วิธีตั้งค่า Event Log บน Windows Server 2003 ให้เก็บได้ครบ 90 วัน

Windows Server: Event Log Solution เก็บ Log ครบ 90 วัน ง่าย ๆ ไม่ต้องจ่ายสักบาท



สืบเนื่องมาจากกระแสการเก็บ Logs ตาม พรบ กำลังมาแรง

บทความข้างล่างต่อไปนี้เป็นบทความที่ช่วยให้เราสามารถเก็บ Server LOG ไฟล์ได้ตาม พรบ โดยให้ windows มัน Auto ทำให้ ผมทดสอบพร้อมกับใช้งานจริงมาแล้ว Work ! ! ! ครับผม

หมายเหตุ * *�
1. โปรดพิจารณาในการเอาไปใช้ นะครับ บทความนี้เกิดจากประสบการณ์ของผมคนเดียว
2. การทำตามด้านล่างนี้มีความเสี่ยงด้านการแก้ไขระบบ ควรทำการ Backup ทุกอย่างของคุณไว้ก่อนเสมอก่อนที่จะทำตาม
3. การตั้งค่าแบบนี้เป็นการเก็บ Logs ตาม พรบ เฉพาะด้าน Logs ของ Server ไม่เกี่ยวกับ Traffic Logs แต่อย่างได

หลักการในการทำงานของ Solution ผมคือ

1 สั่ง audit ให้ระบบ server ทำการเก็บ log ให้พอเพียงกับที่ขอบเขตที่ พรบ ต้องการ
2 ทำการย้ายพื้นที่ในการเก็บ Log ของ windows ไม่ให้ไปกองไว้ที่เดียวกับ system drive (เนื่องจากเราต้องเก็บไว้อย่างน้อง 90 วันบางทีอาจจะทำให้ system drive เต็ม) ควรหา disk ที่ว่าง ๆ เอาไว้เพื่อการนี้โดยเฉพาะ
3. ปรับแต่งค่าใน Windows เพื่อให้มันทำการ auto backup ไว้เป็น archive ให้เรา
4 (Option) ตั้งค่าการ Backup ด้วย Windows Backup อีกรอบเก็บไว้ยัง Media อื่น ๆ

มาเริ่มกันเลยดีกว่าครับ (หากอ่านข้อความด้านล่างไม่เข้าใจ แนะนำให้ ๆ ๆ ย้อนกลับไปจุดเริ่มต้นทบทวนหลักการอีกรอบครับ)

1.ตั้ง Audit Policy ให้กับ Server เพื่อให้เก็บเหตุการณ์สำคัญ ๆ ที่เกิดขึ้นพอที่จะไปเป็นหลักฐานทางด้าน IT ได้

หาก Server เป็น Domain Controller ให้เปิด Domain controller Security



หากเป็น Server ธรรมดา ให้พิมพ์ command ที่ Run >> secpol.msc จะเจอหน้าตาเหมือนกันดังรูป



หน้าจอ Audit Policy สั่ง Audit Policy ให้เหมือนกับรุปที่อยู่ด้านล่าง



สั่งให้ computer ทำการเก็บ Logs files ไว้ที่ Harddisk ที่มีความจุเยอะ ๆ (ในที่นี้ใช้เป็น D:\)

วิธีทำ

- พิมพ์ command ที่ Run >> regedit,
- ที่ Registry HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Eventlog
คลิ๊กที่ subkey ต่าง ๆ ที่อยุ่ใน Event viewer เช่น Application.
- ด้านขวามือหาคำว่า File
- แก้ไข Path จัดเก็บให้เรียบร้อย (เป็น path ที่เรียกเต็ม ๆ เช่น d:\eventlogs\ appevent.evt)
- ทำซ้ำให้ครบทุก Event Viewer ที่ต้องการแก้ไข path หลัก ๆ ก็มีดังรุปที่อยู่ด้านล่าง
- สั่งรีสตาร์ทเครื่องเพื่อให้มีผล



4. หลังจากที่ ทำการ รีสตาร์ทเครื่องแล้วให้ไปเพิ่ม option เพื่อให้มันทำการ auto backup ให้เราครับ ทำโดยการแก้ไข registry ที่เดิมครับโดยจากเดิมเปลี่ยนที่ option “File” คราวนี้เรามาเปลี่ยน Option “AutoBackupLogFiles” จากค่า 0 ให้เป็น 1 ครับ



5.หลังจากนั้นให้รีสตาร์ทเครื่องอีกทีครับ

6.จากนั้นให้เรามาปรับแก้ไขค่า Default Size ของ Event Viewer ในแต่ละอันให้เหมาะสมจากรูป หาก Security Logs มันเต็มที่ 131 MB ระบบจะทำการ Auto Backup ออกมาเป็น ไฟล์ที่ขึ้นต้นด้วยคำว่า Archive-xxxxxxx เองโดยอัตโนมัติ

*** อย่าลืมตั้งค่า ติ๊กไว้ตรงช่อง Do not Over write (Clear Log Manual นะครับ) ตามรูปครับตามรูป





เพียงเท่านี้เราก็ไม่ต้องกังวลแล้วครับว่า Logs จะเต็มหรือถูกลบทิ้งไปเนื่องจากมันทำการ Archive ให้โดยอัตโนมัติที่เหลือก็คื่อทำการ zip ไว้หรือว่าทำการจัดเก็บลงเทปเพื่อความปลอดภัยอีกรอบ

ลองทำดูครับง่าย ๆ เพียงพอต่อความต้องการขององค์กรขนาดเล็ก-กลาง ครับไม่ต้องไปซื้อ Solution ให้เสียเวลา ทำเองแบบนี้พอเพียง เพียงพอแล้วขอรับ
มีข้อสงสัยเพิ่มเติม ติติงกันได้นะครับผม ขอบคุณครับ กำลังทะยอยเขียนอีก version นึงครับ รอสักครู่

7. เพิ่มเติมครับเพิ่มเติม หลังจากการตีความ พรบ ว่า Logs ไฟล์นั้น Administrator ห้ามแก้ไข ดังนั้นเราต้องไปเซ็ตค่าเพิ่มอีกนิดครับโดยการเข้าไปเซต Security Permission ของ Logs ที่เราแก้ไขค่าไป โดยทำการ Modify ให้ Administrator มีสิทธิ์แค่ Read ครับ แค่นี้ก็ยืนยันกับเจ้าหน้าที่ได้แล้วว่าเราไม่มีสิทธิ์ไปแก้ไขอะไร



ลองเอาไปใช้กันดูนะครับ

Reference: mvpskill.com

Windows Server 2003

ตระกูลของ Windows Server 2003 ประกอบด้วย
1. Windows Server 2003, Standard Edition เป็นระบบปฏิบัติการที่เหมาะกับธุรกิจที่ต้องการความรวดเร็ว และง่าย โดยใช้ในธุรกิจขนาดเล็ก หรือแผนก ซึ่งรองรับการให้บริการไฟล์ และเครื่องพิมพ์ รวมถึงการเชื่อมต่ออินเตอร์เน็ต โดยมีการรวมศูนย์ในการจัดขบวนของแอพพลิเคชั่น
2. Windows Server 2003, Enterprise Edition เป็นระบบปฏิบัติการที่สร้างให้เหมาะกับองค์กรขนาดต่างๆ โดยสามารถติดตั้งแอพพลิเคชั่นเช่น Web services, และพื้นฐานของโครงสร้างในองค์กร, รวมถึงมีความน่าเชื่อถือ, ประสิทธิภาพ, และความเหมาะสมกับธุรกิจอย่างที่สุด ซึ่งในฟังก์ชันการทำงานรองรับ CPU ได้ถึง 8 ตัว และจัดการหน่วยความจำได้ถึง 32 GB รวมถึงการออกแบบให้ทำงานกับเครื่อง Itanium-based ที่ทำงานบน 64 Bit รองรับการจัดการหน่วยความจำได้ถึง 64 GB
3. Windows Server 2003, Datacenter Edition เป็นการสร้างขึ้นเพื่องานของแอพพลิเคชั่นที่ทำงานอย่างต่อเนื่อง และมีขนาดใหญ่ ซึ่งรองรับการขยายขนาด และการทำงานได้สูงที่สุด รวมถึงมีความต้องการเครื่องที่มีศักยภาพสูงๆ ซึ่งรองรับได้ 32-way Symmetric multiprocessing (SMP) และจัดการหน่วยความจำถึง 64 GB มีการรองรับ Clustering ได้ถึง 8 โหนด และทำงานในการแบ่งโหลด ซึ่งในครื่อง 64 บิตรองรับได้ถึง 32 CPUs และ 128 GB
4. Windows Server 2003, Web Edition เป็นระบบปฏิบัติการที่เพิ่มใหม่ โดยหวังในเรื่องการสร้าง และการจัดการเกี่ยวกับเว็บแอพพลิเคชั่น เช่น Web pages, XML Web Services โดยได้ออกแบบบน Internet Information Server 6.0 Web Server ซึ่งทำงานในเรื่องของการให้บริการ XML Web Server และเทคโนโลยี่ ASP.NET ได้อย่างรวดเร็ว โดยคีย์ของการทำงานนี้อยู่บน .NET Framework