我必须知道，who（usersid或loginname）为Active Directory中的指定OU更改了指定的GPO。 鉴于我们的审计设置包括这个，什么是正确的事件ID寻找？
在需要集中日志的时候，我们select了syslog作为收集器，Splunk（现在是免费的）作为分析工具，但总是有哪些事件应该到达中央存储库以及哪些系统。 从安全的angular度来看，select应该只处理那些感兴趣的日志。 你集中了哪些日志，你如何select它们？ 答案应该指出设备types，系统或软件，日志/事件types以及select它们的原因。
我在电脑上保存了显示信息的事件日志。 现在我想打开这个文件在另一台计算机上完整的事件描述。 在我的理解这个信息应保存在LocalMetaData.mta文件，但我不知道如何使用这个文件。 我怎样才能“导入”.mta文件，以获得完整的事件日志描述在另一台计算机上？
我们有一个自动化的部署工具，可以在晚上9:00的时候自动在生产服务器上安装最新版本的软件。 这一直很好。 最近，我开始注意到，每次安装软件时，应用程序事件日志都会在安装完成的时候清空。 我不能相信我们的应用程序正在这样做，因为我们没有任何清除事件日志的代码。 我们将日志条目logging到应用程序事件日志中，但是这种情况在几年内没有改变。 我检查了系统事件日志，发现一个事件表明应用程序事件日志已被清除：“应用程序日志文件被清除。 当我查看事件的详细信息时，我确定svchost.exe是基于进程ID清除它的服务。 清除它的用户是NT AUTHORITY \ SYSTEM 。 我检查了在清除事件日志的进程ID下运行的服务，并且有三个服务： DHCP客户端 Windows事件日志 TCP / IP NetBIOS助手 应用程序事件日志设置位于以下屏幕截图中。 当日志被清除时，只有大约20个条目，这远远低于大小限制，所以我不明白为什么它会因为fillup而被清除。
通过PowerShell，我试图创build一个新的事件日志，并写入一个testing条目，但它没有显示事件查看器。 这是我用来创build一个新的事件日志的命令： new-eventlog -logname TestLog -source TestLog 并写一个新的事件： write-eventlog TestLog -source TestLog -eventid 12345 -message "Test message" 运行第一个命令后，事件查看器中没有任何“TestLog”日志，我希望它会显示在“应用程序和服务日志”部分。 运行第二个命令后，得到相同的结果。 但是，我在HKLM \ SYSTEM \ services \ eventlog \ TestLog中看到一个registry项。 只是没有看到事件查看器中的任何东西。 所以，2个问题：我应该什么时候看到事件日志？ 它创build后，或者我写了第一个事件后？ 而且，更重要的是，为什么我没有看到它呢？ 我正在使用Windows Server 2008 R2，并以pipe理员身份login并运行PS。 谢谢。
我想写一个服务，特别是从安全日志中提取事件查看器logging。 我特别感兴趣的是事件ID 4625（审计失败）消息。 理想情况下，我想存储导致审计失败的客户端的IP，超过n次，持续一段时间。 听起来很容易，所以我很快掀起了一个.NET服务来做到这一点。 但是，当我拉这些审计失败时，“源networking地址”值始终等于“ – ”。 我想知道Windows如何通过login，最终以失败告终，而不知道对方的IP地址。 另外值得注意的是IP地址确实被logging了几次，日志条目实际上包含许多其他有用的信息（如生成它的过程，失败原因，传输的服务等）。 有人可以告诉我为什么安全日志不知道尝试login和失败的人的IP地址？
我正在开发一个应用程序，创buildWindows事件日志并写入它们。 但是，在开发和testing过程中，我错误地创build了一些事件日志，并向其中注册了源代码。 问题是只有事件日志名称的前8个字符是重要的。 现在我的日志名称不正确，我无法创build我需要的新日志。 有什么办法可以完全删除这些事件日志（而不只是清除它们）？ 我试图删除文件C:\Windows\System32\winevt\Logs\WrongNamedEventLog.evtx ，但没有成功。
我想创build一个打印机统计，我有一个简单但function强大的XMLparsing器。 所以我想把所有的事件从打印机日志导出到XML格式。 打印服务器运行Win2008R2。 当我想将过滤的日志导出到XML（我过滤了事件ID 307）时，我只有近6000个事件发生了300个事件。 你可以帮帮我吗？ 我也试过PowerShell导出日志，但我无法得到xml结构。
我正在寻找Windows Server 2000/2003的Windows事件日志分析和监视软件 （Windows Server 2008中有一些新function）。function集应该包括： 实时监控（通过电子邮件或其他消息发出警报） 定义观看的事件/事件组 多服务器 报告（每日/每周等报告） 漂亮的客户端工具 不一定是免费的或开放源代码的，但这将是很好的（当然） 任何build议或提示如何使用标准工具来实现这一点？ 谢谢！
当特定服务的特定严重性事件触发Windows服务器事件日志时，是否有一种简单的方法来发送电子邮件？ 这是在Windows Server 2003上，如果它有所作为。 NB我们在工作场所对生产服务器有适当的监控和警报，但是我们只是需要快速的解决scheme来开发这个服务。