我有一台较旧的 2003 服务器，其中托管着使用 Windows 身份验证在 IIS 上运行的内部应用程序。有没有现成的方法可以仅针对登录类型 3（网络登录）禁用审核？
此应用程序一天生成 100K+ 个 Windows 登录事件。我看到过很多说明，只是简单地禁用整个审核，但没有说明如何抑制这一特定类型。
答案1
答案2
我们遇到了完全相同的问题，但我们遇到的不是 IIS，而是恶意应用程序，该应用程序每天在我们所有的客户端机器上生成数千个类型 3。我们能够使用 Cymbal SIEM 解决这个问题，并与他们合作丢弃不需要的事件。不幸的是，微软没有给我们在本地端点上除“审计成功/审计失败”之外的精细控制，因此您无法在该层进行控制。
但是，在企业环境中，您应该通过 SIEM 工具而不是在本地端点上解析事件。您的 SIEM 工具可能会从位于网络内的集中式收集服务器接收其事件数据。我们的 SIEM 提供商能够使用自定义 XML 查询为我们提供正确的过滤器，以防止任何不需要的事件发送到我们的收集服务器。他们说，使用集中式架构，本地端点捕获哪些事件类型并不重要，如果我们愿意，我们实际上可以将安全日志大小降低到个位数 MB。使用这种类型的设置，本地安全日志只是事件的临时缓存位置，直到它们被收集服务器拾取（通常是即时的）。
只要您获得适当的 SIEM 工具，您将能够拥有仪表板和过滤器来查看您想要的。