Glossar
Windows-Ereignisweiterleitung (WEF)
Integrierte Windows-Funktion, die ausgewählte Ereignisprotokolleinträge vieler Computer ohne Agent über WinRM an einen zentralen Collector sendet.
Die Windows-Ereignisweiterleitung (Windows Event Forwarding, WEF) sendet über das Protokoll WS-Management (WinRM) Ereignisse von Quellcomputern an einen oder mehrere Windows-Ereignissammler (Windows Event Collector). Administratoren legen auf dem Collector Abonnements an, die per XPath-Abfragen festlegen, welche Ereignisse gesammelt werden. Im verbreiteten quellcomputerinitiierten Modus verweist eine Gruppenrichtlinieneinstellung die Clients auf den Collector; diese rufen das Abonnement ab und senden passende Ereignisse in das Protokoll „Weitergeleitete Ereignisse“ (Forwarded Events), in einer Domäne per Kerberos authentifiziert. Auf den Endpunkten ist keine zusätzliche Software nötig, und Abonnements lassen sich eng filtern, um das Volumen beherrschbar zu halten.
Protokolle, die nur auf dem Host liegen, gehen verloren, wenn ein Angreifer sie löscht oder der Datenträger verschlüsselt wird, und lassen sich nicht rechnerübergreifend korrelieren. WEF bietet einen kostenlosen, skalierbaren Weg, Sicherheitsereignisse sowie PowerShell- und Sysmon-Protokolle zu zentralisieren; vom Collector aus wird oft ein SIEM gespeist. Dimensionieren Sie Collectors für das Ereignisvolumen, beschränken Sie Abonnements auf besonders aussagekräftige Ereignis-IDs und überwachen Sie Quellen, die keine Daten mehr liefern, denn Stille kann auf ein Problem oder eine Manipulation hindeuten.
Siehe Windows-Ereignisweiterleitung im großen Maßstab und Baseline für Überwachungsrichtlinie und Sysmon.