☰

Wie kann ich mit Nxlog Active Directory-Domänendienstereignisse und DNS-Ereignisse erfassen?

tag-icon • tag-icon windows-server-2012 nxlog
Wie kann ich mit Nxlog Active Directory-Domänendienstereignisse und DNS-Ereignisse erfassen?

Mein Problem ist, dass ich mit Nxlog keine ADDS- oder DNS-Ereignisse erfassen und an einen ELK-Server senden kann. In der Nxlog-Konfiguration für den DC- und DNS-Server habe ich die folgende Abfrage

<QueryList>\
  <Query Id="0">\
     <Select Path="Security">*</Select>\
     <Suppress Path="Security">*[System[(EventID=4624 or EventID=4776 or EventID=4634 or EventID=4672 or EventID=4688 or EventID=4769)]]</Suppress>\
     <Select Path="System">*[System/Level=2]</Select>\
     <Select Path="Microsoft-Windows-ActiveDirectory_DomainService">*</Select>\
     <Select Path="Microsoft-Windows-DNS-Server-Service">*</Select>\
  </Query>\
</QueryList>

Die Konfigurationsdatei funktioniert ohne die Active Directory- und DNS-Pfade einwandfrei. Die gewünschten Sicherheits- und Systemprotokolle werden korrekt an ELK gesendet. Ich habe auch versucht, nur die ADDS- oder DNS-Pfade in der Konfigurationsdatei zu belassen, aber ohne Erfolg. Ich glaube nicht, dass ich die richtigen Pfade für ADDS und DNS in der Konfiguration habe, und das ist mein Problem. Mein Google-Fu und Bing-Fu haben keine Ergebnisse gefunden, die mir den Event-ID-Kanal für ADDS- und DNS-Ereignisse liefern. Ich habe nur die Event-ID-Kanäle für Anwendung, Sicherheit, System und Setup gefunden. Irgendwelche Vorschläge? Ich bin für jeden offen!

Der DC\DNS-Server und der ELK-Server laufen auf Windows Server 2012. Die ELK-Installation führt die neuesten stabilen Versionen von ELK aus.

Antwort1

Ich habe die Antwort gefunden. Klicken Sie in der Ereignisanzeige auf dem DC\DNS-Server mit der rechten Maustaste auf den Ereignis-ID-Kanal, z. B. Verzeichnisdienst, und wählen Sie „Aktuelles Protokoll filtern“. Dadurch wird das Fenster „Aktuelles Protokoll filtern“ geöffnet. Klicken Sie auf die Registerkarte „XML“, um die Informationen zur Abfrageliste zu finden!

<QueryList>
  <Query Id="0" Path="Directory Service">
    <Select Path="Directory Service">*</Select>
  </Query>
</QueryList>

Ich habe überprüft, dass dies für Directory Service und DNS funktioniert. Ich habe den Select Path angeschlossen und einen Backslash in meine Nxlog-Konfigurationsdatei eingefügt.

verwandte Informationen