Zentrale Verarbeitung von Ereignisdaten in Serverumgebungen Log- und Event-Management mit Windows-Ereignisweiterleitung

Die Windows-Ereignisweiterleitung sammelt Logs von allen Servern ohne zusätzliche Agenten und liefert mit Windows Admin Center vollständige Nachvollziehbarkeit administrativer Aktionen. Die Kombination aus Basisabonnement, Zielabonnement und präzisen XPath-Filtern ermöglicht robuste Ereignisverarbeitung – agentenlos, ohne Cloud-Abhängigkeit, aber bereit für Azure Arc und Log Analytics.

Die zentrale Verarbeitung von Ereignisdaten benötigt eine robuste Architektur, die Logs zuverlässig von allen Servern erfasst, sicher transportiert und im Windows Admin Center präzise auswertet. Windows-Ereignisweiterleitung liefert dazu die technische Basis, während das Windows Admin Center für die Sichtbarkeit der verwalteten Systeme sorgt.

Windows-Ereignisweiterleitung überträgt Ereignisse von Quellservern an einen Ereignissammler, ohne dass zusätzliche Agenten erforderlich sind. Der Dienst ruft vorhandene Einträge aus aktivierten Ereigniskanälen ab und sendet sie an definierte Abonnements. Eine Besonderheit liegt in der Trennung aus Basisabonnement für alle Systeme und Zielabonnement für Server mit besonderer Relevanz. Diese duale Struktur unterstützt eine präzise Filterung und erlaubt differenzierte Analysen.

Bildergalerie

Bildergalerie mit 7 Bildern

Ereignis-Abonnements sammelt Ereignisse auf Windows-Servern ein

Das Basisabonnement sammelt Prozessstarts, Anmeldungen, AppLocker-Ereignisse, Registryänderungen, Ereignisse des Zertifizierungsdiensts, Netzwerkfreigaben, Taskplaner-Einträge, Smartcard-Ereignisse, Sysmon-Events und viele weitere Signale. Das Zielabonnement erweitert diese Daten um PowerShell-Details, DNS-Abfragen einzelner Prozesse, CAPI-Operationen, RADIUS-Authentifizierungen, registrierte Gruppen für lokale Anmeldungen, Prozessbeendigungen, Wireless-802.1X-Ereignisse und Netzwerksitzungen.

Für beide Abonnements müssen die Quellserver in der Lage sein, alle benötigten Ereignisse zu erzeugen. Dazu gehören aktivierte Kanäle, ausreichend große .evtx-Dateien, die notwendigen Rechte für die Gruppe "Event Log Readers" und eine Auditkonfiguration, die Sicherheitsereignisse vollständig erzeugt. Alle Vorgaben lassen sich per Gruppenrichtlinie umsetzen.

Synology Protokoll-Center

Zentrale Logfile-Analyse mit Synology NAS

Vorbereitung des Sammlungsservers

Ein Server fungiert als Sammlungsziel und benötigt den gestarteten Windows-Ereignissammlungsdienst. Nach dem Start des Diensts übernimmt die Ereignisanzeige die Verwaltung sämtlicher Abonnements. Zur Aktivierung des Dienstes erfolgt ein Klick auf "Abonnements" in der Windows-Ereignisanzeige (eventvwr.msc).

Der Sammlungsserver muss Kerberos nutzen können, den Netzwerkdienst in der lokalen Gruppe "Event Log Readers" enthalten und über eine funktionierende WinRM-Konfiguration verfügen. Der Befehl "winrm quickconfig" aktiviert die notwendigen Listener und Berechtigungen. Danach folgt "wecutil qc" zur Grundkonfiguration des Sammlungsdiensts.

Kerberos schützt die Verbindung zwischen Quellsystem und Sammlungsserver automatisch. Mit NTLM lässt sich die Authentifizierung zusätzlich erzwingen oder ausschließen. Falls Zertifikate genutzt werden sollen, stehen HTTPS-Abonnements mit beidseitiger Zertifikatsauthentifizierung zur Verfügung.

Bildergalerie

Bildergalerie mit 7 Bildern

Konfiguration der Quellserver

Quellserver benötigen eine Gruppenrichtlinie, die den SubscriptionManager aktiviert. Die typische Konfiguration setzt auf den Eintrag:

Hier identifiziert die Angabe den Sammlungsserver und das Intervall für die Abfrage nach neuen Abonnements. Nach Anwendung der Richtlinie melden sich die Server automatisch am Sammler. Wichtige Voraussetzungen sind:

• aktivierte Ereigniskanäle

• ausreichende Größe der .evtx-Dateien

• Mitgliedschaft des Netzwerkdiensts in "Event Log Readers"

• gestarteter WinRM-Dienst

• stabile Namensauflösung und funktionierende Authentifizierung

Wenn ein Server kein Ereignis liefert, zeigen die Kanäle "Windows Remote Management/Operational" und "Eventlog-ForwardingPlugin/Operational" die Ursache mit EventID 102, 103, 104 oder Fehlern wie Code 5004 an. Fehler behindern die Übertragung geschützter Logs, bis Berechtigungen korrigiert wurden.

Komplexe Protokolle mit natürlicher Sprache durchsuchen

Mit ChatGPT Protokolldateien und Firewall-Logs analysieren

Einrichtung eines Abonnements in der Ereignisanzeige

Die Ereignisanzeige stellt alle Optionen zur Erstellung zentraler Abonnements bereit. Nach Auswahl von "Abonnement erstellen" definieren Sie Name, Beschreibung und Zielprotokoll. Standardmäßig werden alle weitergeleiteten Ereignisse im Log "ForwardedEvents" abgelegt.

Anschließend wird "Quellcomputerinitiiert" ausgewählt. Die Quellsysteme lassen sich direkt aus Active Directory hinzufügen. Eine erfolgreiche Verbindung zeigt der Test-Button an. Danach folgt die Auswahl des Ereignisfilters. Abfragen basieren auf XPath-Strukturen, die sich in der Ereignisanzeige im XML-Modus anzeigen lassen.

Das Abonnement lässt sich über die Schaltfläche "Erweitert" präzisieren. Die Einstellungen bestimmen, wie der Sammler Ereignisse abruft:

• Normal: Pull-Modus, 5 Elemente pro Batch, 15 Minuten Timeout

• Bandbreite minimieren: Push-Modus, 6 Stunden Timeout

• Latenz minimieren: Push-Modus, 30 Sekunden Timeout

Im Unternehmensumfeld eignet sich "Normal" für allgemeine Systeme, während sicherheitsrelevante Systeme "Wartezeit minimieren" nutzen. Nach der Aktivierung erscheinen im Statusfenster die verbundenen Server. Kurz darauf treffen die ersten Ereignisse im Zielprotokoll ein.

Bildergalerie

Bildergalerie mit 7 Bildern

Sammeln sicherheitsrelevanter Ereignisse

Eine vollständige sicherheitsorientierte Protokollierung umfasst alle Signale, die Verdachtsmomente sichtbar machen. Dazu gehören:

• Anmeldeereignisse für interaktive, Netzwerk- und Dienstkonten

• Prozessstarts und Prozessbeendigungen

• AppLocker-Regeln für EXE, Skripte und moderne Anwendungen

• PowerShell-Befehlsblöcke, Remoting und Skriptausführung

• Registryänderungen

• Netzwerkfreigaben

• RDP-Verbindungsversuche

• Smartcard-Verifikation

• Änderungen der Systemzeit

• Zertifikatoperationen

• Sysmon-Ereignisse

Firewall, Verschlüsselung, SSH und Kernel-Hardening

10 Tipps für mehr Sicherheit auf Linux-Systemen

Das Zielabonnement erweitert diese Daten um tiefergehende Indikatoren, damit sich untypische Muster erkennen lassen. Dazu gehören DNS-Anfragen einzelner Prozesse, Credential-Validierungen, RADIUS-Logininformationen, CAPI-Aktivitäten und Anmeldungen über explizite Anmeldeinformationen.

Damit die Ereignisvolumina bewältigt werden, müssen Quellserver ausreichend große Puffer besitzen. Das geschieht über erhöhte Maximalgrößen der jeweiligen Kanäle, konfiguriert per Gruppenrichtlinie und dem Werkzeug "wevtutil". Die Konfiguration erfolgt direkt über Gruppenrichtlinien, die auf den Quellservern einen geplanten Task ausführen. Dieser Task ruft "wevtutil" mit den erforderlichen Parametern auf und setzt damit für jeden relevanten Kanal eine größere maximale Dateigröße sowie angepasste Kanalberechtigungen. Die Gruppe "Event Log" Readers erhält dadurch Lesezugriff auf geschützte Kanäle.

Bildergalerie

Bildergalerie mit 7 Bildern

Ein typischer GPO-Eintrag nutzt ein Skript oder eine geplante Aufgabe, die nacheinander mehrere Befehle ausführt. Für "Microsoft-Windows-CAPI2/Operational", "Microsoft-Windows-AppLocker/EXE and DLL" und "Microsoft-Windows-DriverFrameworks-UserMode/Operational" stehen passende Befehle bereit. Ein Beispiel zeigt die Struktur:

Die Ausführung dieser Befehle erhöht die maximale Größe der Protokolldateien auf dem Quellserver und stellt sicher, dass alle relevanten Ereignisse im lokalen Speicher verbleiben, bis der Sammler sie abruft. Die GPO setzt die Konfiguration beim nächsten Aktualisierungszyklus um, ohne weitere Eingriffe am Server.

Firewall, Malware-Schutz, LAPS und Updates zentral in Netzwerken steuern

Microsoft kündigt WSUS ab – Zeit für den Umstieg auf Intune?

Windows Admin Center als Oberfläche für Ereignisdaten

Windows Admin Center integriert eine eigene Ereignisanzeige, die Logs aus dem verwalteten Server direkt über den Browser sichtbar macht. Der Kanal "WindowsAdminCenter" auf jedem verwalteten Server enthält Ereignisse mit der EventID 4000. Diese Einträge dokumentieren exakt, welche Verwaltungsaktionen ein Administrator über das Windows Admin Center ausführt.

Jedes Ereignis enthält:

• PowerShell-Skriptname eines ausgeführten Skripts

• CIM-Operationen bei WMI-Zugriffen

• den Namen des ausgeführten Moduls

• Gatewayserver, über den der Zugriff erfolgte

• Benutzerkonto am Gateway

• Benutzerkonto am Zielserver

• Delegation true/false

• LAPS true/false

• hochgeladene Dateien, falls der Vorgang Uploads enthielt

Diese Daten dienen der Nachvollziehbarkeit administrativer Aktivitäten und ergänzen die über WEF gesammelten Ereignisse. Die Kombination aus Ereignisweiterleitung und WAC-Auditkanal liefert ein vollständiges Bild technischer und administrativer Ereignisse.

SMB-Sicherheit: signieren, verschlüsseln, alte Versionen blockieren

SMB-Datenverkehr im Netzwerk schützen – Verschlüsselung und mehr

Ereignisanzeige im Windows Admin Center lesen

Im Windows Admin Center kann man dazu zum jeweiligen Server navigieren und die Ansicht "Ereignisse" öffnen. Die Struktur entspricht der lokalen Ereignisanzeige, zeigt jedoch zusätzlich die kanalisierten Verwaltungsdaten. Über Filter lassen sich Protokolle, Schlüsselwortgruppen, Zeitraum und Schweregrad präzisieren.

Alle weitergeleiteten Ereignisse erscheinen in "ForwardedEvents", wenn der Server als Sammler fungiert. Die Ansicht lässt sich exportieren, durchsuchen und über PowerShell-Schaltflächen erweitern.

Erweiterte Szenarien mit Azure Arc und Log Analytics

Wenn Windows-Ereignisweiterleitung mit Azure-Arc-Agenten kombiniert wird, lassen sich Ereignisse zusätzlich an Log Analytics übertragen. Data Collection Rules ermöglichen die Definition beliebiger XPath-Abfragen, die Log Analytics oder Microsoft Sentinel nutzen kann. Dies erweitert die lokale Eventweiterleitung um Cloud-gestützte Langzeitanalysen und Threat-Hunting-Szenarien.

Data Collection Rules erfassen Logs aus lokalen Kanälen wie Application, System, Security oder benutzerdefinierten Events. Für zielgerichtete Abfragen lässt sich der XPath-Filter direkt aus der Ereignisanzeige übernehmen. Die Logs landen in der Tabelle "Event" oder als Sicherheitsereignisse in "SecurityEvent". Diese Funktion ergänzt, ersetzt aber nicht die klassische Ereignisweiterleitung, da WEF robust ohne Cloud-Abhängigkeit arbeitet.

Video-Tipp #61: Update-Management für Azure-VMs

Patchmanagement für Linux und Windows als Azure-VM

Fehleranalyse bei Ereignisweiterleitung

Bei Übertragungsfehlern liefern mehrere Stellen verlässliche Hinweise:

• Eventlog-ForwardingPlugin/Operational

• Windows Remote Management/Operational

• Zielprotokoll ForwardedEvents

• wevtutil-Diagnose

• Kerberos-Logpegel über Registry "LogLevel"

Typische Ursachen sind fehlende Berechtigungen, deaktivierte Kanäle, unzureichende Puffergrößen oder fehlerhafte SubscriptionManager-Konfigurationen. Code 5004 verweist oft auf fehlende Leserechte für Security- oder Sysmon-Kanäle. Ein einfacher Weg zur Lösung ist die Aufnahme des Netzwerkdiensts in "Event Log Readers".

Bildergalerie

Bildergalerie mit 7 Bildern

Archivierung und Rotation der weitergeleiteten Ereignisse

Auf dem Sammlungsserver steigt das Volumen der Ereignisse schnell. Um Daten nicht zu verlieren, sollten .evtx-Dateien vergrößert, Archivierung aktiviert und Protokolle bei Erreichen der Maximalgröße automatisch gesichert werden. Die Archivdateien liegen im Verzeichnis "C:\Windows\System32\winevt\Logs". Für produktive Systeme empfiehlt sich ein abgesetztes Volume und eine geplante Aufgabe, die ältere Archivdateien verschiebt.

Nutzung im Praxisbetrieb

Die Kombination aus Ereignisweiterleitung und Windows Admin Center bietet eine agentenfreie Verwaltung aller relevanten Ereignisdaten. Administratoren erkennen Angriffe durch verdächtige Anmeldeereignisse, PowerShell-Aktivitäten, unzulässige Registryänderungen, ungewöhnliche RDP-Verbindungen oder Prozessanomalien. Die WAC-Auditereignisse liefern Informationen über Bedienhandlungen und gestatten eine vollständige Rekonstruktion administrativer Aktionen. Parallel sorgen Azure Arc und Log Analytics für Langzeitaufbewahrung und erweitertes Threat-Hunting. Die Infrastruktur funktioniert auch ohne SIEM-System, eignet sich aber hervorragend, um große Security-Plattformen mit verlässlichen Datenquellen zu versorgen.

Neue Update-Technologie kommt für alle Server-Editionen

So funktioniert Hotpatching in Windows Server 2025

(ID:50704303)