傳統管理員需定時手動檢視事件記錄，難以在第一時間發現關鍵異常。Windows Server 2008 引入「將工作附加到此事件」功能，允許針對特定事件 ID 自動觸發郵件通知、啟動腳本或顯示訊息，構建主動式監控回路。本文完整示範從啟用稽核、建立觸發任務到任務計畫管理的全流程。

先決條件：啟用對應事件的稽核

事件檢視器只記錄已啟用稽核的事件。以「使用者帳戶被刪除」為例：

1. 開啟「本機安全性原則」(secpol.msc) →「安全性設定」→「本機原則」→「稽核原則」。
2. 雙擊「稽核帳戶管理」→ 勾選「成功」與「失敗」→ 確定。
3. 執行 gpupdate /force 立即生效。

一、 建立事件觸發任務

1. 開啟「事件檢視器」(eventvwr.msc) → 展開「Windows 記錄」→「安全性」。
2. 找到事件 ID 4726 (使用者帳戶被刪除) 的任一記錄 → 滑鼠右鍵 → 「將工作附加到此事件」。
3. 「建立基本工作精靈」：
   • 名稱：Alert_UserAccountDeleted，描述：偵測到帳戶刪除事件，立即郵件通知管理員。
   • 觸發條件：自動帶入「記錄: Security, 來源: Microsoft-Windows-Security-Auditing, 事件 ID: 4726」。
   • 動作：選擇「傳送電子郵件」→ 填寫 SMTP 伺服器、寄件者、收件者、主旨 (含事件描述)、內文 (可嵌入事件 XML)。或選「啟動程式」呼叫 PowerShell 腳本 (powershell.exe -File C:\Scripts\Alert-Admin.ps1) 執行更複雜邏輯 (如呼叫 Webhook、重設密碼、封鎖 IP)。
   • 完成精靈。

二、 管理現有觸發任務

1. 開啟「工作排程器」(taskschd.msc) → 左側展開「工作排程器程式庫」→「Microsoft」→「Windows」→「EventViewer Tasks」。
2. 右側列出所有由事件檢視器建立的觸發任務，可執行：

• 執行/結束/停用/啟用/刪除：右鍵選單操作。
• 屬性微調：「條件」索引標籤設定網路/電源條件；「設定」索引標籤調整重試間隔、執行逾時、強制停止等。
• 匯出/匯入：以 XML 匯出備份或部署至其他伺服器。

三、 進階應用場景

事件 ID	事件描述	建議觸發動作
4625 (多次)	登入失敗 (暴力破解)	PowerShell 腳本呼叫防火牆 API 封鎖來源 IP 15 分鐘
1102	安全性記錄被清除	立即郵件 + 簡訊告警，啟動法證腳本保全記錄
4732/4756	管理員群組新增成員	郵件通知資安團隊，要求 4 小時內複核
20274 (RAS)	VPN 連線失敗	記錄至資料庫供稽核報表使用
7036 (Service Control Manager)	關鍵服務意外停止 (如 MSSQL, IIS)	嘗試自動重啟服務，失敗則升級告警

四、 最佳實務提醒

• 避免對高頻事件 (如 4624 登入成功) 直接發送郵件，將導致郵件風暴；改用腳本彙總每小時寄送摘要。
• 觸發任務執行身分預設為「本機系統」，若需存取網路資源 (SMTP、檔案共享)，請在任務屬性「一般」索引標籤指定具網路權限的服務帳戶。
• 定期審視「工作排程器」→「作業中」與「歷程記錄」，確認任務確實執行且無錯誤。

透過事件觸發任務，Windows Server 2008 將被動日誌轉化為主動防禦觸角，讓管理員在「第一時間」掌握異常，是構建自動化運維體系的關鍵拼圖。