как удалить определенные события из журнала событий в windows server 2008?

<p>нужен ли сторонний инструмент для этого?</p>

<p>microsoft намеренно мешает вам сделать это. вся концепция просмотра событий заключается в представлении вам определенных событий, которые могут потребовать вашего внимания. если бы кто-то мог зайти и удалить любое случайное событие, то система могла бы - в некотором смысле - быть скомпрометирована без вашего ведома, что сделало бы ее небезопасной.</p><p>если вы зарегистрировали событие ошибки, выясните причину проблемы и устраните ее. вы не хотите закрывать дыру в плотине, вставляя в нее кусочек жвачки.</p><p>если что-то регистрирует информационные или предупреждающие события слишком часто, то во многих случаях источник журнала событий (либо microsoft, либо сторонний) имеет какой-либо параметр, который указывает, как часто или на каком уровне ведения журнала настраивается приложение. вот куда вы идете, чтобы свести к минимуму регистрацию, а не делать операции в журнале событий.</p>

<p>пост оп действителен. проблема номер один с ведением журнала, отчетами об ошибках и предупреждением - это белый шум. когда сообщается о слишком большом количестве "ошибок" и большинство из них имеют низкий приоритет или не имеют никакого значения, администраторы склонны игнорировать все ошибки. хорошо это или плохо, это просто факт жизни.</p><p>одна из ошибок, о которых он говорит, - это (я думаю) событие с кодом 1111. это просто означает, что у вас есть принтер, сопоставленный с драйвером, который недоступен на сервере, к которому вы подключены. в большинстве случаев это ошибка, которая не имеет значения ... "исправить" нечего, так как это не проблема.</p><p>если вы хотите найти реальные проблемы и у вас есть конкретные идентификаторы событий, которые вы не хотите пропустить, создайте пользовательское представление, выполнив следующие действия:</p><ol> <li>в журнале событий нажмите "фильтровать текущий журнал" на панели действий.</li> <li>примерно на полпути вниз по всплывающему диалоговому окну вы найдете текстовое поле с <code><all event ids></code></li> <li>замените этот текст вашими потребностями фильтра. <ul> <li>если вы хотите только определенное событие, поместите его там.</li> <li>если у вас есть кратные, используйте запятые для разделения.</li> <li>если вы хотите исключить, используйте знак минус.</li> <li>в этом случае мы будем использовать "-1111" (без кавычек, конечно).</li> </ul> </li> <li>нажмите "ок" в диалоговом окне.</li> <li>в области действий вы теперь нажимаете "сохранить фильтр в пользовательском представлении".</li> </ol><p>теперь, когда вы хотите просмотреть свой журнал событий, используйте свое собственное представление, и будет отображаться только та информация, которая вас действительно интересует.</p><p>я знаю, что это поздний пост в мертвой ветке, но, надеюсь, он поможет кому-то еще, кто ищет это в google, больше, чем посты "[работая как задумано, n00b!]" ;-)</p>

<p>единственное, что вы можете сделать в windows, это очистить весь журнал. я нашел только одно стороннее приложение, которое утверждает, что делает это - <a href="http://www.ntsecurity.nu/toolbox/winzapper/">winzapper</a> , однако я никогда не использовал его, и оно заявляет, что оно для nt и 2000, поэтому я не знаю, будет ли оно работать для сервера 2003/2008. имейте в виду, что при их использовании возможно повреждение журнала событий, так что действуйте осторожно.</p>

<p>что может решить вашу проблему, так это изменить политики аудита в групповой политике. не зная, что конкретно вы хотите не показывать, я не уверен, есть ли настройки для этого, но вот пример.</p><p>в консоли управления групповыми политиками подробно выберите конфигурация компьютера - параметры windows - параметры безопасности - локальные политики - политика аудита. здесь нет тонны детализации, но, возможно, вы можете избавиться от того, что заполняет ваши журналы. (мои dc не 2008 года, так что это то, что я получил с точки зрения ad 2003 года, надеюсь, это не совсем другое)</p>

<p>не поддерживается способ удаления отдельных записей журнала из журналов событий windows. это сделано специально по ряду очень веских причин.</p><p>лучший способ устранения нежелательных записей в журнале - это обработка событий, которые генерируют их соответствующим образом в приложении. кроме того, выбор соответствующего уровня журнала, то есть подробного описания, информации, предупреждения, ошибки и критической ошибки, для каждого записываемого сообщения является важным компонентом в предоставлении журналов, которые легко фильтровать. некоторые каркасы ведения журналов также предоставляют возможность объединять повторяющиеся идентичные события в одну запись журнала со счетчиком.</p><p>к сожалению, я видел довольно много комментариев от людей, которые, кажется, упускают фундаментальное понимание ключевых концепций компьютерной безопасности. события в журнале <strong>, особенно журнал событий безопасности </strong>, являются неизменяемыми по определенной причине. если бы события в журнале событий безопасности могли быть удалены, вы бы снизили безопасность компьютера гораздо больше, чем если бы в журнале был чей-то пароль, потому что они ввели его в неправильное текстовое поле. хорошие разработчики ос знают, что люди делают ошибки и что пароль пользователя может отображаться в журнале событий безопасности. это одна из причин, по которой журналы событий безопасности разрешено просматривать только администраторам.</p><p>однако, предоставляя возможность удалять отдельные события из журнала безопасности, злоумышленник может скрывать свои действия так, что их гораздо сложнее обнаружить, чем когда очистка всего журнала является единственной предоставленной операцией удаления. в качестве примера можно обратиться к разделу "треки покрытия" на странице сайта open project security project (owasp) <a href="https://www.owasp.org/index.php/error\_handling,\_auditing\_and\_logging#cover\_tracks">обработка ошибок, аудит и ведение журнала</a> , где говорится:</p><blockquote> <p><strong> обложка треков </strong></p> <p>главный приз в атаках с помощью механизма ведения журнала получает претендент, который может удалять или манипулировать записями в журнале на детальном уровне, "как будто событие даже не произошло!". вторжение и развертывание руткитов позволяет злоумышленнику использовать специализированные инструменты, которые могут помочь или автоматизировать манипулирование известными файлами журналов. в большинстве случаев файлы журналов могут обрабатываться только пользователями с правами суперпользователя/администратора или с помощью утвержденных приложений для работы с журналами. как правило, механизмы ведения журналов должны быть направлены на предотвращение манипуляций на детальном уровне, поскольку злоумышленник может скрывать свои следы в течение значительного периода времени, не будучи обнаруженным. простой вопрос; если злоумышленник скомпрометировал вас, будет ли вторжение более очевидным, если ваш файл журнала будет слишком большим или маленьким или он будет выглядеть как журнал каждого дня?</p> </blockquote><p>кроме того, я бы сказал, что любой, кто имеет административный доступ к системе, должен с самого начала проявлять большую осторожность и внимание к деталям. частью этого является двойная проверка выполняемой работы и прекращение чтения даже общих диалоговых окон для защиты от возможных ошибок.</p><p>смотрите также:</p><ul> <li> <a href="https://blogs.msdn.microsoft.com/ericfitz/2007/08/10/help-someone-has-deleted-events-from-my-windows-event-log/">помогите! кто-то удалил события из моего журнала событий windows!</a> </li> <li> <a href="https://blogs.technet.microsoft.com/steve\_lamb/2005/01/04/how-to-think-like-a-hacker-scott-culps-10-immutable-laws-of-security/">как думать как хакер - 10 неизменных законов безопасности скотта калпа</a> </li> </ul>