Eseménynapló

Az Eseménynapló segítségével a felhasználók figyelemmel kísérhetik az Alkalmazásnaplóban, a Biztonsági naplóban és a Rendszernaplóban rögzített eseményeket.

  • A konkrét feladatokkal kapcsolatban a következő oldalon tájékozódhat: Útmutató.
  • Az általános tudnivalókat ismertető témaköröket a Fogalmak oldalról érheti el.
  • A problémák elhárításáról a Hibaelhárítás témakör tájékoztatja.


Útmutató

  • Eseménynaplók megjelenítése
  • Eseménynaplók kezelése
  • Eseménynaplók testreszabása
  • A biztonsági napló használata


Eseménynaplók megjelenítése

  • Eseménynapló frissítése
  • Esemény részleteinek megjelenítése
  • Másik eseménynapló-nézet hozzáadása
  • Bizonyos események keresése
  • Másik számítógép kijelölése


Eseménynapló tartalmának frissítése

  1. Nyissa meg az Eseménynapló segédprogramot.
  2. A konzolfán kattintson arra a naplóra, melyek tartalmát frissíteni szeretné.
  3. Kattintson a Művelet menü Frissítés elemére.

Megjegyzések

  • A biztonsági napló tartalmának frissítéséhez rendszergazdaként vagy a Rendszergazdák csoport tagjaként kell bejelentkezni.
  • Az Eseménynapló megnyitásához mutasson a Start menü Beállítások pontjára, majd kattintson a Vezérlőpult parancsra. Kattintson duplán a Felügyeleti eszközök, majd az Eseménynapló ikonra.
  • Az archivált naplóknál a Frissítés parancs nem áll rendelkezésre, mivel az archivált fájl frissítése nem lehetséges.
  • A napló megnyitásakor az Eseménynapló megjeleníti a napló legfrissebb információit. A napló megtekintése alatt az információ nem frissül, hacsak nem alkalmazza a frissítés parancsot. Másik naplóra váltáskor, majd az előzőre való visszaváltáskor az első napló automatikusan frissül.

Kapcsolódó témakörök


Esemény részletes adatainak megtekintése

  1. Nyissa meg az Eseménynapló segédprogramot.
  2. A konzolfán kattintson a kívánt naplóra.
  3. A részletek ablaktáblán kattintson a kívánt eseményre.
  4. Kattintson a Művelet menü Tulajdonságok parancsára.

Megjegyzések

  • Az Eseménynapló megnyitásához mutasson a Start menü Beállítások pontjára, majd kattintson a Vezérlőpult parancsra. Kattintson duplán a Felügyeleti eszközök, majd az Eseménynapló ikonra.
  • A bináris adatok karakterkénti megtekintéséhez kattintson az Adat mezőben a Bájt elemre. A bináris adatok kétszó szerinti megtekintéséhez kattintson a Szó választógombra.
  • Az előző vagy a következő esemény részletes adatainak megtekintéséhez kattintson a fel és le nyilakra. Az esemény részletes adatainak másolásához kattintson a Másolás gombra.
  • Nem minden eseményhez tartozik bináris adat. A bináris adatokat egy gyakorlott programozó vagy az alkalmazást ismerő technikai tanácsadó szakember tudja értelmezni.
  • Az eseményleírás bináris adatban történő megtartásához archiválja a naplót naplófájlformátumban (*.evt). A napló szöveges (*.txt) vagy vesszővel határolt szöveges (*.csv) formátumban való mentése során a bináris adatok elvesznek.

Kapcsolódó témakörök


Eseménynapló további nézetének hozzáadása

  1. Nyissa meg az Eseménynapló segédprogramot.
  2. A konzolfán kattintson arra a naplóra, melyről további nézetet kíván hozzáadni.
  3. Kattintson a Művelet menüben az Új naplónézet parancsra.
  4. A Művelet menüben kattintson az Átnevezés parancsra.
  5. Adja meg a konzolfán megjeleníteni kívánt nevet, majd nyomja meg az ENTER billentyűt.

Megjegyzések

  • Az Eseménynapló megnyitásához mutasson a Start menü Beállítások pontjára, majd kattintson a Vezérlőpult parancsra. Kattintson duplán a Felügyeleti eszközök, majd az Eseménynapló ikonra.
  • A konzolfához adott naplónézetek az alapértelmezett naplókhoz hasonló módon kezelhetők és testreszabhatók.

Kapcsolódó témakörök


Események keresése típus szerint

  1. Nyissa meg az Eseménynapló segédprogramot.
  2. A konzolfán kattintson a keresni kívánt naplóra.
  3. A Nézet menüben kattintson a Keresés parancsra.
  4. A Típusok területen kattintson a keresni kívánt eseménytípusokra.
  5. Az Eseményforrás, Kategória, Esemény azonosítója, Felhasználó, Számítógép vagy a Leírás mezőben adja meg a keresni kívánt eseménnyel vagy eseményekkel kapcsolatos további adatokat.
  6. Kattintson a Továbbkeresés gombra.

Megjegyzések

  • Az Eseménynapló megnyitásához mutasson a Start menü Beállítások pontjára, majd kattintson a Vezérlőpult parancsra. Kattintson duplán a Felügyeleti eszközök, majd az Eseménynapló ikonra.
  • A Leírás mezőben bármely olyan szöveg megadható, mely az eseményrekord leírásának egy részével megegyezik. Más mezőkkel kapcsolatos tudnivalókért kattintson a jobb oldali egérgombbal a mező nevére, majd kattintson a Mi ez? gombra.
  • A Továbbkeresés gombra kattintás előtt az alapértelmezett keresési feltételek visszaállításához kattintson a Törlés gombra.
  • Az aktuális munkamenet során a keresési paraméterek a Keresés párbeszédpanelen megmaradnak. Az alapértelmezett beállítások helyreállítódnak az Eseménynapló következő indításakor.
  • Ha néhány egyedi esemény helyett események csoportját keresi, a naplót szűrni is lehet. További tudnivalókért tanulmányozza a Kapcsolódó témaköröket.

Kapcsolódó témakörök


Másik számítógép kiválasztása

  1. Kattintson a Start menüre, a Futtatás parancsra, írja be az mmc parancsot, majd kattintson az OK gombra.
  2. A Konzol menüben kattintson a Beépülő modul hozzáadása/eltávolítása elemre.
  3. A Magában álló lapon kattintson a Hozzáadás gombra.
  4. Kattintson az Eseménynapló elemre, majd a Hozzáadás gombra.
  5. Kattintson a Másik számítógép választógombra, majd adja meg a számítógép elérési útját és nevét, például: \\tartománynév\számítógépnév.
  6. Kattintson a Befejezés, Bezárás, majd az OK gombra.

Megjegyzések

  • Amennyiben az 1-es lépés nem nyitja meg a Microsoft Management Console (MMC) ablakot, akkor elképzelhető, hogy az MMC segédprogram nem áll rendelkezésre a számítógépen. Ha az Microsoft Management Console (MMC) ablak megnyílik, de a Konzol menü vagy a Beépülő modul hozzáadása/eltávolítása parancs nem használható, akkor az MMC segédprogram felhasználói módban fut, és beépülő modul nem adható a rendszerhez, és nem távolítható el. További tudnivalókért forduljon a hálózati rendszergazdához, vagy tanulmányozza a Kapcsolódó témaköröket.
  • A másik számítógép lehet Windows 2000 Professional vagy Windows NT Workstation rendszereket használó munkaállomás, Windows 2000 Server, Windows NT Server vagy LAN Manager 2.x rendszereket futtató kiszolgáló vagy tartományvezérlő.
  • Ha az új számítógép kis sebességű kapcsolatot igényel, kattintson a jobb oldali egérgombbal a megtekinteni kívánt naplóra, majd kattintson a Tulajdonságok parancsra. Az Általános lapon jelölje be a Kis sebességű kapcsolat jelölőnégyzetet.

Kapcsolódó témakörök


Eseménynaplók kezelése

  • Eseménynapló ürítése
  • Eseménynapló archiválása
  • Archivált eseménynapló megnyitása
  • Megtelt eseménynapló felszabadítása


Eseménynapló törlése

  1. Nyissa meg az Eseménynapló segédprogramot.
  2. A konzolfán kattintson a törölni kívánt naplóra.
  3. A Művelet menüben kattintson az Összes esemény törlése parancsra.
  4. A napló mentéséhez kattintson az Igen gombra a napló törlése előtt.

    Kattintson a Nem gombra, ha a jelenleg rögzített eseményeket törölni akarja, és új események rögzítését kezdi.

Megjegyzések

  • Eseménynapló törléséhez rendszergazdaként vagy a Rendszergazdák csoport tagjaként kell bejelentkeznie.
  • Az Eseménynapló megnyitásához mutasson a Start menü Beállítások pontjára, majd kattintson a Vezérlőpult parancsra. Kattintson duplán a Felügyeleti eszközök, majd az Eseménynapló ikonra.
  • A napló törlése után abban csak az új események jelennek meg.
  • Ha egy aktív napló Tulajdonságok párbeszédpaneljén Az eseményeket a rendszer nem írja felül (napló törlése kézzel) beállítást jelöli ki, akkor a napló bizonyos méretének elérésekor, illetve a napló megteltét jelző üzenet megjelenésekor azt időnként törölnie kell.
  • Az archivált naplók nem törölhetők, ehelyett törölje az archivált naplófájlt.

Kapcsolódó témakörök


Eseménynapló archiválása

  1. Nyissa meg az Eseménynapló segédprogramot.
  2. A konzolfán kattintson az archiválni kívánt naplóra.
  3. Kattintson a Fájl menüben a Naplófájl mentése mint parancsra.
  4. A Fájlnév mezőben adja meg az archivált naplófájlnevet.
  5. A Fájl típusa legördülő listában válassza ki a fájl formátumát, majd kattintson a Mentés gombra.

Megjegyzések

  • Az Eseménynapló megnyitásához mutasson a Start menü Beállítások pontjára, majd kattintson a Vezérlőpult parancsra. Kattintson duplán a Felügyeleti eszközök, majd az Eseménynapló ikonra.
  • Ha naplófájl formátumú naplót archivál, azt újra megnyithatja az Eseménynaplóban. A eseménynaplófájlként mentett (*.evt) naplók megtartják az egyes rögzített események bináris adatait.
  • A napló szöveges (*.txt) vagy vesszővel határolt szöveges (*.csv) formátumban való archiválásakor, a napló más programok, például szövegszerkesztő vagy táblázatkezelő szoftverek felhasználásával megnyitható. A szöveges vagy vesszővel határolt szöveges formátumban mentett naplók nem tartják meg a bináris adatokat.
  • Naplófájl archiválásakor a rendszer – a szűrő beállításaitól függetlenül – az egész naplót menti.
  • Napló mentésekor a rendszer a rendezési sorrendet nem tartja meg.
  • Az aktív napló aktuális tartalmára nincs hatással az archiválás. A napló törléséhez kattintson a Művelet menü Összes esemény törlése parancsára.

Kapcsolódó témakörök


Archivált eseménynapló megnyitása

  1. Nyissa meg az Eseménynapló segédprogramot.
  2. Kattintson a Művelet menüben a Naplófájl megnyitása parancsra.
  3. Kattintson a megnyitni kívánt fájlra. Ehhez először általában meg kell keresni a dokumentumot tartalmazó meghajtót és mappát.
  4. A Napló típusa mezőben válassza ki a megnyitni kívánt napló típusát.
  5. A Megjelenítendő név mezőben adja meg a konzolfán megjeleníteni kívánt nevet, majd kattintson a Megnyitás gombra.

Megjegyzések

  • Az Eseménynapló megnyitásához mutasson a Start menü Beállítások pontjára, majd kattintson a Vezérlőpult parancsra. Kattintson duplán a Felügyeleti eszközök, majd az Eseménynapló ikonra.
  • Az Eseménynaplóban az archivált fájl csak akkor tekinthető meg, ha a napló lementése naplófájlformátumban történt (*.evt).
  • Ebben az esetben a Frissítés vagy az Összes esemény törlése parancs nem használható az archivált napló frissített megjelenítésére vagy annak törlésére.
  • A rendszerről az archivált naplófájl eltávolításához a Windows Intézőben törölje az adott fájlt.

Kapcsolódó témakörök


Megtelt eseménynapló újrakezdése

  1. Nyissa meg az Eseménynapló segédprogramot.
  2. A konzolfán kattintson az újrakezdeni kívánt naplóra.
  3. A Művelet menüben kattintson az Összes esemény törlése parancsra.

Megjegyzések

  • Az eseménynapló törléséhez rendszergazdaként vagy a Rendszergazdák csoport tagjaként kell bejelentkeznie.
  • Az Eseménynapló megnyitásához mutasson a Start menü Beállítások pontjára, majd kattintson a Vezérlőpult parancsra. Kattintson duplán a Felügyeleti eszközök, majd az Eseménynapló ikonra.
  • Ha a napló megtelt, a rendszer nem rögzíti az új eseményeket. A napló törlése egy lehetőség a napló ürítésére és az új események rögzítésének elkezdésére.
  • A napló ürítése és az új események rögzítésének elkezdése az események felülírásával is elvégezhető. Az események felülírásához kattintson a Művelet menü Tulajdonságok parancsára, majd kattintson az Események felülírása szükség szerint választógombra. Ezzel az összes új esemény a naplóba kerül, még akkor is, ha az megtelt.
  • Új események naplózását a maximális naplóméret megnövelésével is elkezdheti. A naplóméret megnöveléséhez kattintson a Művelet menü Tulajdonságok parancsára, majd növelje meg a Maximális naplófájlméret mezőben szereplő értéket.

Kapcsolódó témakörök


Eseménynaplók testreszabása

  • Eseménynapló rendezési sorrendjének meghatározása
  • Eseménynaplóban lévő események szűrése
  • Az eseménynaplózás beállításainak megadása
  • Eseménynapló alapértelmezett beállításainak visszaállítása
  • Eseménynapló méretének módosítása


Rendezési sorrend megadása az eseménynaplóban

  1. Nyissa meg az Eseménynapló segédprogramot.
  2. A konzolfán kattintson a rendezni kívánt naplóra.
  3. Kattintson arra az oszlopfejlécre, amely szerint a rendezést el kívánja végezni.

Megjegyzések

  • Az Eseménynapló megnyitásához mutasson a Start menü Beállítások pontjára, majd kattintson a Vezérlőpult parancsra. Kattintson duplán a Felügyeleti eszközök, majd az Eseménynapló ikonra.
  • A rendezési sorrend megfordításához kattintson még egyszer az oszlopfejlécre.
  • Az időrendi sorrendbe rendezéshez kattintson a Nézet menüben a Legújabb először vagy a Legrégebbi először parancsra. Az alapértelmezett beállítás a Legújabb először.
  • A napló archiválásakor a rendezési sorrend nem kerül mentésre.

Kapcsolódó témakörök


Eseménynapló eseményeinek szűrése

  1. Nyissa meg az Eseménynapló segédprogramot.
  2. A konzolfán kattintson a szűrni kívánt naplóra.
  3. A Nézet menüben kattintson a Szűrő parancsra.
  4. A Szűrő lapon adja meg a kívánt szűrési feltételeket.

Megjegyzések

  • Az Eseménynapló megnyitásához mutasson a Start menü Beállítások pontjára, majd kattintson a Vezérlőpult parancsra. Kattintson duplán a Felügyeleti eszközök, majd az Eseménynapló ikonra.
  • Az alapértelmezett feltételekhez való visszatéréshez kattintson a Törlés gombra.
  • Az események szűrésének kikapcsolásához kattintson a Nézet menü Minden bejegyzés elemére.

Kapcsolódó témakörök


Eseménynaplózás beállításainak megadása

  1. Nyissa meg az Eseménynapló segédprogramot.
  2. A konzolfán kattintson arra a naplóra, melynek beállításait meg kívánja adni.
  3. Kattintson a Művelet menü Tulajdonságok parancsára.
  4. Az Általános lapon adja meg a kívánt beállításokat.

Megjegyzések

  • A művelet végrehajtásához rendszergazdaként vagy a Rendszergazdák csoport tagjaként kell bejelentkezni.
  • Az Eseménynapló megnyitásához mutasson a Start menü Beállítások pontjára, majd kattintson a Vezérlőpult parancsra. Kattintson duplán a Felügyeleti eszközök, majd az Eseménynapló ikonra.
  • Az alapértelmezett beállítások visszaállításához kattintson az Alapértelmezések visszaállítása gombra.
  • A naplófájl törléséhez kattintson a Napló törlése gombra.
  • A Napló mérete területen válassza ki a következő beállítások egyikét:
    • Ha nem kívánja archiválni a naplót, kattintson az Események felülírása szükség szerint választógombra.
    • A napló előre meghatározott időközönkénti archiválásához kattintson Az ennél régebbi események felülírása választógombra, majd adja meg a napok számát. Ellenőrizze, hogy a Maximális naplófájlméret megfelelő nagyságú legyen az adott intervallum tárolására.
    • A naplóban lévő minden esemény megőrzéséhez kattintson Az eseményeket a rendszer nem írja felül (napló törlése kézzel) elemre. Ez a beállítás a napló kézzel történő törlését igényli. A maximális naplóméret elérésekor az új események törlődnek.

Kapcsolódó témakörök


Eseménynapló alapértelmezett beállításainak visszaállítása

  1. Nyissa meg az Eseménynapló segédprogramot.
  2. A konzolfán kattintson az alaphelyzetbe állítani kívánt naplóra.
  3. Kattintson a Művelet menü Tulajdonságok parancsára.
  4. Az Általános lapon kattintson az Eredeti gombra.

Megjegyzések

  • Az eseménynapló törléséhez rendszergazdaként vagy a Rendszergazdák csoport tagjaként kell bejelentkeznie.
  • Az Eseménynapló megnyitásához mutasson a Start menü Beállítások pontjára, majd kattintson a Vezérlőpult parancsra. Kattintson duplán a Felügyeleti eszközök, majd az Eseménynapló ikonra.

Kapcsolódó témakörök


Eseménynapló méretének csökkentése

  1. Nyissa meg az Eseménynapló segédprogramot.
  2. A konzolfán kattintson a módosítani kívánt naplóra.
  3. Kattintson a Művelet menü Tulajdonságok parancsára.
  4. Az Általános lapon a Maximális naplófájlméret mezőben adja meg kilobájtban az új naplóméretet.
  5. Az új beállítások érvénybe léptetéséhez kattintson a Napló törlése gombra.

    6. Ha meg szeretné tartani a naplóban jelenleg lévő adatokat, kattintson az Igen, majd az OK gombra, amikor a rendszer üzenetet jelenít meg az eredeti napló törlés előtti mentésével kapcsolatosan.

Megjegyzések

  • Az eseménynapló méretének megváltoztatásához rendszergazdaként vagy a Rendszergazdák csoport tagjaként kell bejelentkeznie.
  • Az Eseménynapló megnyitásához mutasson a Start menü Beállítások pontjára, majd kattintson a Vezérlőpult parancsra. Kattintson duplán a Felügyeleti eszközök, majd az Eseménynapló ikonra.

Kapcsolódó témakörök


A biztonsági napló használata

Erről az oldalról a következő témaköröket érheti el:

  • Biztonsági naplózás bekapcsolása
  • Tartományvezérlő biztonsági naplózásának bekapcsolása
  • Fájlok és mappák naplózásának beállítása
  • A naplózandó fájlok és mappák meghatározása
  • A számítógép leállítása abban az esetben, ha a biztonsági napló megtelt


Biztonsági naplózás bekapcsolása

  1. Kattintson a Start menü Futtatás parancsára, írja be az mmc /a parancsot, majd kattintson az OK gombra.
  2. Kattintson a Konzol menü Beépülő modul hozzáadása/eltávolítása parancsára, majd a Hozzáadás gombra.
  3. A Beépülő modul listában kattintson a Csoportházirend elemre, majd a Hozzáadás gombra.
  4. A Csoportházirend-objektum kiválasztása mezőben kattintson a Helyi számítógép elemre, a Befejezés, a Bezárás, végül az OK gombra.
  5. A Helyi számítógép házirend alatt kattintson a Naplórend elemre.

    Helye:

    • Helyi számítógép házirend
    • Számítógép konfigurációja
    • Windows beállításai
    • Biztonsági beállítások
    • Helyi házirend
    • Naplórend
  6. A részletek ablaktáblán kattintson duplán a szerkeszteni kívánt attribútumra vagy eseményre.
  7. Kattintson a Művelet menü Biztonság parancsára.
  8. A Helyi biztonsági házirend mezőben kattintson a kívánt beállításra, majd kattintson az OK gombra.
  9. Hajtsa végre a 6., 7. és 8. lépéseket a többi naplózni kívánt esemény esetében.

Megjegyzések

  • A biztonsági naplózás bekapcsolásához rendszergazdaként vagy a Rendszergazdák csoport tagjaként kell bejelentkezni. A Csoportházirendet csak a rendszergazdák használhatják.
  • Ha előzőleg már elmentett egy konzolt Csoportházirenddel együtt, akkor az elmentett konzolt betöltheti, és a műveletet az 5. lépéstől folytathatja.
  • Ha a számítógép-hálózathoz csatlakozik, akkor elképzelhető, hogy a biztonsági naplózást a hálózati házirend korlátozza vagy letiltja.
  • A rendszer biztonsági naplót méretben korlátozza, ezért gondosan válassza meg a naplózni kívánt eseményeket, és vegye figyelembe a naplózásra felhasználandó lemezterület nagyságát is. A naplómérettel kapcsolatos tudnivalókért tanulmányozza a Kapcsolódó témaköröket.
  • Ez az eljárás a Windows 2000 Professional operációs rendszert használó számítógépekre vonatkozik, valamint a Windows 2000 Server önálló vagy tagkiszolgálóként futó számítógépeire. Tartományvezérlő biztonsági naplózásának bekapcsolásával kapcsolatban tanulmányozza a Kapcsolódó témaköröket.
  • Ha egy távoli számítógépen a biztonsági naplózás be van kapcsolva, az Eseménynapló használatával megtekintheti a távoli számítógép eseménynaplóit. Nyissa meg az MMC konzolt szerzői módban, majd adja a konzolhoz az Eseménynaplót. Amikor a rendszer megkéri, hogy adja meg beépülő modullal kezelni kívánt számítógépet, kattintson a Másik számítógép választógombra, majd adja meg a távoli számítógép nevét.
  • A munkaállomások, tagkiszolgálók és tartományvezérlők biztonsági naplózását távolról csak a tartománygazdák engedélyezhetik. A művelet végrehajtásához hozzon létre egy Szervezeti Egységet (OU), adja hozzá a Szervezeti Egységhez a kívánt számítógépfióko(ka)t, majd az Active Directory - felhasználók és számítógépek funkció segítségével hozza létre a biztonsági naplózást engedélyező házirendet.

Kapcsolódó témakörök


Tartományvezérlő biztonsági naplózásának bekapcsolása

  1. Nyissa meg az Active Directory – felhasználók és számítógépek ablakot.
  2. Kattintson a konzolfa Tartományvezérlők elemére.

    Helye:

    • Active Directory – felhasználók és számítógépek
    • tartománynév
    • Tartományvezérlők
  3. Kattintson a Művelet menü Tulajdonságok parancsára.
  4. A Csoportházirend lapon kattintson a módosítani kívánt házirendre, majd a Módosítás gombra.
  5. A konzolfa Csoportházirend ablakában kattintson a Naplórend elemre.

    Helye:

    • Számítógép konfigurációja
    • Windows beállításai
    • Biztonsági beállítások
    • Helyi házirend
    • Naplórend
  6. A részleteket tartalmazó ablaktáblában kattintson a naplózni kívánt attribútumra vagy eseményre.
  7. Kattintson a Művelet menü Adatvédelem parancsára.
  8. A Biztonsági házirend beállításai párbeszédpanelen adja meg a kívánt beállításokat.
  9. A többi naplózni kívánt esemény esetében is hajtsa végre a 3. és 4. lépést.

Megjegyzések

  • Az Active Directory – felhasználók és számítógépek ablak megnyitásához mutasson a Start menü Programok pontjára, majd a Felügyeleti eszközök pontra, végül kattintson az Active Directory – felhasználók és számítógépek parancsra.
  • A biztonsági napló mérete korlátozott. Körültekintően jelölje ki a naplózandó eseményeket, és vegye figyelembe azt a lemezterületet, amelyet a biztonsági napló számára kíván biztosítani.
  • Ha a biztonsági naplózás engedélyezve van egy távoli számítógépen, akkor az Eseménynapló szolgáltatással távolról is megtekintheti az eseménynaplókat. Nyissa meg az MMC konzolt szerzői módban, és adja hozzá az Eseménynaplót a konzolhoz. Ha a program kéri a beépülő modul kezelését végző számítógép nevét, jelölje be a Másik számítógép választógombot, és írja be a távoli számítógép nevét.
  • A munkaállomások, tagkiszolgálók és tartományvezérlők biztonsági naplózását a tartományfelügyelők távolról is engedélyezhetik. Ehhez létre kell hozni egy szervezeti egységet, ahhoz hozzá kell adni a kívánt számítógép-fióko(ka)t, majd az Active Directory – felhasználók és számítógépek alkalmazásával létre kell hozni a biztonsági naplózást engedélyező házirendet.

Kapcsolódó témakörök


Fájlok és mappák naplózásának beállítása

  1. Kattintson a Start menü Futtatás parancsára, írja be az mmc /a parancsot, majd kattintson az OK gombra.
  2. Kattintson a Konzol menü Beépülő modul hozzáadása/eltávolítása parancsára, majd a Hozzáadás gombra.
  3. A Beépülő modul listában kattintson a Csoportházirend elemre, majd a Hozzáadás gombra.
  4. A Csoportházirend-objektum kiválasztása mezőben kattintson a Helyi számítógép elemre, a Befejezés, a Bezárás, végül az OK gombra.
  5. A Helyi házirend listában kattintson a Naplórend elemre.

    Helye:

    • Helyi házirend
    • Számítógép konfigurációja
    • Windows-beállítások
    • Biztonsági beállítások
    • Helyi házirend
    • Naplórend
  6. A részletek ablaktáblán kattintson a jobb oldali egérgombbal a Objektum-hozzáférés naplózása elemre, majd a Biztonság parancsra.
  7. A Helyi biztonsági házirend mezőben kattintson a kívánt beállításra, majd kattintson az OK gombra.

Megjegyzések

  • Fájlok és mappák naplózásának beállításához rendszergazdaként vagy a Rendszergazdák csoport tagjaként kell bejelentkeznie. A Csoportházirendet csak a rendszergazdák használhatják.
  • Ha előzőleg már lementett egy konzolt Csoportházirenddel, akkor a lementett konzolt betöltheti, és a műveletet az 5. lépéstől folytathatja.
  • Fájlok és mappák naplózásának engedélyezése után meg kell adnia a naplózni kívánt fájlokat és mappákat. További tudnivalókért tanulmányozza a Kapcsolódó témaköröket.

Kapcsolódó témakörök


Fájlok és mappák megadása naplózáshoz

  1. A Windows Intézőben kattintson a jobb oldali egérgombbal a naplózni kívánt a fájlra vagy mappára, majd a Tulajdonságok parancsra.
  2. A Biztonság lapon kattintson a Speciális gombra.
  3. A Naplózás lapon kattintson Hozzáadás gombra.
  4. A Felhasználó, Számítógép vagy Csoport kijelölése párbeszédpanelen kattintson arra a felhasználóra vagy csoportra, melynek műveleteit naplózni szeretné, majd kattintson az OK gombra.
  5. A Naplózási bejegyzés párbeszédpanelen, a Hozzáférés listában jelölje be a Sikeres vagy a Sikertelen jelölőnégyzetet (vagy mindkettőt), a naplózni kívánt műveletek mellett, majd kattintson az OK gombra.

Megjegyzések

  • A fájlok és mappák naplózásának megadásához rendszergazdaként vagy a Rendszergazdák csoport tagjaként kell bejelentkeznie. Ellenkező esetben a 2. lépésben a Biztonság lap nem jelenik meg, vagy csak olvasható formában jelenik meg.
  • A Biztonság lap csak az NTFS kötetű fájlok és mappák esetén áll rendelkezése.
  • Mielőtt fájlokat és mappákat adna meg naplózásra, a Csoportházirendet kell használnia a naplózás engedélyezéséhez. További tudnivalókért tanulmányozza a Kapcsolódó témaköröket.

Kapcsolódó témakörök


A számítógép leállítása a biztonsági napló megtelésekor

  1. Nyissa meg az Eseménynapló segédprogramot.
  2. A konzolfán kattintson a jobb oldali egérgombbal a Biztonsági napló elemre, majd kattintson a Tulajdonságok parancsra.
  3. Az Általános lapon kattintson a Régi események felülírása vagy Az eseményeket a rendszer nem írja felül (napló törlése kézzel) választógombra.
  4. Használja a Rendszerleíróadatbázis-szerkesztőt a következő rendszerleíró kulcs értékének létrehozására vagy hozzárendelésére:

    Kaptár: HKEY_LOCAL_MACHINE\SYSTEM
    Kulcs: \CurrentControlSet\Control\Lsa
    Név: CrashOnAuditFail
    Írjuk be az alábbi sort: REG_DWORD
    Érték: 1

  5. Indítsa újra a számítógépet.

Vigyázat!

  • A rendszerleíró adatbázis nem megfelelő szerkesztése súlyos kárt tehet a rendszerben. A rendszerleíró adatbázisban történő változtatások elvégzése előtt a számítógépen lévő minden fontos adatról készítsen biztonsági másolatot.

Fontos

  • Az eljárás végrehajtása után, ha a biztonsági napló megtelt, a Windows 2000 leáll és a következő üzenetet jeleníti meg: “Meghiúsult naplózás”. Ha a Windows 2000 leáll, a számítógép helyreállításához a biztonsági naplót törölni kell. További tudnivalókért tanulmányozza a Kapcsolódó témaköröket.

Megjegyzések

  • A művelet végrehajtásához rendszergazdaként vagy a Rendszergazdák csoport tagjaként kell bejelentkezni.
  • Az Eseménynapló megnyitásához mutasson a Start menü Beállítások pontjára, majd kattintson a Vezérlőpult parancsra. Kattintson duplán a Felügyeleti eszközök, majd az Eseménynapló ikonra.
  • Ha a biztonsági napló megtelt, emiatt a Windows 2000 leáll, a rendszert újra kell indítani, továbbá ezt az eljárást újból meg kell ismételni annak érdekében, hogy a számítógép a jövőben a biztonsági napló megtelésekor újból leálljon.
  • A Rendszerleíróadatbázis-szerkesztő elindításához kattintson a Start gombra, majd a Futtatás parancsra, gépelje be a regedit parancsot, majd kattintson az OK gombra. A Rendszerleíróadatbázis-szerkesztővel kapcsolatos további tudnivalókért a Rendszerleíróadatbázis-szerkesztő Súgó menüjében kattintson a Témakörök parancsra.

Kapcsolódó témakörök


Fogalmak

Erről az oldalról az Eseménynaplóval kapcsolatos általános tudnivalókat tartalmazó témaköröket érheti el.

  • Az Eseménynapló használata
  • Események értékelése
  • Naplófájlok megtekintése és archiválása
  • Biztonsági események figyelése


Eseménynapló – Áttekintés

Az Eseménynapló szolgáltatás által létrehozott eseménynaplókból információkat szerezhet a hardverrel, a szoftverrel és a rendszerrel kapcsolatos problémákról, és figyelemmel kísérheti a Windows 2000 biztonsági eseményeit.

A Windows 2000 az események rögzítésére három naplótípust használ.

Alkalmazásnapló

Az alkalmazásnapló az alkalmazások vagy programok által naplózott eseményeket tartalmazza. Előfordulhat például, hogy egy adatbázis-kezelő program fájlhibát rögzít az alkalmazásnaplóban. A programfejlesztő dönti el, hogy milyen események naplózására kerüljön sor.

Rendszernapló

A rendszernapló a Windows 2000 rendszerösszetevői által naplózott eseményeket tartalmazza. A rendszernaplóban kerül bejegyzésre például az, hogy az indítás során nem sikerül egy illesztőprogramot vagy más rendszerösszetevőt betölteni. A rendszerösszetevők által naplózott eseménytípusokat a Windows 2000 előre meghatározza.

Biztonsági napló

A biztonsági naplóban rögzíthetők a biztonsági események, például az érvényes vagy érvénytelen bejelentkezési kísérletek, valamint az erőforrások használatával kapcsolatos események, például a fájlok létrehozása, megnyitása vagy törlése. A biztonsági naplóban rögzítésre kerülő események körét a rendszergazda határozhatja meg. Ha engedélyezve van például a bejelentkezések naplózása, akkor a biztonsági naplóban szerepelni fog minden olyan kísérlet, amely a rendszerbe történő bejelentkezésre irányult.

Az Eseménynapló a következő eseménytípusokat jeleníti meg:

Hiba

Súlyos probléma, például adatvesztés vagy a működőképesség megszűnése. Hiba naplózására kerül sor például, ha az indítás során nem lehet betölteni egy szolgáltatást.

Figyelmeztetés

Olyan esemény, amely nem feltétlenül nagy jelentőségű, de jelezhet egy később felmerülő problémát. Figyelmeztetés naplózására kerül sor például, ha kevés hely van a lemezen.

Információ

Egy adott alkalmazás, illesztőprogram vagy szolgáltatás sikeres működését leíró esemény. Információ esemény naplózására akkor kerül sor például, ha a rendszer sikeresen betöltött egy hálózati illesztőprogramot.

Sikeres események naplózása

Sikerrel járt jelszavas belépési kísérletre vonatkozó naplóbejegyzés. Sikeres eseményként kerül naplózásra például, ha egy felhasználónak sikerül bejelentkeznie a rendszerbe.

Sikertelen események naplózása

Sikertelen jelszavas belépési kísérletre vonatkozó naplóbejegyzés. Sikertelen eseményként kerül naplózásra például, ha egy felhasználónak nem sikerül bejelentkeznie egy adott hálózati meghajtóra.

Az Eseménynapló szolgáltatás a Windows 2000 indításakor automatikusan elindul. Minden felhasználó figyelemmel kísérheti az alkalmazásnaplót és a rendszernaplót. A biztonsági naplóhoz csak a rendszergazdák férhetnek hozzá.

A biztonsági naplózás alapértelmezés szerint nincs bekapcsolva. A biztonsági naplózás engedélyezése a Csoportházirend alkalmazásával történhet. A rendszergazda olyan naplórendeket is létrehozhat a rendszerleíró adatbázisban, amelyek hatására a rendszer azonnal leáll, ha a biztonsági naplóban nincs több hely.

További információt a következő témakörökben talál:

  • Esemény részleteinek megjelenítése
  • Eseménynapló archiválása
  • Az eseménynaplózás beállításainak megadása
  • Az esemény leírása
  • Az események naplózásával kapcsolatos beállítások megadása


Az Eseménynapló használata

Az Eseménynapló és az eseménynaplók alkalmazásával információkat szerezhet a hardverrel, a szoftverrel és a rendszerrel kapcsolatos problémákról, és figyelemmel kísérheti a Windows 2000 biztonsági eseményeit.

A Windows 2000 az események rögzítésére három naplótípust használ.

Alkalmazásnapló

Az alkalmazásnapló a programok által naplózott eseményeket tartalmazza. Előfordulhat például, hogy egy adatbázis-kezelő program fájlhibát rögzít az alkalmazásnaplóban. A nyomon követni kívánt eseményeket a programfejlesztők határozzák meg.

Biztonsági napló

A biztonsági napló az érvényes és érvénytelen bejelentkezési kísérleteket, valamint az erőforrások használatával kapcsolatos eseményeket, például a fájlok létrehozását, megnyitását vagy törlését tartalmazza. Ha engedélyezve van például a bejelentkezések és kijelentkezések naplózása, akkor a biztonsági naplóban szerepelni fog minden bejelentkezési kísérlet.

Rendszernapló

A rendszernapló a Windows 2000 rendszerösszetevői által naplózott eseményeket tartalmazza. A rendszernaplóban kerül bejegyzésre, ha például az indítás során nem sikerül egy illesztőprogramot vagy más rendszerösszetevőt betölteni. A rendszerösszetevők által naplózott eseménytípusokat a Windows 2000 előre meghatározza.

Megjegyzések

  • Az Eseménynapló szolgáltatás a Windows 2000 indításakor automatikusan elindul.
  • Az alkalmazás- és rendszernaplókat minden felhasználó megtekintheti. A biztonsági naplók csak a rendszergazdák számára hozzáférhetők.
  • A biztonsági naplózás alapértelmezés szerint nincs bekapcsolva. A biztonsági naplózást a Csoportházirend ablakban a Naplórend megfelelő beállításával engedélyezheti. A rendszergazda olyan naplórendeket is létrehozhat a rendszerleíró adatbázisban, amelyek hatására a rendszer azonnal leáll, ha a biztonsági naplóban nincs több hely.

További információt a következő témakörökben talál:

  • Esemény részleteinek megjelenítése
  • Eseménynapló archiválása
  • Az eseménynaplózás beállításainak megadása
  • Az esemény leírása
  • Az események naplózásával kapcsolatos beállítások megadása


Események értékelése

Erről az oldalról a következő témaköröket érheti el:

  • Az esemény fejléce
  • Az esemény leírása


Az esemény fejléce

Az esemény fejléce a következő információkat tartalmazza:

Információ | Jelentése
Dátum | Az esemény előfordulásának dátuma.
Idő | Az esemény előfordulásának időpontja (helyi idő szerint).
Felhasználó | Annak a felhasználónak a neve, akinek rendszerben tartózkodása közben az esemény bekövetkezett. Ha az eseményt kiszolgálófolyamat okozta, akkor ez a név az ügyfél-azonosító, illetve ha megszemélyesítésre nem kerül sor, akkor az elsődleges azonosító. Ha lehetséges, a biztonsági napló bejegyzése tartalmazza az elsődleges és a megszemélyesítési azonosítót is. (Megszemélyesítésre akkor kerül sor, ha a Windows 2000 engedélyezi, hogy az egyik folyamat felvegye egy másik folyamat attribútumait.)
Számítógép | Annak a számítógépnek a neve, amelyen az esemény előfordult. A számítógépnév rendszerint az Ön saját neve, hacsak az eseménynapló megtekintésére nem egy másik Windows 2000 rendszeren kerül sor.
Eseményazonosító | Az adott eseménytípus azonosítására szolgáló szám. A leírás első sora rendszerint tartalmazza az eseménytípus nevét. 6005 az azonosítója például annak az eseménynek, amely az eseménynapló szolgáltatás elindítását jelenti. Egy ilyen esemény leírásának első sora a következőt tartalmazza: „The Event log service was started.” (Az Eseménynapló szolgáltatás elindult.) A terméktámogatást biztosító szakemberek az eseményazonosító és a forrásadatok segítségével tudják a rendszerproblémákat elhárítani.
Forrás | Az eseményt naplózó szoftver megnevezése. Az információ lehet egy program neve (például „SQL Server”) vagy a rendszer, illetve egy nagyobb program valamelyik komponensének, például egy illesztőprogramnak a neve. Az „Elnkii” karakterlánc például egy EtherLink II illesztőprogramot jelöl.
Típus | Az események súlyosságának osztályozására szolgáló jelölések, amelyek a következők lehetnek: Hiba, Információ vagy Figyelmeztetés rendszer- és alkalmazásnaplókban, illetve Sikeres események naplózása vagy Sikertelen események naplózása a biztonsági naplóban. Az Eseménynapló normál listanézetében ezeket az információkat szimbólumok jelzik.
Kategória | Az esemény forrása által definiált eseményosztályozás. Ez az információ elsősorban a biztonsági naplóban fordul elő. A biztonsági naplózások esetén például ez adja meg azon eseménytípusok egyikét, amelyek esetében a sikeres vagy sikertelen események naplózása engedélyezve van a Csoportházirendben.

További információt a következő témakörökben talál:

  • Esemény részleteinek megjelenítése
  • Eseménynapló archiválása
  • Az eseménynaplózás beállításainak megadása
  • Az esemény leírása
  • Az események naplózásával kapcsolatos beállítások megadása


Az esemény leírása

Az esemény leírásának formátuma és tartalma az esemény típusától függően változik. Gyakran a leírás jelenti a leghasznosabb információelemet, mivel ebből megállapítható a lezajlott esemény, illetve az esemény jelentősége.

Az eseménynaplókban öt eseménytípus kerül rögzítésre:

Eseménytípus | Leírás
Hiba | Súlyos probléma, például adatvesztés vagy a működőképesség megszűnése. Hiba naplózására kerül sor például, ha az indítás során nem lehet betölteni egy szolgáltatást.
Figyelmeztetés | Olyan esemény, amely nem feltétlenül nagy jelentőségű, de jelezhet egy később felmerülő problémát. Figyelmeztetés naplózására kerül sor például, ha kevés hely van a lemezen.
Információ | Egy adott alkalmazás, illesztőprogram vagy szolgáltatás sikeres működését leíró esemény. Információ esemény naplózására kerül sor például egy hálózati illesztőprogram sikeres betöltése esetén.
Sikeres események naplózása | Sikerrel járt jelszavas belépési kísérletre vonatkozó naplóbejegyzés. Sikeres eseményként kerül naplózásra például, ha egy felhasználónak sikerül bejelentkeznie a rendszerbe.
Sikertelen események naplózása | Sikertelen jelszavas belépési kísérletre vonatkozó naplóbejegyzés. Sikertelen eseményként kerül naplózásra például, ha egy felhasználónak nem sikerül bejelentkeznie egy adott hálózati meghajtóra.

Megjegyzések

  • A választható adatmezőt használva az adatmező olyan bináris adatokat tartalmaz, amelyek bájtok vagy szavak alakjában jeleníthetők meg. Ezt az információt az a program hozza létre, amely az eseménybejegyzés forrása volt. Az adatok hexadecimális formátumban jelennek meg. Ez azt jelenti, hogy az adatok értékelését a forrásprogramot jól ismerő szakember tudja elvégezni.
  • Ha egy alkalmazás- vagy rendszernapló megtekintése LAN Manager 2.x kiszolgálón történik, akkor csak a dátumra, az időpontra, a forrásra és az eseményazonosítóra vonatkozó adatok láthatók. Ha egy adott biztonsági naplót LAN Manager 2.x kiszolgálón tekint meg, akkor a rendszer csak a dátumra, az időpontra, a kategóriára, a felhasználóra és a számítógépre vonatkozó adatokat jeleníti meg.

További információt a következő témakörökben talál:

  • Esemény részleteinek megjelenítése
  • Eseménynapló archiválása
  • Az eseménynaplózás beállításainak megadása
  • Az esemény fejléce
  • Az események naplózásával kapcsolatos beállítások megadása


Naplófájlok megtekintése és archiválása

Erről az oldalról a következő témaköröket érheti el:

  • Meghatározott naplózott események keresése
  • Az események naplózásával kapcsolatos beállítások megadása
  • Napló archiválása


Meghatározott naplózott események keresése

Miután az Eseménynaplóban kijelölt egy naplót, a következő műveleteket hajthatja végre.

Események keresése

A keresési műveletek nagy méretű naplók megtekintése esetén lehetnek hasznosak. Keresni lehet például egy adott alkalmazás összes figyelmeztetési eseményét, vagy az összes forrásból származó valamennyi hibaeseményt. Egy meghatározott típushoz, forráshoz vagy kategóriához tartozó események kereséséhez Kattintson a Nézet menü Keresés parancsára.

A Keresés párbeszédpanelen elérhető beállítások ismertetését a szűrőbeállításokkal kapcsolatos alábbi táblázat ismerteti.

Események szűrése

Az Eseménynapló a kijelölt naplóban található valamennyi eseményt megjeleníti. Ha bizonyos feltételeknek megfelelő események csoportját szeretné megtalálni, kattintson a Nézet menü Szűrő parancsára, majd a Szűrő lapon adja meg a megfelelő feltételeket.

A szűrés nincs hatással a napló tényleges tartalmára, csak a nézetet módosítja. Az események naplózása folyamatosan történik, akár aktív a szűrő, akár nem. Ha egy szűrt nézetből származó naplót kíván archiválni, az összes rekord mentésre kerül még akkor is, ha szöveges formátumú vagy vesszővel elválasztott szöveges formátumú fájlt választott.

A következő táblázat a Rendszernapló tulajdonságai párbeszédpanelen megadható beállításokat ismerteti.

Beállítás | Szűrés eredménye
Ettől | A megadott dátum és időpont utáni események. Alapértelmezés szerint ez az eseménynapló legkorábbi eseményének dátuma.
Eddig | Események, amelyek legkésőbb a megadott dátumkor és időpontban következtek be. Alapértelmezés szerint ez az eseménynapló legkésőbbi eseményének dátuma.
Információ1 | A főbb szolgáltatások sikeres műveleteit leíró nem gyakori, de jelentős események. Információ eseményként kerül naplózásra, ha például egy adatbázisprogram betöltése sikerül.
Figyelmeztetés1 | Nem feltétlenül lényeges események, amelyek azonban későbbi problémák bekövetkezésére figyelmeztethetnek. Figyelmeztetésként kerülhet naplózásra például, ha kevés a merevlemez szabad területe.
Hiba1 | Súlyos problémák, például adatvesztés vagy a működőképesség megszűnése. Hibaként kerülhet naplózásra például, ha egy szolgáltatás betöltése nem történt meg a Windows 2000 indításakor.
Sikeres események naplózása1 | A naplózott sikeres biztonságos hozzáférési kísérletek. Sikeres eseményként kerülhet naplózásra például, ha egy felhasználónak sikerül bejelentkeznie a rendszerbe.
Sikertelen események naplózása1 | A naplózott sikertelen biztonságos hozzáférési kísérletek. Sikertelen eseményként kerülhet naplózásra például, ha egy felhasználónak nem sikerült bejelentkeznie egy hálózati meghajtóra.
Forrás2 | A naplózásra kerülő esemény forrása, amely lehet egy alkalmazás, egy rendszerkomponens vagy egy illesztőprogram.
Kategória3 | A forrás által definiált eseményosztályozás. A biztonsági események kategóriái például a Bejelentkezés és a Kijelentkezés, a Biztonsági házirend módosítása, a Használati jog, a Rendszeresemény, az Objektumhozzáférés, a Részletes nyomon követés és a Fiókkezelés.
Felhasználó3 | A tényleges felhasználói névhez tartozó felhasználó. A mező nem tesz különbséget kis- és nagybetűk között.
Számítógép3 | A tényleges számítógépnévhez tartozó számítógép. A mező nem tesz különbséget kis- és nagybetűk között.
Eseményazonosító2 | Egy tényleges eseményhez tartozó számérték.

1 Ez a lehetőség nem használható a LAN Manager 2.x kiszolgálók esetében.

2 Ez a lehetőség nem használható a LAN Manager 2.x kiszolgálók naplói esetében.

3 Ez a lehetőség nem használható a LAN Manager 2.x kiszolgálók naplói esetében.

Események rendezése

Az Eseménynapló az eseményeket alapértelmezés szerint az előfordulás dátuma és időpontja szerint, időrendben visszafelé haladva rendezi. Rendezési sorrend meghatározásához kattintson a Nézet menü Legújabb először vagy Legrégebbi először parancsára.

Az alapértelmezett rendezési sorrend a Legújabb először. A naplóval együtt a rendezési sorrend is mentésre kerül.

Események részleteinek megjelenítése

Sok eseményhez további információk is megjeleníthetők, ha duplán az eseményre kattint.

Az Esemény tulajdonságai párbeszédpanel a kijelölt esemény szöveges leírását és a rendelkezésre álló bináris adatokat jeleníti meg. A hexadecimális alakban megjelenő bináris adatokat az a program hozza létre, amely az eseményrekord forrása. Értelmezésüket a forrásprogramot jól ismerő szakember képes elvégezni. Nem minden esemény generál bináris adatokat.

A naplózandó biztonsági események típusainak meghatározásához a Csoportházirend ablakban egymás után nyissa ki a Számítógép konfigurációja, a Windows beállításai, a Biztonsági beállítások, a Helyi házirend, majd a Naplórend mappákat. A fájlok és mappák naplózásának szabályozásához jelenítse meg az adott fájl vagy mappa Tulajdonságok lapját.

További információt a következő témakörökben talál:

  • Esemény részleteinek megjelenítése
  • Eseménynapló archiválása
  • Az eseménynaplózás beállításainak megadása
  • Az esemény leírása
  • Az események naplózásával kapcsolatos beállítások megadása


Az események naplózásával kapcsolatos beállítások megadása

Az alkalmazások és a rendszer naplózása automatikusan megkezdődik a számítógép elindításakor. A naplózás akkor marad abba, ha egy eseménynapló megtelik és nem tudja felülírni a tartalmat, ha kézi törlésre van beállítva, vagy azért, mert a napló első eseménye még nem elég régi. A biztonsági naplózás beállítása a Csoportházirend alkalmazásával történhet.

Az egyes naplótípusok naplózási paramétereinek definiálásához kattintson a jobb gombbal az Eseménynapló konzolfában a kívánt naplótípusra, majd a Tulajdonságok parancsra. Az Általános lapon beállíthatja a napló maximális méretét és azt, hogy az események felülíródjanak, illetve egy bizonyos ideig tárolva legyenek.

A naplórendben alapértelmezés szerint a legalább 7 napos eseményeket tartalmazó naplók szükség szerinti felülírása van beállítva. Ez a házirend a különböző naplók esetében egyedileg állítható be.

A Napló mérete csoportban a következő beállítások adhatók meg:

Beállítás | Cél:
Események felülírása szükség szerint | Az új események naplózása akkor is folytatódik, ha a napló megtelt. Az új esemény a napló legrégebbi eseményének helyére kerül. Ezt a beállítást kis teljesítményű rendszerek esetén érdemes választani.
Régi események felülírása [x] nap után | Csak azokat az eseményeket írja felül, amelyek régebbiek a megadott napok számánál. Az alapértelmezett érték 7 nap. Ezt a beállítást akkor érdemes választani, ha a naplófájlokat hetente kívánja archiválni. Ez a stratégia minimálisra csökkenti a fontos naplóbejegyzések elvesztésének lehetőségét, és a naplók méretét is ésszerű keretek között tartja.
Ne írja felül az eseményeket | A naplók törlése nem automatikusan, hanem kézzel történik. Ezt a lehetőséget csak akkor válassza, ha valamely esemény hiánya problémákat okozhat (például egy olyan helyszín biztonsági naplója esetében, ahol rendkívül lényeges szempont a biztonság).

Megjegyzések

  • Ha egy napló megtelik és több esemény már nem naplózható, akkor a napló törléssel tehető szabaddá. A napló felszabadításának másik módja, ha csökkenti az esemény megtartásának idejét, így lehetővé válik, hogy a következő bejegyzés felülírja azt.
  • Kezdetben minden naplófájl 512 KB méretű. A maximális naplóméret a merevlemez és a memória kapacitásáig növelhető, de a maximális naplóméretet csökkenteni is lehet. A napló méretének csökkentése előtt törölni kell annak tartalmát.


Napló archiválása

Archiváláskor az eseménynapló a következő három fájlformátum egyikében menthető:

  • Naplófájl formátum (*.evt), amely lehetővé teszi az archivált napló ismételt megtekintését az Eseménynapló szolgáltatásban.
  • Szövegfájl formátum (*.txt), amely az adatok valamilyen programban, például szövegszerkesztő programban történő használatát teszi lehetővé.
  • Határoló jelként vesszőt tartalmazó szövegfájl formátum (*.csv), amely lehetővé teszi az információ más programban, például táblázatkezelő vagy egy adatállományos adatbázisban történő használatát.

Az eseményleírás minden archivált naplóban megtalálható. Az egyes eseményrekordokon belül az adatsor rögzítési sorrendje a következő:

Sorszám | Adattípus
1. | Dátum
2. | Idő
3. | Forrás
4. | Típus
5. | Kategória
6. | Esemény
7. | Felhasználó
8. | Számítógép
9. | Leírás

Megjegyzések

  • A bináris adatok csak akkor kerülnek mentésre, ha a napló archiválása naplófájl formátumban történik, a másik két formátumban történő archiváláskor azonban nem.
  • Az archiválás nincs hatással az aktív napló pillanatnyi tartalmára. Ha törölni kívánja az eredeti naplót, kattintson a Művelet menü Az összes esemény törlése parancsára.
  • Az archivált naplófájlok eltávolítása ugyanúgy történik, mint bármely más fájl eltávolítása.

További információt a következő témakörökben talál:

  • Esemény részleteinek megjelenítése
  • Az eseménynaplózás beállításainak megadása
  • Az esemény leírása
  • Az események naplózásával kapcsolatos beállítások megadása


Biztonsági események figyelése

  • A Windows 2000 biztonsági eseményeinek figyelése
  • A naplórend kezelése
  • Fájlokhoz és mappákhoz való hozzáférés naplózása
  • A számítógép leállítása abban az esetben, ha a biztonsági napló megtelt


A Windows 2000 biztonsági eseményeinek figyelése

A Csoportházirendben engedélyezett naplózás révén nyomon követhetők a Windows 2000 biztonsági eseményei. Beállítható a rendszer úgy, hogy naplóbejegyzés kerüljön a biztonsági naplóba minden olyan esetben, ha bizonyos műveletekre vagy bizonyos fájlok elérésére kerül sor. A naplóbejegyzésből megállapítható a végrehajtott művelet, a végrehajtást eszközlő felhasználó, valamint a művelet dátuma és időpontja. A sikeres és sikertelen hozzáférési kísérletek egyaránt naplózhatók, így a naplóból kiderül, hogy ki próbált belépni a hálózatba, és ki próbálkozott számára meg nem engedett műveletek végrehajtásával.

Az események naplózása nem alapértelmezett beállítás. Ha rendelkezik rendszergazdai engedélyekkel, akkor a naplózásra kerülő rendszeresemények típusainak meghatározásához a Csoportházirend ablakban egyenként nyissa ki a Számítógép konfigurációja, a Windows beállításai, a Biztonsági beállítások, a Helyi házirend, majd a Naplórend mappákat.

A fájlok és objektumok elérésével kapcsolatban meghatározhatja, hogy mely fájlok és nyomtatók, milyen fájl- és objektum-hozzáférési típusok, valamint mely felhasználók és csoportok figyelésére kerüljön sor. Ha például az Objektumhozzáférés naplózása lehetőség engedélyezve van, akkor egy fájl vagy mappa Windows Intézőn keresztül elérhető Tulajdonságok párbeszédpaneljének Biztonság lapján meghatározhatja, hogy az adott fájl esetében milyen eseménytípusok kerüljenek naplózásra.

Megjegyzés

  • A fájl- és mappahozzáférések naplózása csak NTFS-meghajtókon lehetséges.

További információt a következő témakörben talál:

  • Fájl vagy mappa naplózásának beállítása, megjelenítése, módosítása vagy megszüntetése


A naplórend kezelése

A Windows 2000 operációs rendszer különböző eseménytípusok rögzítésére képes, beleértve a rendszerszintű eseményeket (például egy felhasználó bejelentkezési kísérletét) éppúgy, mint egy bizonyos felhasználó egy bizonyos fájl elolvasására tett kísérletét. A sikeres és sikertelen végrehajtási kísérletek egyaránt rögzíthetők a naplóban.

A naplórend segítségével határozhatók meg a naplózásra kerülő biztonsági események típusai. Ilyen esemény bekövetkezésekor bejegyzés adódik hozzá a számítógép biztonsági naplójához. A biztonsági napló az Eseménynapló segítségével jeleníthető meg.

Mivel a biztonsági napló mérete korlátozott, körültekintően jelölje ki a naplózandó eseményeket, és vegye figyelembe azt a lemezterületet, amelyet a biztonsági napló számára kíván biztosítani. A biztonsági napló méretét az Eseménynaplóban lehet megadni.

További információt a következő témakörökben talál:

  • Esemény részleteinek megjelenítése
  • Eseménynapló archiválása
  • Az eseménynaplózás beállításainak megadása
  • Az esemény leírása
  • Az események naplózásával kapcsolatos beállítások megadása


Fájlokhoz és mappákhoz való hozzáférés naplózása

Lehetőség van az NTFS-köteteken található fájlokhoz és mappákhoz való hozzáférés naplózására, amelyből megállapítható, hogy ki milyen típusú műveleteket végzett azokkal.

Ha az adott fájl vagy mappa elérésére bármilyen módon kísérlet történik (és a fájl vagy mappa eseményeinek naplózása engedélyezve van), akkor minden alkalommal bejegyzés kerül az Eseménynapló biztonsági naplójába. Lehetőség van annak meghatározására, hogy mely fájlok és mappák, mely személyek által végrehajtott műveletek, illetve milyen típusú műveletek legyenek naplózva.

Egy fájl vagy mappa naplózásának engedélyezése a Csoportházirendben hajtható végre, majd a Windows Intézőben meg kell határozni a naplózandó fájlokat, valamint a fájlhozzáférési események naplózandó típusait.

A sikeres és sikertelen könyvtár- és fájlhozzáférési kísérletek közül a következők naplózhatók:

Könyvtárhozzáférési típusok | Fájlhozzáférési típusok
Fájlnevek megjelenítése a könyvtárban | A fájl adatainak megjelenítése
A könyvtár attribútumainak megjelenítése | A fájl attribútumainak megjelenítése
Könyvtár attribútumainak megváltoztatása | A fájl tulajdonosának és engedélyeinek megjelenítése
Alkönyvtárak és fájlok létrehozása | A fájl módosítása
Belépés a könyvtár alkönyvtáraiba | A fájl attribútumainak megváltoztatása
A könyvtár tulajdonosának és engedélyeinek megjelenítése | A fájl futtatása
A könyvtár törlése | A fájl törlése
A könyvtár engedélyeinek megváltoztatása | A fájl engedélyeinek megváltoztatása
A könyvtár tulajdonjogának megváltoztatása | A fájl tulajdonjogának megváltoztatása

Megjegyzés

  • A fájlok és mappák vizsgálatához a Rendszergazda csoport tagjaként kell bejelentkezni.

További információt a következő témakörökben talál:

  • Esemény részleteinek megjelenítése
  • Eseménynapló archiválása
  • Az eseménynaplózás beállításainak megadása
  • Az esemény leírása
  • Az események naplózásával kapcsolatos beállítások megadása


A számítógép leállítása abban az esetben, ha a biztonsági napló megtelt

Ha azt szeretné, hogy minden naplózható eseményről bejegyzés kerüljön a naplóba, le kell állítani a számítógépet abban az esetben, ha a biztonsági naplóban nincs több hely. Ehhez a biztonsági napló tulajdonságlapján jelölje be a Régi események felülírása n nap után vagy a Ne írja felül az eseményeket (naplózás törlése kézzel) beállítást. Ezután a Rendszerleíróadatbázis-szerkesztő segítségével hozza létre vagy társítsa a következő rendszerleíró-kulcs értéket:

Kaptár: | HKEY_LOCAL_MACHINE\SYSTEM
Kulcs: | \CurrentControlSet\Control\Lsa
Név: | CrashOnAuditFail
Írja be az alábbi sort: | REG_DWORD
Érték: | 1

A változtatások a számítógép újraindításakor lépnek életbe.

Megjegyzések

  • Ha a Windows 2000 azért áll le, mert a biztonsági naplóban nincs több hely, a rendszert újra kell indítani és úgy kell konfigurálni, hogy megakadályozza a naplózható események előfordulását mindaddig, amíg a napló nem használható.
  • A rendszer újraindítása után a biztonsági napló törléséig csak a rendszergazdák jelentkezhetnek be.
  • A biztonsági másolat készítése közben a rendszerleíró adatbázisban bekövetkező változások rögzítéséhez biztosítani kell, hogy a Rendszer állapota adatok szerepeljenek a biztonságimásolat-készletben.

További információt a következő témakörökben talál:

  • Esemény részleteinek megjelenítése
  • Eseménynapló archiválása
  • Az eseménynaplózás beállításainak megadása
  • Az esemény leírása
  • Az események naplózásával kapcsolatos beállítások megadása


Hibaelhárítás

Erről az oldalról az Eseménynaplóval kapcsolatos hibák elhárítását bemutató témaköröket érheti el.

  • Helyreállítás a Windows 2000 leállása esetén
  • Hibaelhárítás az eseménynaplók használatával


A számítógép helyreállítása a Windows 2000 leállása után

  1. Indítsa újra a számítógépet, és jelentkezzen be egy Rendszergazdák csoportba tartozó felhasználói fiók használatával.
  2. Nyissa meg az Eseménynapló segédprogramot, archiválja az éppen naplózás alatt álló biztonsági eseményeket (ha úgy gondolja), majd töröljön minden eseményt a biztonsági naplóból.
  3. Nyissa meg a Rendszerleíróadatbázis-szerkesztőt és keresse meg a következő kulcsot:

    4. HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa

  4. Törölje és cserélje ki a CrashOnAuditFail értékét a REG_DWORD adattípust és az 1 értéket használva.
  5. Lépjen ki a Rendszerleíróadatbázis-szerkesztőből és indítsa újra a számítógépet.

Vigyázat!

  • A rendszerleíró adatbázis nem megfelelő szerkesztése súlyos kárt tehet a rendszerben. A rendszerleíró adatbázisban történő változtatások elvégzése előtt a számítógépen lévő minden fontos adatról készítsen biztonsági másolatot.

Megjegyzések

  • Ha a rendszerleíró adatbázis a CrashOnAuditFail = 1 felhasználásával korábban már konfigurálva volt, és a biztonsági napló megtelik, a Windows 2000 leáll, és a következő üzenetet jeleníti meg: „Meghiúsult naplózás”. Ha ez bekövetkezik, hajtsa végre a fenti eljárást.
  • A Rendszerleíróadatbázis-szerkesztő elindításához kattintson a Start gombra, majd a Futtatás parancsra, gépelje be a regedit parancsot, majd kattintson az OK gombra. A Rendszerleíróadatbázis-szerkesztővel kapcsolatos további tudnivalókért a Rendszerleíróadatbázis-szerkesztő Súgó menüjében kattintson a Témakörök parancsra.
  • A rendszerleíró adatbázis változtatásainak biztonsági másolatokban történő rögzítéséhez ne feledje a biztonságimásolat-készlethez a rendszer állapotát hozzáadni.

Kapcsolódó témakörök


Hibaelhárítás az eseménynapló segítségével

Az eseménynapló gondos figyelemmel kísérése segíthet a rendszerrel kapcsolatos problémák előrejelzésében és azonosításában. Ha például az eseménynapló arra figyelmeztet, hogy a lemez illesztőprogramja csak többszöri próbálkozás után képes egy szektort olvasni vagy írni, akkor az a szektor valószínűleg meg fog hibásodni. Az eseménynapló a szoftverekkel kapcsolatos problémákat is feljegyzi. Ha egy program összeomlik, a program eseménynaplója az eseményt megelőző tevékenységeket is meg tudja jeleníteni.

Az alábbi javaslatok segíthetnek a problémák felderítésében az eseménynapló használatával:

Archiválja a naplókat naplóformátumban

Az eseménnyel kapcsolatos bináris adat akkor kerül mentésre, ha a naplót naplóformátumban archiválja (*.evt), szöveges (*.txt) vagy vesszővel tagolt szöveges (*.csv) formátumban azonban elveszik. A bináris adatok segíthetnek a fejlesztőnek vagy a technikai tanácsadó szakembernek a probléma forrásának azonosításában.

Jegyezze meg az eseményazonosítókat

Ezek a számok a szöveges leírás mellett találhatók az üzenetfájlban. Ezen számokat a terméktámogató szolgálat képviselői használhatják fel a rendszerben végbement események felderítésére.

Hardverproblémák

Ha feltételezi, hogy a rendszerrel kapcsolatos problémák forrása egy hardverösszetevő, akkor végezze el a rendszernapló szűrését oly módon, hogy csak az adott összetevő által létrehozott események jelenjenek meg.

Rendszerproblémák

Amennyiben egy adott esemény rendszerproblémával kapcsolatosnak látszik, próbálja meg az eseménynaplót oly módon szűrni, hogy ugyanannak az eseménynek másik előfordulását is megjelenítse, így meghatározható a hiba gyakorisága.

Kapcsolódó témakörök


Eseménynaplók megjelenítése

  • Eseménynapló frissítése
  • Esemény részleteinek megjelenítése
  • Bizonyos események keresése
  • Másik eseménynapló-nézet hozzáadása
  • Másik számítógép kijelölése


A biztonsági napló használata

  • Biztonsági naplózás bekapcsolása
  • Tartományvezérlő biztonsági naplózásának bekapcsolása
  • Fájlok és mappák naplózásának beállítása
  • A naplózandó fájlok és mappák meghatározása
  • A számítógép leállítása abban az esetben, ha a biztonsági napló megtelt


Az Eseménynapló ismertetése

Erről az oldalról a következő témakört érheti el:
  • Eseménynapló – Áttekintés