Мониторинг журнала событий Windows

Вы можете собирать данные из журнала событий Windows, применяя к событиям журнала, собранным операционной системой Windows, фильтры на основе типа, источника или ID событий. Агент будет сравнивать с заданным фильтром каждое новое событий в журнале событий, мониторинг которого производится. Если событие будет соответствовать одному из типов событий, источников событий или ID событий, заданных в фильтре, оно пройдет через фильтр.

Например, если фильтр журнала событий предназначается для журнала Приложение и в качестве типа события заданоОшибка, то агент будет направлять в журнал Приложение все события со значением типа события ошибка. Если вы добавите Diskeeper и Symantec AntiVirus в качестве источников событий, агент будет выбирать все события ошибок из каждого из этих источников. Чтобы еще больше уточнить фильтр, можно добавить в него конкретные ID событий. Никакой прямой связи между типом, источником и ID события не существует. Если одно из значений для каждого из этих критериев будет соответствовать событию, это будет рассматриваться как вхождение события.

По умолчанию обрабатываются только события, созданные после запуска агента. Однако при перезапуске агента можно разрешить ему обрабатывать события журнала, созданные в то время, когда агент был выключен. Информацию о том, как разрешить агенту обрабатывать события журнала, созданные в то время, когда агент был выключен, смотрите в описании шага 6.

Чтобы собирать данные из журнала событий Windows, выполните следующие действия:

1. На странице Начальный источник данных агента (Рис. 135) или на странице Расположение источника данных нажмите Записываемые в журнал данные в области Категории данных мониторинга.
   Рис. 135. Добавление журнала событий Windows

   
2. В области Источники данных нажмите кнопку Журнал событий Windows.
3. Щелкните по Далее.
4. На странице Журнал событий Windows (Рис. 136) выберите имя одного из журналов в списке Имя журнала событий Windows или введите имя нужного журнала событий.

   Этот список создается на основе набора журналов в текущей системе, например:

   • Программа
   • Защита
   • Система
   Рис. 136. Страница Журнал событий Windows

   
5. На странице Журнал событий Windows укажите, хотите ли вы применить к результатам фильтр на основе одного из следующих механизмов:
   • Фильтр по типам событий
   • Фильтр по источникам событий
   • Фильтр по идентификаторам событий
   Прим.:
   Нужно выбрать хотя бы один из этих критериев фильтра.
6. Если вы хотите, чтобы агент при перезапуске обрабатывал события журнала, созданные в то время, когда агент был выключен, то нажмите Параметры автономных событий (Рис. 137).
   Рис. 137. Окно Параметры закладки журнала событий Windows

   

   Выберите одну из следующих опций закладок:

   Прим.:
   Эти опции применяются ко всем отслеживаемым журналам событий Windows.
   • Не собирать автономные события: События, созданные в то время, когда агент был отключен, не обрабатываются. Это опция по умолчанию.
   • Собирать все автономные события: События, созданные в то время, когда агент был отключен, обрабатываются.
   • Задать пользовательские параметры сбора данных: Можно ввести значение для управления обработкой старых событий на основе времени и/или числа событий. Эта опция гарантирует, что сервер Tivoli Enterprise Monitoring Server не будет перегружен событиями при запуске агента.

     Например, если в поле Максимальное число собираемых событий задано 100, а в поле Ограничить сбор на основе интервала времени (в секундах) - 30, то будут обработаны либо последние 100 событий, созданных до запуска агента, либо все события, созданные за 30 секунд до запуска агента, в зависимости от того, какая переменная совпадет первой.

     Если вы укажете максимальное число собираемых событий, то будет добавлена переменная среды CDP_DP_EVENT_LOG_MAX_ BACKLOG_EVENTS. Если вы ограничите сбор данных на основе интервала времени, то будет добавлена переменная среды CDP_DP_EVENT_LOG_MAX_ BACKLOG_TIME. При добавлении любой из этих переменных (или обеих переменных) создается файл ИмяЖурналаСобытий_КодПродукта_ИмяЭкземпляра_ИмяПодузла.rst, который содержит запись последнего события, обработанного для журнала событий. Этот файл расположен в каталоге %CANDLE_HOME%\tmaitm6\logs и используется при перезапуске агента, чтобы обработать старые события, созданные в то время, когда агент был выключен.

7. Если вы хотите задать для источника данных глобальные опции, выберите Глобальные опции (Рис. 138).
   Рис. 138. Окно Глобальные опции источника данных Windows

   

   Включите переключатель Включить свойства удаленного конфигурирования Windows (если вы хотите включить эту опцию) и нажмите кнопку OK.

   Информацию о конфигурировании удаленного соединения с Windows для источников данных Windows смотрите в разделе Конфигурирование соединения с удаленной системой Windows.

8. Задав фильтр и нажав кнопку OK, на странице Журнал событий Windows выполните одно из следующих действий:
   1. Если вы используете Мастер по созданию агентов, нажмите кнопку Далее.

      --ИЛИ--

   2. Нажмите кнопку Готово, чтобы сохранить источник данных и открыть редактор агентов. Имя нового журнала событий Windows показано на странице Определение источника данных редактора агентов.
      Рис. 139. Страница Журнал событий Windows

      

Информацию о конфигурировании удаленного соединения с Windows для источников данных журнала событий Windows смотрите в разделе Конфигурирование соединения с удаленной системой Windows.

[ Начало страницы | Страница назад | Страница вперед ]