Rotação do Log de Eventos do Windows?

Question

Windows Server 2003.

Existe alguma maneira de girar facilmente os logs de eventos (ou limpar e salvar automaticamente)? Eu estou fazendo um pouco de auditoria nesta máquina e meu log de segurança fica muito real bem rápido e a cada duas semanas eu tenho que lembrar de salvar e limpar.

Sim, eu poderia confiar em tarefas de backup e permitir sobrescrever ... mas seria melhor se conseguisse que o Windows salvasse e limpasse o log automaticamente quando estiver próximo da capacidade.

    

Answer 1

Parece que a maioria das pessoas não sabe sobre esse recurso, mas o Windows irá rotacionar os arquivos de log automaticamente se estiverem configurados. Procure por "AutoBackupLogFiles" neste arquivo.

Você pode configurar isso em uma base de servidor para servidor, mas isso é entediante para um grande número de servidores. Eu criei um modelo administrativo para definir isso em computadores do servidor e, em seguida, um script de script para adicionar uma tarefa agendada periodicamente pick-up, ZIP e mover os arquivos de log para um local de retenção. Funcionou muito bem e foi barato!

link

    

Answer 2

Aqui está um script VBS que salvará seu log de eventos e o limpará. Coloque isso em uma tarefa agendada. Observe que o log de eventos específico é especificado na linha 3 do script e que, obviamente, você desejará ajustar o caminho de destino.

Código "emprestado" (isto é, roubado) de MSDN .

strComputer = "."
Set objWMIService = GetObject("winmgmts:{impersonationLevel=impersonate,(Backup)}!\" & strComputer & "\root\cimv2")
Set colLogFiles = objWMIService.ExecQuery("Select * from Win32_NTEventLogFile Where LogFileName='Application'")
For Each objLogfile in colLogFiles
    errBackupLog = objLogFile.BackupEventLog("c:\application" & year(Now) & "_" & month(Now) & "_" & day(Now) & "_" & hour(now) & "_" & minute(now) & ".evt")
    objLogFile.ClearEventLog
Next

    

Answer 3

Para ver as opções configuráveis de um modelo ADM personalizado, você provavelmente precisará clicar no menu Exibir e desmarcar "apenas mostrar as configurações de política que podem ser totalmente gerenciadas".