Windows Server 2008 內建「事件檢視器」整合「工作排程器」，支援「將工作附加到事件」。透過啟用安全性稽核、建立觸發事件、附加發送郵件/顯示訊息/啟動腳本的工作，即可實現無第三方工具的自我監控：偵測非法登入、關鍵服務停止、核心檔案異動等安全事件並即時通知管理員。
自我監控架構
- 啟用目標事件稽核（如「稽核登入事件」成功/失敗）。
- 手動觸發一次事件（如登出再登入）產生具體事件記錄（Event ID 4624/4625）。
- 事件檢視器 ► 右鍵該事件 ► 「將工作附加到此事件」。
- 設定工作動作：傳送電子郵件（需 SMTP 伺服器）、顯示訊息、啟動程式（如 PowerShell 腳本發送簡訊/寫入資料庫）。
- 之後同類事件再次發生，工作自動觸發，管理員即時收到告警。
實作範例：監控非法登入
secpol.msc ► 「本地原則」►「稽核原則」►「稽核登入事件」► 勾選「成功」與「失敗」。- 登出並重新登入，產生 Event ID 4624（成功登入）。
- 事件檢視器 ► 「Windows 記錄」►「安全性」► 找到 4624 ► 右鍵 ► 「將工作附加到此事件」。
- 命名工作 ► 動作選「傳送電子郵件」► 填寫 SMTP、收件者、主旨「偵測到登入事件」、內文包含事件詳細資訊。
- 完成。之後每次登入都會寄送通知郵件。
進階應用
- 監控服務停止：事件來源
Service Control Manager，Event ID 7036/7040。
- 監控核心檔案異動：啟用「稽核物件存取」，對關鍵資料夾設定 SACL，事件 ID 4663。
- 動作用 PowerShell：
Send-MailMessage、呼叫 Webhook、寫入資料庫、重新啟動服務等自動化回應。
優缺點評估
| 優點 | 缺點 |
|---|
| 無需第三方代理程式 | 郵件動作需本機 SMTP 或外部 Relay |
| 事件觸發即時、可靠 | 大量事件可能產生告警風暴，需調整觸發條件 |
| 整合系統原生工具，維護簡單 | 圖形化設定較繁瑣，大量部署建議用 PowerShell 批次建立 |
