Перейти к основному содержимому
Certified-сборкаТребуется пакет advanced logging.

Advanced Logging

Advanced Logging — дополнение для Certified Builds. Оно превращает активность Windows Event Log в стабильный SIEM-поток в канале NVM for Windows/Operational.

Community Builds используют только Windows Native Logging (plaintext). Certified Builds уже пишут классические события в выделенный Operational-канал. Это дополнение добавляет структурированные EventName + JSON Payload, чтобы сборщики не парсили меняющийся plaintext Message.

Настройка сборщика и запросы — в руководстве SIEM.

Зачем включать​

С Advanced Logging из Event Log / SIEM можно отвечать на вопросы по парку:

  • Какие версии Node.js где работают, кто ставил или удалял, на каком хосте
  • Какой пакет назвал module-firewall allow (NVM4408) или deny (NVM4403) — в запрашиваемом Payload, не только факт allow/deny
  • Происхождение запуска сверх классического текста Event 120: структурированные parent_process, parent_pid, project_name и project_path в SIEM-записях (классическое Certified launch logging уже несёт эти поля, если они резолвятся; см. журналирование)
  • Какие флаги прав передал вызывающий, какие применила или сняла политика (permission_allow.*)
  • Обновления определений malware и блоки malware как записи Event Log (не только терминал)
  • Исчерпание сетевых дедлайнов (network.deadline_exceeded)
  • Когда политика блокирует lifecycle-скрипты package manager на install-class команде (package_manager.lifecycle_scripts_blocked)

Что есть только с этим дополнением​

Эти записи появляются в NVM for Windows/Operational как структурированные события (EventName, Payload, Code) только при лицензии Advanced Logging:

СобытиеКодПримечания
package_manager.lifecycle_scripts_blockedNVM4412Аудит, когда HKLM блокирует lifecycle-скрипты на install-class команде
network.deadline_exceededNVM4501Исчерпан бюджет catalog / mirror / download
malware.definitions_updatedNVM4601Успешное изменение malware.db
malware.package_blockedNVM4602Shim заблокировал пакет; без дополнения блок всё равно печатается в терминале

Allow/deny module firewall, сбои Node trust и похожие условия по-прежнему дают классический Code без дополнения. С Advanced Logging у них также появляются запрашиваемые EventName / Payload (например package_manager.install, firewall.*, node.security.*).

Полный список имён событий и стартовые запросы: SIEM. Каждое значение NVM####: Коды ошибок.

Что Certified Builds пишут и без дополнения​

Advanced Logging не нужен для:

АктивностьПоведение
Install / uninstall / default version / смена configКлассические события в NVM for Windows/Operational (Source, Message, Code). Для информационных system-change часто Code = 0
Каждый запуск node.exeEvent ID 120 nodejs.executed, когда включён log_executions
Вызов package managerEvent ID 120 package_manager.executed, когда включён log_executions (Certified Builds)

Классические события всегда содержат Code как UInt32, по которому можно фильтровать. В них нет EventName и Payload. Plaintext Message — для человека на устройстве. Текст может меняться с продуктом — не считайте его схемой SIEM.

Как выглядят структурированные события​

Каждое событие Advanced Logging несёт:

ПолеРоль
EventNameСтабильное имя для запросов (например nodejs.executed)
PayloadJSON-контекст (user, host, package, paths, …)
CodeNVM#### как UInt32 (EventData.Code)

Структурированные шаблоны используют Event ID 120 (info), 121 (warning) и 122 (error) в том же Operational-канале. Если в Event Viewer нет канала NVM for Windows/Operational, см. Windows Native Logging.