Schematischer Aufbau eines SIEM Systems.

win-eventstats
EventChannel Menge und Größe einfach bestimmen


Wer Windows-Endpunkte an ein SIEM wie Wazuh anbinden will, steht schnell vor einer einfachen Frage: Wie viele Events liegen auf dem System, und wie groß sind die Logdateien? Für so eine Abfrage erst ein PowerShell-Skript bereitzustellen, ist lästig. In vielen Kundenumgebungen ist die Ausführung von Skripten untersagt, und der Skriptcode lässt sich leicht verändern. Deshalb habe ich win-eventstats als kleine, eigenständige .exe entwickelt.


Was macht das Tool?


win-eventstats ist ein kleines, in Go geschriebenes Tool für Windows. Es zählt die aktuell gespeicherten Events pro Channel, sortiert die Channels absteigend nach Event-Anzahl und zeigt deren prozentualen Anteil. Sysmon wird separat nach Event-ID mit Name, Anzahl und prozentualem Anteil aufgeschlüsselt.


Die abschließende SUMMARY fasst die Event-Anzahlen und die Größen der lokalen Logdateien in MiB zusammen. Diese Übersicht liefert eine Grundlage für die Storage-Planung im Wazuh, insbesondere für die Dimensionierung des Wazuh Indexers.

Die wichtigsten Funktionen:

  • Windows Event Channels: Zeigt Event-Anzahl und prozentualen Anteil pro Channel. Die Channels mit den meisten Events stehen oben.
  • Sysmon im Detail: Listet Event-Namen, IDs und die Anzahl pro ID in einer eigenen Tabelle.
  • Gesamtübersicht: Zeigt die Gesamtzahl der gespeicherten Events und die Gesamtgröße der lokalen Eventlog-Dateien in MiB.
  • Keine Installation: Die .exe herunterladen, in einer administrativen Eingabeaufforderung starten und die Ausgabe direkt ablesen oder mit > report.txt in eine Datei umleiten.


Windows Event Channels, absteigend nach Event-Anzahl sortiert, mit prozentualem Anteil je Channel.
Sysmon-Events nach Event-ID mit Anzahl und prozentualem Anteil je ID. Darunter zeigt SUMMARY die Gesamtzahl aller erfassten Events und die Gesamtgröße der Logdateien in MiB.


Teil meiner neuen win-agent-toolbox

Die Anwendung win-eventstats ist das zweite Tool in meinem GitHub-Repository ' win-agent-toolbox '.


Download und Quellcode

Die kompilierte ' .exe '     inklusive der SHA256 und SHA512 Prüfsummen zur Verifikation steht ab sofort hier zur Verfügung. Wer die Binärdatei lieber selbst kompilieren möchte, findet den Quellcode und die entsprechende Build-Anleitung auf GitHub.


Rechtlicher Hinweis / Legal Disclaimer:

Dieses Tool ist ein unabhängiges Community-Projekt. Es steht in keiner rechtlichen oder geschäftlichen Verbindung zu Wazuh, Inc. und wird von Wazuh weder gesponsert noch offiziell unterstützt. "Wazuh" ist eine eingetragene Marke von Wazuh, Inc. Der Name wird hier ausschließlich beschreibend genutzt, um die Kompatibilität des Tools mit den entsprechenden Agenten-Logs zu verdeutlichen.


Meine Dienstleistungen für Sie: SIEM-Systeme, Systemhärtung und Compliance-Anforderungen


Als Wazuh-Experte und offizieller Wazuh Platinum Ambassador biete ich mit meinem Unternehmen Gray-Hat IT-Security Consulting professionelle Unterstützung bei der Implementierung von Wazuh SIEM in Ihrer IT-Infrastruktur an. Meine Expertise umfasst nicht nur die fachgerechte Etablierung eines SIEM-Systems, sondern auch die systematische Härtung Ihrer Server und Netzwerke, sodass selbst produktive Umgebungen optimal geschützt sind. Dabei berücksichtige ich wichtige Compliance-Anforderungen wie ISO 27001:2022 und NIS-2, um sicherzustellen, dass Ihre IT-Infrastruktur nicht nur sicher, sondern auch mit Ihrer Compliance bzw. ISMS konform sind.

Falls Sie ebenfalls Ihre Sicherheitslage mit Wazuh optimieren, Ihre Systeme härten oder spezifische Compliance-Anforderungen erfüllen möchten, unterstütze ich Sie gerne mit meiner Erfahrung und einem umfassenden Angebot an Lösungen.

Kontaktieren Sie mich