![禁用登录类型 3 事件审核](https://linux22.com/image/571768/%E7%A6%81%E7%94%A8%E7%99%BB%E5%BD%95%E7%B1%BB%E5%9E%8B%203%20%E4%BA%8B%E4%BB%B6%E5%AE%A1%E6%A0%B8.png)
我有一台较旧的 2003 服务器,其中托管着使用 Windows 身份验证在 IIS 上运行的内部应用程序。有没有现成的方法可以仅针对登录类型 3(网络登录)禁用审核?
此应用程序一天生成 100K+ 个 Windows 登录事件。我看到过很多说明,只是简单地禁用整个审核,但没有说明如何抑制这一特定类型。
答案1
答案2
我们遇到了完全相同的问题,但我们遇到的不是 IIS,而是恶意应用程序,该应用程序每天在我们所有的客户端机器上生成数千个类型 3。我们能够使用 Cymbal SIEM 解决这个问题,并与他们合作丢弃不需要的事件。不幸的是,微软没有给我们在本地端点上除“审计成功/审计失败”之外的精细控制,因此您无法在该层进行控制。
但是,在企业环境中,您应该通过 SIEM 工具而不是在本地端点上解析事件。您的 SIEM 工具可能会从位于网络内的集中式收集服务器接收其事件数据。我们的 SIEM 提供商能够使用自定义 XML 查询为我们提供正确的过滤器,以防止任何不需要的事件发送到我们的收集服务器。他们说,使用集中式架构,本地端点捕获哪些事件类型并不重要,如果我们愿意,我们实际上可以将安全日志大小降低到个位数 MB。使用这种类型的设置,本地安全日志只是事件的临时缓存位置,直到它们被收集服务器拾取(通常是即时的)。
只要您获得适当的 SIEM 工具,您将能够拥有仪表板和过滤器来查看您想要的。