitos, centralizar o armazenamento dos logs críticos e permitir a correção de problemas conhecidos por meio de scripts.
Para monitorar e encaminhar logs de eventos do Windows no Windows 10, Windows 11 e Windows Server 2016+, você precisa do seguinte:
- Acesso administrativo em todas as máquinas
- Acesso ao PowerShell
- Um domínio do Active Directory, caso vá implantar Objetos de Política de Grupo
Alguns dos exemplos abaixo usam scripts para enviar e-mails de notificação, mas pode ser melhor recorrer a uma solução de terceiros para enviar notificações ou encaminhar as entradas de log relevantes para uma plataforma central (por exemplo, com um aplicativo cliente ou via API REST). Como em toda funcionalidade crítica de TI e MSP, confirme que as soluções implementadas atendem aos seus requisitos e funcionam no seu ambiente específico.
Método 1: Visualizador de Eventos e Agendador de Tarefas para automação pela interface gráfica
O Visualizador de Eventos do Windows permite automatizar o encaminhamento de entradas de log de eventos com o Agendador de Tarefas do Windows. Veja como:
- Abra o Visualizador de Eventos do Windows pelo Menu Iniciar ou executando eventvwr.msc na caixa de diálogo Executar
- Localize o evento desejado no log (por exemplo, Windows > Sistema > ID do Evento 1001 para relatórios de pane)
- Clique com o botão direito no evento, selecione Anexar Tarefa a Este Evento… e dê um Nome à tarefa
- Quando for solicitada uma Ação, selecione Iniciar um programa (também é possível enviar um e-mail ou exibir uma mensagem, mas essas ações estão obsoletas)
- Informe o caminho do programa ou script, além de eventuais argumentos
- Confira os detalhes e clique em Concluir
A tarefa será executada sempre que o evento ocorrer, com os detalhes do evento. O programa ou script usado como ação pode ser um cliente de terceiros para enviar notificações ou um script que roda diagnósticos, reinicia serviços e depois envia uma notificação ou encaminha os dados de diagnóstico para outro serviço.
Método 2: PowerShell para monitoramento e resposta centralizados
Outra opção é usar um script do PowerShell para consultar eventos específicos e enviar alertas, como no exemplo abaixo:
$Events = Get-WinEvent -FilterHashtable @{LogName='Security'; ID=4625; StartTime=(Get-Date).AddMinutes(-5)}
foreach ($e in $Events) {
$message = $e.Message
# Custom action: send email, trigger flow, or write to external log
Send-MailMessage -To '[email protected]' -From '[email protected]' -Subject 'Failed Login Attempt' -Body $message -SmtpServer 'smtp.example.com'
}
O script usa o cmdlet Get-WinEvent para buscar eventos com o ID especificado (neste caso, 4625, de logon malsucedido) nos últimos 5 minutos. Lembre-se de que Send-MailMessage está obsoleto: em produção, conte com os alertas do seu RMM ou com APIs do Slack e de outros serviços de notificação.
Para automatizar a execução, use o Agendador de Tarefas ou o cmdlet Register-ScheduledTask (configure o mesmo intervalo definido no script). Também dá para implantar o script com uma solução de RMM como NinjaOne ou via Política de Grupo.
Método 3: Prompt de Comando para consultas manuais ou disparo de scripts
Também é possível detectar a criação de novas entradas de log com o wevtutil no Prompt de Comando do Windows ou em um arquivo em lote.
O comando abaixo usa o wevtutil para consultar eventos com o ID 4625 e retorna a entrada correspondente mais recente:
wevtutil qe Security "/q:*[System[(EventID=4625)]]" /c:1 /f:text
Esse comando pode ser disparado pelo Agendador de Tarefas ou por um script em lote ou do PowerShell, o que permite testar várias condições na última entrada de log correspondente a um ID de Evento e acionar outras ações quando necessário.
Método 4: Política de Grupo para encaminhamento e auditoria de logs por política
A Política de Grupo no Active Directory permite ativar e configurar o encaminhamento de logs de eventos nas máquinas ingressadas no domínio Windows. Veja como:
- Abra o console de gerenciamento de Política de Grupo
- Vá até Configuração do Computador > Modelos Administrativos > Componentes do Windows > Encaminhamento de Eventos
- Configure as opções Configurar o gerenciador de assinaturas de destino (definir URI do coletor), Ativar encaminhamento de eventos e Usar o WinRM para comunicação segura
Para aplicar políticas de auditoria, vá até Configuração do Computador > Configurações do Windows > Configurações de Segurança > Configuração Avançada da Política de Auditoria > Políticas de Auditoria do Sistema e ative as políticas de auditoria para eventos como logon e acesso a objetos. O tamanho do log, a retenção e as políticas de substituição também podem ser configurados pela Política de Grupo, se quiser.
Definindo tamanho, retenção e comportamento do log de eventos pelo Registro do Windows
Dá para controlar o tamanho e a retenção dos logs no Editor do Registro do Windows, alterando os valores de registro na chave EventLog em HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Eventlog\<LogName>
- MaxSize (DWORD): tamanho máximo do log em bytes
- Retention (DWORD): 1 = substituir conforme necessário, 0 = não substituir
- AutoBackupLogFiles (DWORD): 1 = ativado, 0 = desativado
Use o PowerShell para definir esses valores de registro e implante o script via Política de Grupo ou pela sua plataforma de gerenciamento de endpoints:
Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\Eventlog\Security" -Name MaxSize -Value 104857600
Outras considerações e solução de problemas
Ao implementar sua solução de encaminhamento ou monitoramento de logs de eventos do Windows, vale avaliar também alguns fatores, conforme o cenário e os requisitos:
- Limitações do encaminhamento: o encaminhamento nativo é baseado em pull e não funciona em tempo real, então use scripts ou SIEM se precisar de alertas ao vivo
- Tamanho do log: monitore o tamanho e a retenção para evitar a substituição de dados relevantes
- Logs de segurança: faça backup desses logs importantes e/ou envie-os a um SIEM para análise
- Frequência da automação: use um agendamento equilibrado (por exemplo, consultas a cada 5 minutos) para reduzir o impacto no desempenho
Se a solução de monitoramento de eventos não se comportar como esperado, verifique:
- Encaminhamento de eventos não funciona: confira o status do WinRM e as regras de firewall
- Scripts não são disparados: valide a correspondência do ID do Evento e se a conta de usuário tem as permissões corretas
- Logs ausentes ou incompletos: revise as políticas de retenção e garanta que os logs não estejam sendo sobrescritos
- Permissões de script: confirme que a política de execução de scripts do PowerShell permite rodar scripts não assinados
Monitoramento centralizado de logs de eventos do Windows sem scripts complexos
Monitorar os logs de eventos do Windows em todos os endpoints é essencial para equipes internas de TI e MSPs garantirem visão operacional, segurança e conformidade. O gerenciamento de endpoints da NinjaOne simplifica essa tarefa com monitoramento e alertas em tempo real (por SMS, e-mail e notificações push), para que os técnicos comecem a resolver o problema assim que algo sair do esperado.
Além disso, você pode personalizar seu próprio monitoramento de logs de eventos com implantação de scripts, alertas configuráveis por ID de Evento e scripts de correção automática disparados por eventos específicos. Tudo fica visível em um painel web unificado, o que agiliza os diagnósticos e torna sua estrutura de TI proativa na identificação e resolução de ameaças cibernéticas, problemas de usuários finais e falhas.
