Erfassung und Überwachung von Windows-Ereignisprotokollen

Ähnlich den Schweregraden für Syslog-Meldungen gibt es auch für Windows-Ereignisprotokolle eine Klassifizierung, die den Schweregrad eines Ereignisses bestimmt. Microsoft beschreibt die folgenden fünf Windows-Ereignistypen:

Ein Ereignis, das auf ein schwerwiegendes Problem wie den Verlust von Daten oder Funktionalität hinweist. Beispiel: Wenn beim Systemstart ein Dienst nicht geladen werden kann, wird ein Ereignis vom Typ „Fehler“ protokolliert.

Ein Ereignis, das nicht unbedingt schwerwiegend ist, aber auf ein mögliches zukünftiges Problem hinweisen kann. Beispiel: Wenn nur noch wenig Speicherplatz frei ist, wird ein Ereignis vom Typ „Warnung“ protokolliert. Wenn die Funktion einer Anwendung nach einem Ereignis wiederhergestellt werden kann, ohne dass Funktionalität oder Daten verloren gegangen sind, wird das Ereignis normalerweise als Ereignis vom Typ „Warnung“ klassifiziert.

Ein Ereignis, das einen erfolgreichen Vorgang für eine Anwendung, einen Treiber oder einen Dienst beschreibt. Beispiel: Wenn ein Netzwerktreiber erfolgreich geladen wird, kann dies als Ereignis vom Typ „Information“ protokolliert werden. Der Start einer Desktopanwendung sollte nicht jedes Mal als Ereignis protokolliert wird.

Ein Ereignis, das einen erfolgreichen Versuch eines überwachten Sicherheitszugriffs aufzeichnet. Beispiel: Der erfolgreiche Versuch eines Benutzers, sich beim System anzumelden, wird als Ereignis vom Typ „Erfolgsüberwachung“ protokolliert.

Ein Ereignis, das einen fehlgeschlagenen Versuch eines überwachten Sicherheitszugriffs aufzeichnet. Beispiel: Der fehlgeschlagene Versuch eines Benutzers, auf ein Netzlaufwerk zuzugreifen, wird als Ereignis vom Typ „Fehlerüberwachung“ protokolliert.