TWWINLOG v１．０．０リリース

Windowsのイベントログの情報を集計してTWSNMPなどのsyslogサーバーへ送信するセンサーソフトTWWINLOGのお試し版v1.0.0をリリースしました。

Release 最初のリリース v1.0.0 · twsnmp/twwinlog

このバージョンでは、

- イベント数の集計
- イベントID別の集計
- ログオンに関する情報(4624, 4625, 4648, 4634, 4647)
- アカウントの変更に関する情報(4720,4722,4723,4724,4725,4726,4738,4740,4767,4781)
- 特権アクセスに関する情報(4672,4673)
- Kerberos認証に関する情報(4768,4769)
- スケジュールタスクに関する情報(4698)
- プロセスの起動、停止に関する情報(4688, 4689)
- ログオン失敗の通知(4625)
- Kerberosチケット要求失敗の通知(4768,4769)
- イベントログ消去の通知(1102)

の機能に対応しています。（）内は対応イベントIDです。
Windowsの標準の設定で出力されるイベントログもありますが、監査ポリシーを設定する必要があります。設定に関しては

JPCERT コーディネーションセンター ログを活用したActive Directoryに対する攻撃の検知と対策

の資料などを参考にしてください。
別のWindows　PCのイベントログをリモートで取得することができます。
１台のWindowsPCにインストールすれば、複数のサーバーやPCのログを取得できます。
このためのリモートPC側の設定に関しては

Wevtutil でリモートの Windows マシンのイベントログを取得する

を参考にしてください。