当前位置：首页 > news >正文

PSWinReportingV2高级配置：自定义事件监控规则与报告模板终极指南

news 2026/7/20 18:45:50

PSWinReportingV2高级配置：自定义事件监控规则与报告模板终极指南

【免费下载链接】PSWinReportingThis PowerShell Module has multiple functionalities, but one of the signature features of this module is the ability to parse Security logs on Domain Controllers providing easy to use access to AD Events.项目地址: https://gitcode.com/gh_mirrors/ps/PSWinReporting

PSWinReportingV2 是一个强大的 PowerShell 模块，专门用于监控和分析 Windows 事件日志，特别是在 Active Directory 环境中。这个工具能够帮助管理员轻松追踪域控制器上的安全事件，提供详细的报告功能。本文将为您详细介绍如何自定义事件监控规则和创建个性化的报告模板，让您充分发挥 PSWinReportingV2 的潜力。

🎯 为什么需要自定义事件监控？

PSWinReportingV2 默认提供了许多预定义的事件监控规则，涵盖了常见的 Active Directory 操作。但在实际的企业环境中，每个组织都有独特的安全监控需求。通过自定义事件监控规则，您可以：

精准监控特定安全事件：只关注与您业务相关的事件
优化报告格式：按照您的管理习惯定制输出格式
提高监控效率：减少不必要的噪音，聚焦关键事件
满足合规要求：根据行业标准定制监控策略

📋 基础配置结构解析

在开始自定义之前，让我们先了解 PSWinReportingV2 的核心配置文件结构。主要配置文件位于 Examples/Reporting/RunMe-Reporting.ps1，包含三个主要部分：

1. 输出选项配置 (`$Options`)

这部分定义了报告的生成方式和格式：

HTML/Excel/CSV 输出：选择报告格式
邮件发送设置：配置自动邮件通知
SQL 数据库导出：将事件存储到数据库
日志记录设置：配置日志级别和存储位置

2. 监控目标配置 (`$Target`)

定义要监控的服务器和事件源：

域控制器监控：自动检测域控制器
特定服务器监控：监控指定的服务器
本地文件监控：分析已有的事件日志文件

3. 时间范围配置 (`$Times`)

设置报告的时间周期：

按小时报告：PastHour、CurrentHour
按天报告：PastDay、CurrentDay
按周报告：OnDay（指定星期几）
按月/季度报告：PastMonth、CurrentMonth、PastQuarter、CurrentQuarter
自定义时间范围：Last3days、Last7days、Last14days、Everything

🔧 自定义事件监控规则详解

创建自定义事件定义

PSWinReportingV2 允许您创建完全自定义的事件监控规则。让我们通过一个实际例子来学习如何配置：

$MyCustomReport = [ordered] @{ MyCustomSecurityEvents = @{ Enabled = $true Events = @{ Enabled = $true Events = 4624, 4625, 4634, 4648 # 登录成功、登录失败、注销、特权使用 LogName = 'Security' Filter = @{ 'LogonType' = '3', '10' # 网络登录和远程交互登录 } Fields = [ordered] @{ 'Computer' = '源计算机' 'IpAddress' = 'IP地址' 'TargetUserName' = '目标用户' 'LogonType' = '登录类型' 'Who' = '执行者' 'Date' = '时间' 'ID' = '事件ID' 'RecordID' = '记录ID' } Functions = @{ 'LogonType' = 'Convert-LogonType' } SortBy = 'Date' Descending = $true } } }

关键配置参数说明

1. 事件筛选 (`Events`和`Filter`)

Events：指定要监控的事件ID（如 4624 表示登录成功）
Filter：基于事件字段进行过滤，支持精确匹配

2. 字段映射 (`Fields`)

将原始事件字段映射到可读的报告字段：

Fields = [ordered] @{ 'Computer' = 'Domain Controller' 'Action' = '操作类型' 'ObjectAffected' = '受影响对象' 'Who' = '执行者' 'Date' = '发生时间' }

3. 数据处理函数 (`Functions`)

对字段值进行转换处理：

Functions = @{ 'ProfilePath' = 'Convert-UAC' 'OldUacValue' = 'Remove-WhiteSpace', 'Convert-UAC' 'UserAccountControl' = 'Remove-WhiteSpace', 'Split-OnSpace', 'Convert-UAC' }

4. 忽略规则 (`Ignore`和`IgnoreWords`)

排除不需要的事件：

Ignore = @{ SubjectUserName = "ANONYMOUS LOGON" } IgnoreWords = @{ 'Profile Path' = 'TEMP*' }

📊 高级报告模板定制

HTML 报告定制

PSWinReportingV2 提供了丰富的 HTML 报告定制选项：

AsHTML = @{ Enabled = $true OpenAsFile = $true Path = 'C:\Reports\SecurityEvents' FilePattern = 'Security-Report-<currentdate>.html' DateFormat = 'yyyy-MM-dd-HH_mm_ss' Formatting = @{ CompanyBranding = @{ Logo = 'https://yourcompany.com/logo.png' Width = '200' Link = 'https://yourcompany.com' } FontFamily = 'Calibri Light' FontSize = '9pt' Colors = @{ Red = 'removed', 'deleted', 'locked out', 'disabled' Blue = 'changed', 'changes', 'reset' Green = 'added', 'enabled', 'unlocked', 'created' } Styles = @{ B = 'status', 'Domain Admins', 'Enterprise Admins' U = 'status' } } }

动态 HTML 报告

启用交互式功能：

AsDynamicHTML = @{ Enabled = $true Title = '安全事件监控报告' Branding = @{ Logo = @{ Show = $true RightLogo = @{ ImageLink = 'company-logo.png' Width = '200' Link = 'https://yourcompany.com' } } } EmbedCSS = $false EmbedJS = $false }

Excel 和 CSV 输出

配置结构化数据输出：

AsExcel = @{ Enabled = $true Path = 'C:\Reports\ExportedEvents' FilePattern = 'Security-Events-<currentdate>.xlsx' } AsCSV = @{ Enabled = $true FilePattern = 'Security-Events-<currentdate>-<reportname>.csv' }

🚀 实战：创建自定义监控方案

案例1：监控敏感组变更

假设您需要监控 Domain Admins 和 Enterprise Admins 组的成员变更：

$SensitiveGroupMonitoring = [ordered] @{ SensitiveGroupChanges = @{ Enabled = $true Events = @{ Enabled = $true Events = 4728, 4729, 4732, 4733 # 组成员变更事件 LogName = 'Security' Filter = @{ 'TargetUserName' = 'Domain Admins', 'Enterprise Admins', 'Schema Admins' } Fields = [ordered] @{ 'Computer' = '域控制器' 'Action' = '操作' 'TargetUserName' = '组名' 'MemberNameWithoutCN' = '成员名称' 'Who' = '执行者' 'Date' = '时间' 'ID' = '事件ID' } SortBy = 'Date' Descending = $true } } }

案例2：监控文件服务器访问

监控特定文件服务器的访问事件：

$FileServerMonitoring = [ordered] @{ FileServerAccess = @{ Enabled = $true Events = @{ Enabled = $true Events = 4663 # 文件系统访问事件 LogName = 'Security' Filter = @{ 'ObjectServer' = 'Security' 'ObjectType' = 'File' } Fields = [ordered] @{ 'Computer' = '文件服务器' 'SubjectUserName' = '访问用户' 'ObjectName' = '访问文件' 'AccessMask' = '访问权限' 'ProcessName' = '进程名称' 'Who' = '执行者' 'Date' = '访问时间' } Functions = @{ 'AccessMask' = 'Convert-AccessMask' } } } }

🔌 集成与自动化

邮件通知配置

配置自动邮件发送功能：

SendMail = @{ Enabled = $true InlineHTML = $true Attach = @{ XLSX = $true CSV = $true DynamicHTML = $true HTML = $true } Parameters = @{ From = 'security-alerts@yourdomain.com' To = 'admin-team@yourdomain.com' CC = 'security-team@yourdomain.com' Server = 'smtp.yourdomain.com' Port = '587' Login = 'alerts@yourdomain.com' EnableSSL = 1 Subject = '[安全警报] 事件变更报告 <<DateFrom>> 到 <<DateTo>>' Priority = 'High' } }

SQL 数据库存储

将事件存储到 SQL 数据库：

AsSql = @{ Enabled = $true SqlServer = 'DBSERVER' SqlDatabase = 'SecurityEventsDB' SqlTable = 'dbo.SecurityEvents' SqlTableCreate = $true SqlTableMapping = [ordered] @{ 'Event ID' = 'EventID,[int]' 'Who' = 'EventWho' 'When' = 'EventWhen,[datetime]' 'Record ID' = 'EventRecordID,[bigint]' 'Domain Controller' = 'DomainController' 'Action' = 'Action' } }