IKuznetsov: Новая страница: « = Логи событий Windows = Логи событий Windows — это подробная запись уведомлений, хранимая операционной системой Windows. Эти логи используются для диагностики и мониторинга работоспособности и безопасности системы. '''ЕдиныйАгент''' использует нативный '''API''' Windo...»

2026-10-06T17:29:22Z

Новая страница: « = Логи событий Windows = Логи событий Windows — это подробная запись уведомлений, хранимая операционной системой Windows. Эти логи используются для диагностики и мониторинга работоспособности и безопасности системы. '''ЕдиныйАгент''' использует нативный '''API''' Windo...»

Новая страница

= Логи событий Windows =
Логи событий Windows — это подробная запись уведомлений, хранимая операционной системой Windows. Эти логи используются для диагностики и мониторинга работоспособности и безопасности системы. '''ЕдиныйАгент''' использует нативный '''API''' Windows для сбора всех записей логов. Существует три основных лога:

* '''Логи приложений''': содержат события, регистрируемые приложениями или программами.
* '''Системные логи''': содержат события, регистрируемые компонентами системы Windows.
* '''Логи безопасности''': содержат события, связанные с безопасностью, например попытки входа и доступ к ресурсам.

Логи событий Windows обнаруживаются автоматически и могут загружаться с помощью '''ЕдиногоАгента'''. Вы можете добавить собственные логи событий через конфигурацию '''пользовательского источника логов'''.

== Настройка загрузки логов событий Windows ==
Существует несколько способов настройки логов событий Windows. Чтобы включить и настроить их загрузку, выполните описанные ниже шаги.

=== Установка тайм-аута запроса ===
Перед началом фактической настройки установите значение тайм-аута запроса логов событий Windows:

# Перейдите в '''Настройки > Сбор и захват > Мониторинг логов > Настроить модуль логов > Дополнительные настройки'''.
# В поле '''Тайм-аут запроса логов событий Windows''' введите значение в секундах, чтобы определить максимальное время ожидания для запроса, извлекающего логи событий Windows.

=== Включение загрузки логов событий Windows ===
Следующая конфигурация позволяет загружать логи событий Windows и подготавливает их к анализу. Выполните следующие шаги:

# Перейдите в '''Настройки > Сбор и захват > Мониторинг логов > Настроить модуль логов > Правила загрузки'''.
# Включите правило '''[Встроенное] Логи системы, приложений и безопасности Windows'''.

Если включена опция '''[Встроенное] Загружать все логи''', логи событий Windows включаются автоматически, и дополнительная настройка для их загрузки не требуется.

=== Создание правила загрузки на основе атрибутов логов событий Windows ===
Следующие шаги необходимы, если вы хотите настроить правила загрузки логов для сбора только определённых логов событий Windows на основе их атрибутов, а не загружать все доступные логи.

# Перейдите в '''Настройки > Сбор и захват > Мониторинг логов > Настроить модуль логов > Правила загрузки'''.
# Выберите '''Новое правило''' и введите '''Имя правила'''.
# В разделе '''Сопоставления''' в поле '''Атрибут''' выберите один или несколько '''атрибутов''' логов Windows.
# В поле '''Значения''' введите значение сопоставления в соответствии с выбранным атрибутом.
# Выберите '''Создать'''.

=== Создание правила загрузки на основе имени лога событий Windows ===
Следующие шаги необходимы, если вы хотите настроить правила загрузки логов для сбора только определённых логов событий Windows на основе их имён, а не загружать все доступные логи.

# Перейдите в '''Настройки > Сбор и захват > Мониторинг логов > Настроить модуль логов > Правила загрузки'''.
# Выберите '''Новое правило''' и введите '''Имя правила'''.
# В разделе '''Сопоставления''' в поле '''Атрибут''' выберите '''Источник лога'''.
# В поле '''Значения''' введите одно или несколько имён логов Windows (например, <code>Windows Application Log</code>, <code>Windows Security Log</code> или <code>Windows System Log</code>).
# Выберите '''Создать'''.

== Добавление пользовательского источника логов событий Windows ==
Пользовательские источники логов событий Windows полезны, когда нужно загружать логи из пользовательских логов приложений или логов, созданных сторонним программным обеспечением. Например, если в вашей организации есть пользовательское приложение, вы можете использовать эту функцию для сбора и анализа его собственных выделенных логов событий в Ключ-АСТРОМ.

Чтобы загружать пользовательские логи событий Windows, можно определить пользовательский источник логов. Выполните следующие шаги, чтобы настроить и добавить пользовательский источник логов событий Windows в соответствии с вашими требованиями.

# Перейдите в '''Настройки > Сбор и захват > Мониторинг логов > Настроить модуль логов > Источники'''.
# В разделе '''Добавить отсутствующие источники логов''' выберите '''Новое правило источника логов''' и введите '''Имя правила'''.
# Необязательно: в разделе '''Привязать к группе процессов''' выберите группу процессов из раскрывающегося списка.
# В разделе '''Пользовательские пути к источникам''' выберите '''Лог событий Windows''' в качестве '''Типа источника логов'''.
# В поле '''Полное имя лога событий''' введите полное имя источника лога событий.
# Выберите '''Создать'''.
# При необходимости добавьте соответствующее правило загрузки.

== Атрибуты, выбираемые в логах событий Windows ==
Для логов событий Windows модуль логов определяет следующие поля и отправляет их в качестве пользовательских атрибутов:
{| class="wikitable"
!Семантическое имя атрибута
!Имя сопоставления конфигурации
!Свойство события
!Описание
|-
|<code>winlog.keywords</code>
|Ключевые слова записи лога Windows
|<code>Event.RenderingInfo.Keywords</code>
|Битовая маска ключевых слов, определённых в событии. Ключевые слова используются для классификации типов событий (например, события, связанные с чтением данных).
|-
|<code>winlog.username</code>
|Имя пользователя записи лога Windows
|<code>Event.System.Security.UserID</code>
|Имя пользователя поставщика событий, зарегистрировавшего событие.
|-
|<code>winlog.level</code>
|
|<code>Event.RenderingInfo.Level</code>
|Уровень серьёзности, определённый в событии. Этот атрибут недоступен в сопоставлениях конфигурации, но вместо него можно использовать '''Уровень записи лога'''.
|-
|<code>winlog.eventid</code>
|ID события записи лога Windows
|<code>Event.System.EventID</code>
|Идентификатор, который поставщик использовал для определения события.
|-
|<code>winlog.provider</code>
|Источник записи лога Windows
|<code>Event.System.Provider.Name</code>
|Определяет поставщика, зарегистрировавшего событие.
|-
|<code>winlog.task</code>
|Категория задачи записи лога Windows
|<code>Event.System.Task</code>
|Задача, определённая в событии. Задача и код операции обычно используются для определения места в приложении, откуда было зарегистрировано событие.
|-
|<code>winlog.opcode</code>
|Код операции записи лога Windows
|<code>Event.RenderingInfo.Opcode</code>
|Код операции, определённый в событии. Задача и код операции обычно используются для определения места в приложении, откуда было зарегистрировано событие.
|}

== Поддержка структурированных данных ==
Эта функция позволяет собирать структурированные данные из логов событий Windows в ветках '''User Data''' или '''Event Data''' (в зависимости от доступности) вместе с их подветками. Собранные данные передаются вместе с содержимым записи в виде атрибутов.

Чтобы включить эту функцию:

# Перейдите в '''Настройки > Сбор и захват > Мониторинг логов > Настроить модуль логов > Флаги функций Opt-in'''.
# Включите флаг функции '''Собирать данные через ЕдиныйАгент из логов событий Windows в разделах «Данные пользователя» и «Данные событий»'''.

Имена атрибутов назначаются на основе доступной информации, такой как имена тегов, значение поля <code>Name</code> или, если имена тегов повторяются и поле <code>Name</code> отсутствует, к имени тега добавляется порядковый номер.

* Подветки без значений и теги, помеченные как '''Binary''', опускаются.
* К имени атрибута всегда добавляется префикс <code>winlog.data.</code>.
* Нумерация последовательных полей (при необходимости с одинаковым именем атрибута) также включает поля с пустыми значениями.

Ниже приведены примеры веток и атрибутов.

=== Данные в разделе EventData ===
Исходные данные лога событий:<pre><EventData>
<Data Name="CallerProcessId">16548</Data>
<Data Name="CallerProcessImageName">vctip</Data>
<Data Name="Type">client</Data>
</EventData></pre>Разобранные атрибуты:<pre>AttributeKey: winlog.data.CallerProcessId, AttributeValue: 16548
AttributeKey: winlog.data.CallerProcessImageName, AttributeValue: vctip
AttributeKey: winlog.data.Type, AttributeValue: client</pre>

=== Данные в разделе UserData ===
Исходные данные лога событий:<pre><UserData>
<CbsPackageChangeState xmlns="http://manifests.microsoft.com/win/2004/08/windows/setup_provider">
<PackageIdentifier>KB5058405</PackageIdentifier>
<IntendedPackageState>5112</IntendedPackageState>
<IntendedPackageStateTextized></IntendedPackageStateTextized>
</CbsPackageChangeState>
</UserData></pre>Разобранные атрибуты:<pre>AttributeKey: winlog.data.CbsPackageChangeState.xmlns, AttributeValue: http://manifests.microsoft.com/win/2004/08/windows/setup_provider
AttributeKey: winlog.data.CbsPackageChangeState.PackageIdentifier, AttributeValue: KB5058405
AttributeKey: winlog.data.CbsPackageChangeState.IntendedPackageState, AttributeValue: 5112</pre>

=== Бинарные данные и пустые поля данных ===
Исходные данные лога событий:<pre><EventData>
<Data>WinRT Intellisense PPI - en-us</Data>
<Data>10.1.19041.685</Data>
<Data>(NULL)</Data>
<Data />
<Binary>7B3135453239416462D434231392D413230422D394138312D4230373635413633313135467D303030306330613361653532343933363166643732376335306533653966623534363139633030303030393034</Binary>
<Data>Test</Data>
</EventData></pre>Разобранные атрибуты:<pre>AttributeKey: winlog.data.Data1, AttributeValue: WinRT Intellisense PPI - en-us
AttributeKey: winlog.data.Data2, AttributeValue: 10.1.19041.685
AttributeKey: winlog.data.Data3, AttributeValue: (NULL)
AttributeKey: winlog.data.Data5, AttributeValue: Test</pre>

Логи событий Windows - История изменений