用命令行操作监视安全事件日志——用Windows PowerShell的Get-EventLog工具轻松查看安全事件日志

许多人使用LogParser之类的命令行工具查看Windows的日志，现在有了另一个工具，就是Windows PowerShell中的Get-Event-Log命令行程序（cmdlet）.     

中小企业的企业级事件日志工具

这些日志收集和管理工具都是企业级的解决方案，但是同样适用于对日志管理有更多需求的中小企业。[编者按]     

降低事件日志里的“噪音”：按用户审核

Windows审核功能的全面和广泛是一把双刃剑：无关紧要的消息（噪音）经常淹没了那些真正需要关注的消息。本文教你通过新的按用户审核功能来精心调整组策略，以最小化“噪音”的数量。从而适应你的环境的特殊要求。     

全新的安全性日志令Windows事件大放光彩

新ID号、新外观、XML格式的事件、粒度更细的审核策略以及加强版的事件查看器。这些都是Windows Server2008和Windows Vista的闪光之处。[编者按]     

监控Server Core事件日志——使用Wevtutil强大的命令行事件日志控制功能

现在,Windows Server 2008的Server Core已经推出半年了,使得我有机会和很多人来谈论它。有些人坚决不相信会有人尝试使用基于命令行的服务器。最近,有人问道：“当你无法看到服务器运行得好或者坏时,你怎么去‘运行’它呢？”     

基于时间差约束的事件日志合并

在跨企业、跨系统的环境中,流程数据通常记录在单独的事件日志中,这使得无法挖掘完整的端到端的执行流程,因此本算法提出仅使用事件名称以及时间戳属性对日志进行合并。首先分别获取两个系统的过程模型以及根据活动的跨系统跟随依赖关系获得的合并模型,接着将两个系统的流程一对一进行合并并按照时间戳排序,留下与合并模型路径一致的合并流程,然后从这些流程中获得一对一的实例对,即唯一主流程仅与唯一子流程可以合并,再从这些实例对中挖掘活动间的时间约束用于剩余日志的合并,重复最后两步直到所有日志均合并或无法一对一合并日志。该算法在真实的事件日志上进行了实验,达到了满意的合并效果并获得较高的准确率与召回率。     

搜索系统的蛛丝马迹——事件查看器

阅读提示:如果你不关心系统的安全,不想找到产生故障的原因,不想知道前天什么时候上网、上了多长时间,那么本文肯定不适合你。因为在这里,除了可以学到关于事件查看器的基本知识,还会了解如何利用事件查看器里的蛛丝马迹发现并解决系统故障。     

用性能日志掌握你的电脑

随着电脑的普及,测试软件的推广,很多喜欢DIY的朋友都有用测试软件的经历,如用Superп测试CPU的计算能力,用3DMark测试显卡……,这些过于专业,不易掌握,还不直观。事实上,只要自己动手,Windows中自带的性能日志就是你最好的测试软件。     

Windows7系统事件日志分析与编程

事件日志作为一种重要的系统管理工具,主要用于监视系统运行情况、查找系统故障根源和分析软件的执行流程等。对软件开发者而言,有必要从编程角度分析 Windows7系统的事件日志架构体系。简要介绍 NET Framework 一个重要的事件日志类 EventLog,以及使用 EventLog 类和 C ＋＋/CLI 语言实现事件日志创建、写入和删除的编程方法。     

基于混合人工免疫算法的流程挖掘事件日志融合方法

流程挖掘是流程管理和数据挖掘交叉领域中的一个研究热点.在实际业务环境中,流程执行的数据往往分散记录到不同的事件日志中,需要将这些事件日志融合成为单一事件日志文件,才能应用当前基于单一事件日志的流程挖掘技术.然而,由于流程日志间存在着执行实例的多对多匹配关系、融合所需信息可能缺失等问题,导致事件日志融合问题具有较高挑战性.本文对事件日志融合问题进行了形式化定义,指出该问题是一个搜索优化问题,并提出了一种基于混合人工免疫算法的事件日志融合方法：以启发式方法生成初始种群,人工免疫系统的克隆选择理论基础,通过免疫进化获得“最佳”的融合解,从而支持包含多对多的实例匹配关系的日志融合;考虑两个实例级别的因素：流程执行路径出现的频次和流程实例间的时间匹配关系,分别从“量”匹配和“时间”匹配两个维度来评价进化中的个体;通过设置免疫记忆库、引入模拟退火机制,保证新一代种群的多样性,减少进化早熟几率.实验结果表明,本文的方法能够实现多对多的实例匹配关系的事件日志融合的目标,相比随机方法生成初始种群,启发式方法能加快免疫进化的速度.文中还针对利用分布式技术提高事件日志融合性能,探讨了大规模事件日志的分布式融合中的数据划问题.     

信息安全事件定位中的Web日志分析方法

随着Web技术使用范围的不断扩展,Web应用已经成为网络攻击的重要目标。当Web应用遭受攻击时,Web系统会对系统访问情况进行记录,因此在开展事件的分析定位时,最直接有效的数据来源即为Web日志。本文根据应急工作的实际经验,提出了Web日志分析的思路和方法。     

基于混合型事件日志的模型合规性检验方法

信息系统记录的事件日志多为包含点事件和区间事件的混合型事件日志,针对现有合规性检验方法不能直接应用于此类事件日志的问题,提出一种对混合型事件日志及对应模型进行合规性检验的方法,从拟合度、精确度、和简洁度三个方面来衡量混合型事件日志及其对应的过程模型的契合程度,用户可对三个指标设置权重,求出一个综合的合规性指标.论文设计并实现一个原型工具,通过案例分析说明了算法的有效性.     

基于混合型事件日志的模型合规性检验方法

信息系统记录的事件日志多为包含点事件和区间事件的混合型事件日志,针对现有合规性检验方法不能直接应用于此类事件日志的问题,提出一种对混合型事件日志及对应模型进行合规性检验的方法,从拟合度、精确度、和简洁度三个方面来衡量混合型事件日志及其对应的过程模型的契合程度,用户可对三个指标设置权重,求出一个综合的合规性指标.论文设计并实现一个原型工具,通过案例分析说明了算法的有效性.     

使用PowerShell访问安全事件日志

Windows的安全事件日志包含很多涉及系统安全的重要信息，需要系统管理员深入研究。本文详细介绍了如何使用PowerShell来检查安全事件日志。使用PowerShell。你可以按类型获取安全事件，按照属性列表缩小范围。对事件排序，获取并组织事件的详细信息。     

基于BERT和弱行为轮廓的可解释性事件日志修复方法

由异常值和缺失值导致的低质量事件日志在实际的业务流程中通常不可避免,低质量的事件日志会降低过程挖掘相关算法的性能,从而干扰决策的正确实施。在系统参考模型未知的条件下,现有方法在进行日志异常检测与修复工作中,存在需要人为设定阈值、不知预测模型学习何种行为约束以及修复结果可解释性较差的问题。采用遮掩策略的预训练语言模型BERT可以通过上下文信息自监督地学习文本中的通用语义,受此启发,提出了模型BERT4Log和弱行为轮廓理论,并结合多层多头注意力机制进行低质量事件日志的可解释修复。所提修复方法不需要预先设定阈值,仅需要进行一次自监督训练,同时该方法利用弱行为轮廓理论量化行为上的日志修复程度,并结合多层多头注意力机制实现对具体预测结果的详细解释。最后,在一组公开数据集上对方法性能进行评估,并与目前性能最优的研究进行对比分析,实验结果表明BERT4Log的修复性能整体优于对比方法,可以学习弱行为轮廓并实现修复结果的详细解释。     

改进的事件日志分簇算法研究

事件日志是现代IT系统中分析和处理故障的重要信息来源.首先分析了传统的数据挖掘算法的优缺点,然后分析了事件日志的特点提出了一种新的算法使用摘要向量技术降低内存需求,用于事件日志的分簇,实验分析显示了它的有效性.     

基于启发式规则的流式日志事件提取方法

日志事件提取指将非结构化的日志消息解析为系统中对应的事件,是多数日志分析中必不可少的前置工作.传统的日志事件提取以批处理方法为主,需要等待所有日志数据到达再进行处理,实时性不佳.能够进行实时日志采集并处理的流处理方法逐渐成为主要研究方向,但已有的流处理方法在解析模型的构建方面存在缺陷,准确性不够高.针对上述问题,提出了...     

关于KDC证书、10006事件以及userenv日志文件的问题

我作为微软的技术工程师，时常会遇到各种各样的问题，也需要不断学习新的知识，积累经验。有些问题的确不好解决。需要做长时间的查询、研究以及反复的测试。下面，我和大家分享三个疑难问题的经验。[编者按]     

面向业务过程挖掘和分析的事件日志预处理技术

在企业业务运行过程中会产生大量的数据,这些数据以事件日志的方式进行保存.通过对事件日志的采集、处理和分析可以支持对业务过程的挖掘、监控和优化.然而,原始的事件日志因含有各种类型的数据质量问题而无法直接应用于过程挖掘与分析.尽管目前在数据挖掘领域已提出各种数据预处理方法进行数据过滤,但由于业务过程事件日志中事件信息的序列化、动态化以及传递性等特点不同于普通数据,所以无法简单地应用传统的数据预处理方法对事件日志进行预处理.本文对事件日志数据预处理的研究现状进行了系统化的总结,分析了事件日志数据预处理技术面临的挑战,并对未来的研究方向进行了展望.     

控制对Windows安全事件日志的访问

我如何控制允许谁访问系统的安全事件日志？微软有没有提供一种授权用户（例如：HelP Desk团队的成员）访问系统安全事件日志的方法？我不希望把所有需要访问安全事件日志的用户账号都提升到管理员权限。