Windows Server 2008 事件觸發器：讓關鍵事件自動通知管理員

Windows Server 2008 引入「事件觸發任務」，將事件記錄與工作排程器整合，關鍵事件發生時自動執行指定動作（顯示訊息、寄送郵件、啟動程式），免去人工輪詢日誌。

建立觸發任務完整流程

1. 啟用稽核：
   「本機安全性原則」→「稽核原則」→ 啟用「稽核帳號管理」（成功/失敗），使刪除帳號等動作產生事件。
2. 檢視事件：
   事件檢視器 → Windows 記錄 → 安全性 → 找到目標事件（如事件 ID 4726 刪除使用者帳號）。
3. 附加任務：
   右鍵事件 →「將工作附加到此事件」→ 命名 → 選擇觸發動作：

• 顯示訊息：本機彈窗（僅互動式登入有效）。
• 傳送電子郵件：需 SMTP 伺服器，填寫收件者、主旨、內文，可內嵌事件屬性。
• 啟動程式：執行腳本/可執行檔（如 powershell -file alert.ps1），可傳遞事件資料參數。

管理現有觸發任務

工作排程器 →「工作排程器程式庫」→「Microsoft」→「事件檢視器任務」，所有透過事件建立的任務皆在此。可編輯：

• 一般：執行帳號、最高權限、隱藏等。
• 觸發條件：新增/編輯/刪除觸發器，設定延遲、重複間隔、到期時間。
• 動作：修改執行程式、參數、啟動目錄。
• 條件/設定：網路/電源條件、執行逾時、重試等。

實戰範例：帳號被刪除即時郵件通知

1. 稽核「帳號管理」成功/失敗。
2. 事件檢視器找 ID 4726 → 附加任務 → 選「傳送電子郵件」。
3. 設定 SMTP、收件人（管理員群組）、主旨「[警示] 帳號被刪除」、內文包含 EventID、TargetUserName、SubjectUserName 等屬性。
4. 完成後，任一帳號被刪除，管理員即時收到郵件。

進階技巧

• 使用 wevtutil qe 查詢事件 XML，配合 PowerShell 解析豐富內容。
• 將觸發任務匯出為 XML，透過 GPO 推送至多台伺服器統一部署。
• 結合「自訂檢視」篩選多來源事件，單一任務處理多類關鍵事件。