Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

242 Kapitel 8: Überwachung
WEvtUtil
Das Befehlszeilenprogramm EventQuery aus Windows Server 2003 wurde mit einem neuen
Tool namens WEvtUtil ersetzt. WEvtUtil kann das gesamte Ereignissystem über die Eingabeaufforderung
verwalten.
Bearbeiten Sie die XPATH-Abfrage aus dem vorherigen Beispiel im Windows-Editor. (Sie
können den Filter anzeigen und ihn mit der Tastenkombination STRG+C in die Zwischenablage
kopieren.) Sie können WEvtUtil eine XML-Datei als Eingabe übergeben, aber in diesem
Fall verwenden Sie nur den Filterausdruck.
*[System[Provider[@Name='Microsoft-Windows-Security-Auditing'] and Task = 12544]
and EventData[Data[@Name='LogonType'] = '2']]
Bearbeiten Sie diesen Text und entfernen Sie die XML-Tags. Es darf nur der reine Filterausdruck
übrig bleiben (der Text zwischen den -Tags). Entfernen Sie alle Zeilenumbrüche
aus dem Text.
*[System[Provider[@Name='Microsoft-Windows-Security-Auditing'] and Task = 12544] and
EventData[Data[@Name='LogonType'] = '2']]
Kopieren Sie den fertigen Text in die Zwischenablage und öffnen Sie eine Eingabeaufforderung.
Geben Sie an der Eingabeaufforderung den folgenden Befehl ein. Sie können den
XPATH-Ausdruck über das Anwendungsmenü (linke obere Ecke) der Eingabeaufforderung
einfügen. Der vollständige Befehl sieht so aus:
C:\>wevtutil qe Security /q:“*[System[Provider[@Name='Microsoft-Windows- Security-Auditing']
and Task = 12544] and EventData[Data[@Name= 'LogonType'] = '2']]”
Wenn Sie die EINGABETASTE drücken, gibt WEvtUtil die Ereignisse im XML-Format an
der Eingabeaufforderung aus. Sie können diese Ausgabe in eine Textdatei umleiten und mit
einem anderen Programm ansehen. WEvtUtil stellt auch Befehlszeilenoptionen zur Verfügung,
mit denen Sie die Ausgabe im Text- oder RenderedXML-Format generieren können.
RenderedXML enthält neben dem XML des Ereignisses auch den Text.
Beachten Sie, dass das XML, das WEvtUtil generiert, nicht ganz standardgerecht ist. Es hat
keine XML-Deklaration und besteht normalerweise nicht aus einem Element. Falls Sie mit
Automatisierung arbeiten, ist es unter Umständen sinnvoll, ein XMLDecl und ein Tag am Anfang
der WEvtUtil-Ausgabe einzufügen und ein schließendes Tag am Ende anzufügen. So
stellen Sie sicher, dass Ihre Automatisierungslösung standardgerechtes XML erhält.
Zusammenfassung
Auch wenn es einige Arbeit bedeutet, die Richtlinien zu entwerfen und die Einstellungen
auszuwählen, ist es wahrscheinlich sehr sinnvoll, detaillierte Überwachungsrichtlinien bereitzustellen,
falls Sie Windows Server 2008 oder Windows Vista in Ihrer Organisation einsetzen.