Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

Analysieren von Ereignissen mit den eingebauten Tools 239
Das Dialogfeld zum Definieren der Filter ist zwar recht leistungsfähig, stellt aber nur einen
Teil der Filterungsfähigkeiten des Ereignissystems zur Verfügung. Indem Sie XPATH nutzen,
können Sie Ereignisse noch viel genauer filtern.
Öffnen Sie das Dialogfeld Aktuelles Protokoll filtern erneut. Klicken Sie dann auf die Registerkarte
XML oben im Dialogfeld. Der angezeigte XPATH-Ausdruck gibt die Optionen wieder,
die Sie auf der Registerkarte Filter ausgewählt haben. Aktivieren Sie das Kontrollkästchen
Manuell bearbeiten und klicken Sie im Bestätigungsdialogfeld auf Ja. Sie können nun
den XPATH-Text editieren. Eine vollständige Beschreibung von XPATH würde den Umfang
dieses Kapitels sprengen, aber es gibt eine simple Änderung, die Sie vornehmen können, um
sich mit den Möglichkeiten vertraut zu machen. Sie können den Filterausdruck so ändern,
dass nur interaktive Anmeldeereignisse angezeigt werden, also Ereignisse mit dem Anmeldetyp
2.
Der im Dialogfeld angezeigte XPATH-Ausdruck sieht so aus:
*[System[Provider[@Name='Microsoft-Windows-Security-Auditing']
and Task = 12544]]
Ändern Sie diesen Code so, dass er wie im folgenden Codeausschnitt aussieht. Dieses Listing
wurde umbrochen, um es besser lesbar zu machen. XML ignoriert Leerräume (außerhalb
von Stringliteralen, also Zeichenfolgen, die in Anführungszeichen eingeschlossen
sind). Das Dialogfeld unterstützt übrigens das Kopieren und Einfügen über die Tastenkombinationen
STRG+C und STRG+V, sodass Sie den Windows-Editor zum Bearbeiten des
Codes verwenden können.
*[System[Provider[@Name='Microsoft-Windows-Security-Auditing'] and Task = 12544]
and EventData[Data[@Name='LogonType'] = '2']]
Klicken Sie auf OK, wenn Sie die Änderungen vorgenommen haben. Die Ereignisanzeige
wendet den Filter an, woraufhin Sie nur noch interaktive Anmeldeereignisse angezeigt bekommen.
Sehen Sie sich einige dieser Ereignisse an und überzeugen Sie sich, dass bei allen
das Feld Anmeldetyp den Wert 2 hat. Falls Sie einen Fehler gemacht haben, informiert die
Ereignisanzeige Sie darüber. Sie können dann im Menü Aktion den Befehl Filter löschen
wählen, um den Filter zu entfernen, und neu beginnen. Abbildung 8.14 zeigt den XML-
Filterausdruck.