Хабарласу →
01 WINDOWS SECURITY LOG

Security журналы қанша уақыттық тарихты сақтайды?

Windows Security журналының нақты тереңдігін есептеп, ескі оқиғалардың қанша күннен кейін қайта жазылуы мүмкін екенін бағалаңыз.

Тарих тереңдігін есептеу → Тарих неге жоғалады
SECURITY EVENT LOG POWERSHELL FORENSICS
SECURITY EVENT LOG SIZE / EVENTS / HISTORY
01 Оқиғалар Жүйе жазады
02 Журнал Біртіндеп толады
03 Шек Максимумға жетеді
04 Қайта жазу Ескі оқиғалар жоғалады

Журнал көлемі — тарих тереңдігі емес.

Журнал Security Windows Server жүйесіндегі Security журналы жүйеге кіру оқиғаларын, есептік жазбалардың өзгерістерін, қол жеткізу құқықтарымен жасалған әрекеттерді және басқа қауіпсіздік оқиғаларын сақтайды.

Бірақ журналға белгіленген көлемнің өзі әкімшіге тарихтың нақты қанша күн қолжетімді болатынын көрсетпейді.

Бір серверде 2 ГБ журнал бірнеше айлық оқиғаларды сақтауы мүмкін, ал басқа серверде бірнеше күнде толық қайта жазылуы мүмкін.

Неліктен бұл маңызды

Егер инцидент бір аптадан кейін анықталса, ал Security журналы тек бес күндік тарихты сақтаса, қажетті оқиғалар әлдеқашан қайта жазылып кетуі мүмкін. Сондықтан журнал көлемін нақты сервердің нақты жүктемесін ескере отырып таңдау керек.

02 SECURITY LOG CALCULATOR

Security журналының тарих тереңдігін есептеңіз.

WEB-LABS құралы Windows Security журналы оқиғаларды қайта жазылғанға дейін қанша уақыт сақтай алатынын бағалауға мүмкіндік береді.

Есептеу үшін PowerShell арқылы алуға болатын сервердің нақты деректері пайдаланылады. Барлық есептеулер тікелей браузерде орындалады: енгізілген мәндер ешқайда жіберілмейді және сақталмайды.

WEB-LABS TOOL / WINDOWS SECURITY LOG

Windows Security журналы тарихының тереңдігі калькуляторы

Security журналында қанша күндік тарих сақталатынын және ескі оқиғалар қаншалықты тез қайта жазылуы мүмкін екенін бағалаңыз. Барлық есептеулер браузерде жергілікті түрде орындалады.

POWERSHELL / DATA SOURCE Журнал параметрлерін бір командамен алу 
$logName = 'Security'
$logFile = Join-Path $env:SystemRoot 'System32\winevt\Logs\Security.evtx'

$meta   = Get-WinEvent -ListLog $logName -ErrorAction Stop
$file   = Get-Item $logFile -ErrorAction Stop
$oldest = Get-WinEvent -LogName $logName -Oldest -MaxEvents 1 -ErrorAction Stop
$newest = Get-WinEvent -LogName $logName -MaxEvents 1 -ErrorAction Stop

$currentMB   = [math]::Round($file.Length / 1MB, 2)
$maxMB       = [math]::Round($meta.MaximumSizeInBytes / 1MB, 2)
$historyDays = [math]::Round(($newest.TimeCreated - $oldest.TimeCreated).TotalDays, 2)
$fillPercent = if ($maxMB -gt 0) { [math]::Round(($currentMB / $maxMB) * 100, 1) } else { 0 }

[PSCustomObject]@{
    CurrentSizeMB = $currentMB
    MaxSizeMB     = $maxMB
    FillPercent   = $fillPercent
    RecordCount   = $meta.RecordCount
    OldestEvent   = $oldest.TimeCreated
    NewestEvent   = $newest.TimeCreated
    HistoryDays   = $historyDays
} | Format-List
PowerShell-ді әкімші атынан іске қосыңыз. Жылдам есептеу үшін CurrentSizeMB, MaxSizeMB және HistoryDays мәндері қажет.
01 Команданы іске қосыңыз 02 3 мәнді енгізіңіз 03 Тарих тереңдігі бойынша бағдар алыңыз

Бұл әдіс журналдың ағымдағы тығыздығын оның максималды көлеміне дейін экстраполяциялайды. Егер журнал толуға жақын болып, қайта жазу режимінде жұмыс істесе, нақты HistoryDays мәні болжамнан пайдалырақ.

ЕСЕПТЕЛГЕН ТАРИХ ТЕРЕҢДІГІ ≈ 16 күн

Оқиғалардың ағымдағы тығыздығында көлемі 2 ГБ журнал ескі оқиғалар қайта жазылғанға дейін шамамен 16 күндік тарихты сақтайды.

Қазіргі толу деңгейі 87.9%
< 7 күнөте қысқа тарих
7–30 күншектеулі кезең
30–90 күнжұмысқа жеткілікті кезең
90+ күнтарихтың үлкен қоры

Есептеу бағдарлы және норматив болып саналмайды. Журнал тарихының нақты тереңдігі аудит баптауларына, жүктемеге, журналды тазалауға, оқиғалар қарқындылығының өзгеруіне және қайта жазу режиміне байланысты. Тергеу үшін оқиғаларды орталықтан жинау мен архивтеу де маңызды.

Windows Server техникалық тексеруі
03 PARAMETERS

Калькулятор нені көрсетеді.

MB
01

CurrentSizeMB

Security.evtx журнал файлының ағымдағы көлемі.

MAX
02

MaxSizeMB

Windows баптауларында белгіленген журналдың максималды көлемі.

EVT
03

RecordCount

Қазір журналда бар оқиғалар саны.

OLD
04

OldestEvent

Әлі көруге болатын ең ескі оқиғаның күні.

NEW
05

NewestEvent

Журналдағы ең жаңа оқиғаның күні.

DAY
06

HistoryDays

Қолжетімді тарихтың нақты тереңдігі, күнмен.

04 LOG CAPACITY

Неге тек журнал көлеміне сүйенуге болмайды.

Жасалатын оқиғалар саны сервердің рөліне және аудит баптауларына қатты байланысты.

Домен контроллері, терминалдық сервер, файлдық сервер және шағын қолданба сервері бірдей уақыт аралығында мүлде әртүрлі көлемде оқиғалар жасай алады.

Кеңейтілген аудит қосылғаннан кейін жазбалар саны да едәуір өсуі мүмкін. Сондықтан «кез келген серверге 2 ГБ жеткілікті» деген әмбебап мән жоқ.

01 Аудит баптаулары
02 Оқиғалар саны
03 Толу жылдамдығы
04 Тарих тереңдігі
05 Қайта жазу
05 RESULT

Алынған нәтижені қалай бағалау керек.

Қысқа тарих міндетті түрде қате конфигурацияны білдірмейді, ал үлкен журнал жеткілікті сақтау тереңдігіне кепілдік бермейді.

Ұйым инциденттерді әдетте қанша уақыттан кейін анықтайтынын және тергеу үшін қандай кезең қажет болуы мүмкін екенін ескеру маңызды.

Калькуляторда бағдарлы техникалық шкала қолданылады. Ол бастапқы бағалауға арналған және нормативтік талап емес.

Ең маңыздысы — тарихтың нақты тереңдігі

Тергеу кезінде Security.evtx файлының көлемі емес, қажетті күндегі оқиғаларға қайта оралу мүмкіндігі маңызды. Егер журнал қайта жазу режимінде жұмыс істеп тұрса, OldestEvent күні қазіргі уақытта қаншалықты артқа қарай қарауға болатынын жақсы көрсетеді.

WEB-LABS / EVENT RETENTION SECURITY LOG HISTORY WINDOW
NOW OLDEST AVAILABLE EVENT OVERWRITTEN
AVAILABLE HISTORY EVENT WINDOW
OLDER EVENTS OVERWRITTEN
RETENTION MONITORING ACTIVE
05 EVENT RETENTION

Журнал көрінгеннен аз тарих сақтауы мүмкін.

Типтік проблемалардың бірі инциденттен кейін ғана анықталады: Security журналы бар және жұмыс істейді, бірақ оның көлемі нақты жүктеме үшін тым аз болған.

Нәтижесінде жүйе жаңа оқиғаларды жазуды жалғастырып, ең ескі оқиғаларды қатар өшіреді. Әкімші мұны пайдаланушы әрекеттерін тексеру немесе өткен кезеңдегі оқиғалар ретін қалпына келтіру қажет болғанға дейін жылдар бойы байқамауы мүмкін.

Бұл мәселе туралы толығырақ: «Security журналы: оқиғалар тарихы неге жоғалады» .

06 WHEN TO CHECK

Сервер журналдарын қашан тексеру керек.

Сервер конфигурациясы немесе аудит саясаты өзгергеннен кейін журналдардың тереңдігін бақылау әсіресе маңызды.

01

Windows кеңейтілген аудиті қосылғаннан кейін

02

Пайдаланушылар саны артқаннан кейін

03

RDP-қолжетімділігі енгізілгеннен немесе кеңейтілгеннен кейін

04

Ақпараттық қауіпсіздік саясаты өзгергеннен кейін

05

Күмәнді кіру немесе инцидент анықталғаннан кейін

06

Журналдардың көлемі немесе параметрлері өзгергеннен кейін

01
WINDOWS SERVER

Тағы нені тексеру керек

Windows Server-ді техникалық тексергенде Security журналының көлеміне ғана қарау жеткіліксіз.

Аудит баптаулары, RDP журналдары, кіру оқиғалары, есептік жазба өзгерістері, әкімшілік құқықтар және оқиғаларды сақтау мерзімдері тексеріледі.

02
EVENT HISTORY

Тарих тергеуге жарамды болуы керек

Журнал жүргізудің мақсаты — оқиғаларды жай ғана жазу емес, инциденттен кейін әрекеттер тізбегін қалпына келтіруге жеткілікті ақпарат сақтау.

Журнал көлемін нақты инфрақұрылымның нақты жүктемесіне қарай таңдау керек.

03
LOG ARCHIVE

Маңызды оқиғаларды бөлек сақтаған дұрыс

Жергілікті журнал көлемін ұлғайту мәселенің бір бөлігін ғана шешеді. Жүктеме жоғары болса, тарих бәрібір біртіндеп қайта жазылады.

Маңызды жүйелер үшін оқиғалар жергілікті Security.evtx файлына тәуелсіз сақталуы үшін журналдарды орталықтан жинауды немесе архивтеуді қарастыру керек.

WEB-LABS WINDOWS SERVER SECURITY

Білмейсіз бе, журналдар жеткілікті ме?

WEB-LABS Windows Server-ге техникалық тексеру жүргізеді: журнал жүргізуді, кіру оқиғаларын, RDP-ны, пайдаланушы құқықтарын, әкімшілік есептік жазбаларды және аудит параметрлерін тексереміз.

Міндетті талқылау → Инфрақұрылымды қорғау
SECURITY LOG MONITORED EVENTS / RDP / ACCESS