Журнал системных событий windows server 2012 - Доктор Windows

Содержание

Просмотр системного журнала

Если в работе Windows 2012 появляется какая-то нестабильность, или появляются ошибки запускаустановки приложений, то это может быть связано с появлениями ошибок в самой операционной системе.

Все системные ошибки и предупреждения можно найти в «Журнале системы«.

В нем сохраняется информация о событиях, записываемых системными компонентами Windows.

Для просмотра и сохранения системного журнала нужно выполнить шаги:

Открыть «Пуск«:

Открыть «Панель управления«:

В «Панели управления» выбрать «Просмотр журналов событий«

В открывшемся окне выбрать «Просмотр событий» -> «Журналы Windows» -> «Система«

Экспорт журнала

Системный журнал в полном объеме можно выгрузить путем нажатия на ссылку «Сохранить все события как…«

После нажатия ссылки «Сохранить все события как…» нужно выбрать путь и имя файла для сохраняемого журнала.

При сохранении файла возможно появление окна «Отображение сведений«.

В данном окне нужно выбрать пункт «Отображать сведения для следуюших языков: Русский«

Готово

Источник

Не так давно, для успешного прохождения аудита на соответствие стандартам PCI DSS, потребовалось включить аудит событий Windows серверов и что самое главное — настроить отправку уведомлений о критичных событиях на E-mail. Для Linux серверов вопрос решается установкой и настройкой OSSEC (ну еще могут понадобиться syslog ws loganalyzer и auditd), для Windows Server 2012 R2 да еще и русской версии он не подошел (в последствии нам таки удалось его адекватно настроить, если будет интересно — смогу описать как). Так что решили искать другие способы…

Первым дело следует включить аудит всех необходимых операций (управление учетными записями и контроль целостности файлов) в доменной политике. И если с аудитом операций над объектами Active Directory все просто, то вот с аудитом файловых операций придется повозиться. Тут, как нельзя кстати, компания Netwrix (не сочтите за рекламу, — компания автор коммерческого софта для аудита) подготовила замечательную статью: «Настройка аудита файловых серверов: подробная инструкция и шпаргалка» (.pdf).

Но вернемся к нашим «костылям». После успешной активации аудита всех необходимых операций и обнаружения в журналах Windows интересующих нас событий, встал вопрос об их отправке на сервер мониторинга… Логично было бы воспользоваться встроенными инструментами («Attach Task To This Event» не самый информативный инструмент, зато «родной» для Windows), но тут всплывает первый любопытный и не приятный момент от Microsoft — «Send an email and Display a message are deprecated for from Windows Server 2012 and Windows 8».

Send an e-mail (deprecated)

…

Согласно рекомендациям от Microsoft, как замену встроенному «deprecated» функционалу решили использовать скрипты PowerShell для фильтрации журналов и отправки по E-mail, благо есть подробные инструкции:
«Аудит Active Directory средствами Powershell с оповещением об изменениях».
«Аудит удаления и доступа к файлам и запись событий в лог-файл средствами Powershell»
Но тут возникла сложность другого характера: приведенные выше скрипты отсылали на E-mail только заголовки (темы) событий, тело письма было пустым При всем при этом — если скрипт PowerShell запустить в PowerShell ISE «as Administrator», то приходит полное сообщение, как и было задумано!

пример скрипта отправки уведомления о событии ‘Заблокирован аккаунт’ — Event ID 4725:

$time =  (get-date) - (new-timespan -min 60)

$Subject = “Заблокирован аккаунт" 
$Theme = “Только что был заблокирован аккаунт” 
$Server = “smtp.server.local” 
$From = “AD@domain.local” 
$To = “support@domain.local” 
$encoding = [System.Text.Encoding]::UTF8

#Выбирается последнее произошедшее событие с таким ID.
$TimeSpan = new-TimeSpan -sec 1
foreach($event in $events)
{
    $PrevEvent = $Event.Запись
    $PrevEvent = $PrevEvent - 1
    $TimeEvent = $Event.TimeCreated
    $TimeEventEnd = $TimeEvent+$TimeSpan
    $TimeEventStart = $TimeEvent- (new-timespan -sec 1)

$Body=Get-WinEvent -maxevents 1 -FilterHashtable @{LogName=”Security”;ID=4725;StartTime=$TimeEventStart;} | Select TimeCreated,@{n=”Account Name”;e={([xml]$_.ToXml()).Event.EventData.Data | ? {$_.Name -eq “TargetUserName”} |%{$_.’#text’}}},@{n=”Computer”;e={([xml]$_.ToXml()).Event.EventData.Data | ? {$_.Name -eq “TargetDomainName”}| %{$_.’#text’}}} 
$body = $body -replace "@{" -replace "}" -replace "=", ": " -replace ";","`n" -replace "TimeCreated","Время события" -replace "^","`n" 
$BodyM = $Body
}
Send-MailMessage -From $From -To $To -SmtpServer $server -Body “$BodyM `n$Theme” -Subject $Subject -Encoding $encoding

В общем, если у вас есть реально рабочие скрипты для такого случая — милости прошу в комментарии.

Мы же перешли к другому способу (вдохновила вот эта статья: «Мониторинг и оповещение о событиях в журналах Windows: триггеры событий» и выручила эта утилита: sendEmail):

Добавляем в Task Scheduler задание по интересующему нас событию (прямо из журнала «Security» -> «Attach Task To This Event…«
В Actions указываем запуск скрипта, в котором с помощью утилиты wevtutil делаем выборку из журнала и сохраняем результат в файл.
пример скрипта — выборка событий с Event ID 4726
```
del c:Auditquery_ID4726.txt
wevtutil qe Security /q:"*[System[(EventID=4726)]]" /f:text /rd:true /c:1 > c:Auditquery_ID4726.txt
```
Вторым действием, с помощью утилиты sendEmail отправляем сохраненный файл по назначению:
пример аргументов для команды запуска sendEmail:
```
-f audit_AD@domain.local -s smtp.domain.local:25 -t support@domain.local -m "AD User Account Management - Event ID 426 - Account was Deleted" -a C:Auditquery_ID4726.txt
```

В результате должны получать что-то типа этого:

P.S. Спасибо всем авторам источников, указанных ранее!

Источник

Содержание

Просмотр системного журнала

Все системные ошибки и предупреждения можно найти в «Журнале системы«.

В нем сохраняется информация о событиях, записываемых системными компонентами Windows.

Для просмотра и сохранения системного журнала нужно выполнить шаги:

Открыть «Пуск«:

Открыть «Панель управления«:

В «Панели управления» выбрать «Просмотр журналов событий«

В открывшемся окне выбрать «Просмотр событий» -> «Журналы Windows» -> «Система«

Экспорт журнала

Системный журнал в полном объеме можно выгрузить путем нажатия на ссылку «Сохранить все события как…«

При сохранении файла возможно появление окна «Отображение сведений«.

В данном окне нужно выбрать пункт «Отображать сведения для следуюших языков: Русский«

Готово

Send an e-mail (deprecated)

…

пример скрипта отправки уведомления о событии ‘Заблокирован аккаунт’ — Event ID 4725:

$time =  (get-date) - (new-timespan -min 60)

$Subject = “Заблокирован аккаунт" 
$Theme = “Только что был заблокирован аккаунт” 
$Server = “smtp.server.local” 
$From = “AD@domain.local” 
$To = “support@domain.local” 
$encoding = [System.Text.Encoding]::UTF8

#Выбирается последнее произошедшее событие с таким ID.
$TimeSpan = new-TimeSpan -sec 1
foreach($event in $events)
{
    $PrevEvent = $Event.Запись
    $PrevEvent = $PrevEvent - 1
    $TimeEvent = $Event.TimeCreated
    $TimeEventEnd = $TimeEvent+$TimeSpan
    $TimeEventStart = $TimeEvent- (new-timespan -sec 1)

$Body=Get-WinEvent -maxevents 1 -FilterHashtable @{LogName=”Security”;ID=4725;StartTime=$TimeEventStart;} | Select TimeCreated,@{n=”Account Name”;e={([xml]$_.ToXml()).Event.EventData.Data | ? {$_.Name -eq “TargetUserName”} |%{$_.’#text’}}},@{n=”Computer”;e={([xml]$_.ToXml()).Event.EventData.Data | ? {$_.Name -eq “TargetDomainName”}| %{$_.’#text’}}} 
$body = $body -replace "@{" -replace "}" -replace "=", ": " -replace ";","`n" -replace "TimeCreated","Время события" -replace "^","`n" 
$BodyM = $Body
}
Send-MailMessage -From $From -To $To -SmtpServer $server -Body “$BodyM `n$Theme” -Subject $Subject -Encoding $encoding

В общем, если у вас есть реально рабочие скрипты для такого случая — милости прошу в комментарии.

Добавляем в Task Scheduler задание по интересующему нас событию (прямо из журнала «Security» -> «Attach Task To This Event…«
В Actions указываем запуск скрипта, в котором с помощью утилиты wevtutil делаем выборку из журнала и сохраняем результат в файл.
пример скрипта — выборка событий с Event ID 4726
```
del c:Auditquery_ID4726.txt
wevtutil qe Security /q:"*[System[(EventID=4726)]]" /f:text /rd:true /c:1 > c:Auditquery_ID4726.txt
```
Вторым действием, с помощью утилиты sendEmail отправляем сохраненный файл по назначению:
пример аргументов для команды запуска sendEmail:
```
-f audit_AD@domain.local -s smtp.domain.local:25 -t support@domain.local -m "AD User Account Management - Event ID 426 - Account was Deleted" -a C:Auditquery_ID4726.txt
```

В результате должны получать что-то типа этого:

P.S. Спасибо всем авторам источников, указанных ранее!

Иногда бывает необходимо понять кто удалил/изменил/переименовал конкретный файл или папку. В ОС Windows для этого используется аудит доступа к объектам.

Аудит это запись в специальные журналы информации об определенных событиях (источник, код события, успешность, объект и т.д. ). Объектом аудита может являться как любой файл или папка, так и определенное событие, например вход в систему или выход из нее, то есть можно записывать все события происходящие с конкретным файлом или папкой — чтение, запись, удаление и т.д., можно события входа в систему и т.д.

Необходимо понимать, что аудит забирает на себя.

Для того, чтобы можно было настраивать аудит файлов и папок необходимо предварительно включить эту возможность через локальные (или в случае если у Вас используется Microsoft AD групповые) политики безопасности.

В случае локальных политик необходимо запустить оснастку “Локальная политика безопасности”, для этого необходимо нажать комбинацию клавиш Win+R, в открывшееся поле ввести secpol.msc и нажать клавишу Enter.

В открывшейся оснастке в дереве слева необходимо перейти в раздел “Локальные политики” — “Политика аудита”.

Далее необходимо выбрать необходимую нам политику — в данном случае это “Аудит доступа к объектам”. Именно этой политикой регулируется доступ к объектам файловой системы (файлам и папкам) и раскрыть ее двойным щелчком мыши. В открывшемся окне необходимо выбрать какие именно типы событий будут регистрироваться — “Успех” (разрешение на операцию получено) и/или “Отказ” — запрет операции и проставить соответствующие галочки, после чего нажать “Ок”.

Теперь когда включена возможность ведения аудита интересующих нас событий и их тип можно переходить к настройке самих объектов — в нашем случае файлов и папок.

Для этого необходимо открыть свойства файла или папки, перейти на вкладку “Безопасность”, нажать “Дополнительно” и “Аудит”.

Нажимаем “Добавить” и начинаем настраивать аудит.

Сначала выбираем субъект — это чьи действия будут аудироваться (записываться в журнал аудита).

Можно вписать туда имя пользователя или группы, если имя заранее неизвестно, то можно воспользоваться кнопкой “Дополнительно” которая открывает форму поиска где можно выбрать интересующих нас пользователей и группы. Чтобы контролировались действия всех пользователей необходимо выбрать группу “Все”.

Далее необходимо настроить тип аудируемых событий (Успех, Отказ, Все), также область область применения для аудита папок — только эта папка, папка с подпапками, только подпапки. только файлы и т.д., а также сами события аудита.

Для папок поля такие:

А такие для файлов:

После этого начнется сбор данных аудита. Все события аудита пишутся в журнал “Безопасность”. Открыть его проще всего через оснастку “Управление компьютером” compmgmt.msc.

В дереве слева выбрать “Просмотр событий” — “Журналы Windows” — “Безопасность”.

Каждое событие ОС Windows имеет свой код события. Список событий достаточно обширен и доступен на сайте Microsoft либо в интернете.

Попробуем например найти событие удаления файла, для этого удалим файл на котором предварительно настроен аудит (если это не тестовые файл, то не забываем сделать его копию, так как аудит это всего лишь информация о действиях, а не разрешение/запрет этих действий). Нам нужно событие с кодом 4663 — получение доступа к объекту, у которого в поле Операции доступа Написано “DELETE” . Поиск событий в журналах Windows достаточно сложен, поэтому обычно используются специализированные средства анализа — системы мониторинга, скрипты и т.д.

Вручную можно, например, задать например такой фильтр:

Далее в отфильтрованных событиях необходимо найти интересующее нас по имени объекта.

Открыть его двойным щелчком мыши и увидеть кто удалил данный файл в поле субъект.

С помощью аудита событий доступа к объектам файловой системы вы можете определить конкретного пользователя, который создал, удалил или изменил определенный файл. В этой статье мы покажем, как настроить аудит событий удаления объектов в общей сетевой папке на Windows Server 2016. После настройки аудита, вы можете с помощью информации в журнале событий найти пользователя, который удалил на файловом сервере.

При удалении файла из сетевой папки, он удаляется сразу, а не отправляется в корзину пользователя. Список открытых по сети файлов в сетевой папке можно получить так.

Содержание:

Включаем политику аудита доступа к файлам и папкам в Windows
Настройка аудита событий удаления файлов из конкретной папки
Запись событий удаления файлов в SQL базу (MySQL/MSSQL)
Запись информации о событиях удаления файлов в текстовый файл

По умолчанию в Windows Server не включен аудит событий доступа к объектам на файловой системе. Вы можете включить и настроить аудит событий с помощью групповой политики. Если нужно включить политики аудита на нескольких серверах или компьютера, можно использовать доменные GPO (настраиваются с помощью консоли управления gpmc.msc). Если нужно настроить аудит только на одном сервере, можно воспользоваться локальной групповой политикой.

Запустите консоль редактора локальной политики –
gpedit.msc
;
Перейдитевраздел GPO срасширенными политиками аудита Windows Settings -> Security Settings -> Advanced Audit Policy Configuration -> Object Access;
Откройте политику Audit File System и укажите, что вы хотите сохранять в журнал только успешные события доступа к объектам файловой системы (Configure the following audit events -> Success);
Также можно включить аудит доступа к локальным объектам с помощью политики Audit Object Access в разделе Windows Settings -> Security Settings -> Local Policy -> Audit Policy. Однако использование политики Audit File System предпочтительнее, поскольку она отслеживает только события NTFS.
Сохраните изменения и обновите настройки локальной групповой политики с помощью команды
gpupdate /force
.

Настройка аудита событий удаления файлов из конкретной папки

Теперь нужно настроить аудит в свойствах общей сетевой папки, доступ к которой вы хотите отслеживать. Запустите проводник и откройте свойства общей папки. Перейдите на вкладку Security. Нажмите кнопку Advanced -> вкладка Auditing.

Если появится сообщение You must be an administrator or have been given the appropriate privileges to view the audit properties of this object, нажмите кнопку Continue.

Затем нажмите кнопку Add чтобы указать пользователя или группу, для которых нужно записывать все события аудита. Если вы хотите отслеживать события для всех пользователей, укажите группу Everyone.

Затем нужно указать использование каких разрешений доступа к объекту нужно записывать в лог. Чтобы сохранять в Event Log только события удаления файлов, нажмите кнопку Show advanced permissions. В списке событий оставьте аудит только для событий удаления папок и файлов — Delete и Delete subfolders and files.

Совет. Включение аудита доступа к объектам Windows накладывает дополнительные расходы на ресурсы системы. Всегда старайтесь минимизировать количество объектов и событий аудита, которые нужно отслеживать.

Совет. Вы можете настроить аудит удаления файлов в папке с помощью через PowerShell:

$Path = "D:Public" $AuditChangesRules = New-Object System.Security.AccessControl.FileSystemAuditRule('Everyone', 'Delete,DeleteSubdirectoriesAndFiles', 'none', 'none', 'Success') $Acl = Get-Acl -Path $Path $Acl.AddAuditRule($AuditChangesRules) Set-Acl -Path $Path -AclObject $Acl

Теперь, если пользователь удалит любой файл или папку в сетевой папке, в журнале безопасности системы появляется событие File System -> Audit Succes c Event ID 4663 от источника Microsoft Windows security auditing.

Откройте mmc консоль Event Viewer (
eventvwr.msc
), разверните секцию Windows Logs -> Security. Включите фильтр событий по EventID 4663.

Откройте любой их оставшихся событий в Event Viewer. Как вы видите, в нем есть информация об имени удаленного файла и учетной записи пользователя, который удалил файл.

An attempt was made to access an object.
Subject:
Security ID:                            CORPaaivanov
Account Name:                     aaivanov
Account Domain:                  CORP
Logon ID:                               0x61B71716
Object:
Object Server:                        Security
Object Type:                          File
Object Name:                        E:DistrBackup.rar
Handle ID:                              0x7bc4
Resource Attributes:            S:AI
Process Information:
Process ID:                             0x4
Process Name:
Access Request Information:
Accesses:                               DELETE
Access Mask:                         0x10000

После настройки аудита, найдите в журнале Security вы сможете найти с:

Кто и когда удалил файл в сетевой папке;
Из какого приложения удален файл;
На какой момент времени нужно восстанавливать бэкап данного каталога.

Запись событий удаления файлов в SQL базу (MySQL/MSSQL)

Если после включения аудита удаления файлов в сетевой папке, вы видите в журнале много событий, найти что-то в логах бывает проблематично. Во-первых, найти нужную запись среди тысячи событий довольно сложно (в Windows отсутствуют вменяемые средства поиска интересующего события с возможностью гибкой фильтрации), а во-вторых, если файл был удален давно, это событие может просто отсутствовать в журнале, т.к. было перезатерто более новыми.

Вы можете записывать все нужные событий в отдельную SQL базу данных. Для хранения событий можно использовать Microsoft SQL Server, Elasticsearch или MySQL/MariaDB.

В этом примере мы покажем, как записывать события аудита в отдельную таблицу БД на сервере MySQL. Формат таблицы:

Имя сервера;
Имя удаленного файла
Время удаления;
Имя пользователя, удалившего файл.

MySQL запрос на создание такой таблицы будет выглядеть так:

CREATE TABLE track_del (id INT NOT NULL AUTO_INCREMENT, server VARCHAR(100), file_name VARCHAR(255), dt_time DATETIME, user_name VARCHAR(100), PRIMARY KEY (ID));

Для получения событий с EventID 4663 из журнала Security за текущий день можно использовать такой PowerShell скрипт:

$today = get-date -DisplayHint date -UFormat %Y-%m-%d Get-WinEvent -FilterHashTable @{LogName="Security";starttime="$today";id=4663} | Foreach { $event = [xml]$_.ToXml() if($event) { $Time = Get-Date $_.TimeCreated -UFormat "%Y-%m-%d %H:%M:%S" $File = $event.Event.EventData.Data[6]."#text" $User = $event.Event.EventData.Data[1]."#text" $Computer = $event.Event.System.computer } }

Следующий PowerShell скрипт запишет полученные данные в БД MySQL на удаленном сервере:

Set-ExecutionPolicy RemoteSigned Add-Type –Path ‘C:Program Files (x86)MySQLMySQL Connector Net 6.9.8Assembliesv4.5MySql.Data.dll' $Connection = [MySql.Data.MySqlClient.MySqlConnection]@{ConnectionString='server=10.7.7.13;uid=posh;[email protected];database=aduser'} $Connection.Open() $sql = New-Object MySql.Data.MySqlClient.MySqlCommand $sql.Connection = $Connection $today = get-date -DisplayHint date -UFormat %Y-%m-%d Get-WinEvent -FilterHashTable @{LogName="Security";starttime="$today";id=4663} | Foreach { $event = [xml]$_.ToXml() if($event) { $Time = Get-Date $_.TimeCreated -UFormat "%Y-%m-%d %H:%M:%S" $File = $event.Event.EventData.Data[6]."#text"

$File = $File.Replace(‘’,’|’) $User = $event.Event.EventData.Data[1]."#text" $Computer = $event.Event.System.computer $sql.CommandText = "INSERT INTO track_del (server,file_name,dt_time,user_name ) VALUES ('$Computer','$File','$Time','$User')" $sql.ExecuteNonQuery() } } $Reader.Close() $Connection.Close()

После сохранения событий во внешнюю базу данных, этот журнал можно очистить.

Теперь, чтобы узнать, кто удалил файл «document1 — Copy.DOC». Достаточно в консоли PowerShell выполнить следующий скрипт.

$DeletedFile = "%document1 - Copy.DOC%" Set-ExecutionPolicy RemoteSigned Add-Type –Path ‘C:Program Files (x86)MySQLMySQL Connector Net 6.9.8Assembliesv4.5MySql.Data.dll' $Connection = [MySql.Data.MySqlClient.MySqlConnection]@{ConnectionString='server=10.7.7.13;uid=posh;[email protected];database=aduser'} $Connection.Open() $MYSQLCommand = New-Object MySql.Data.MySqlClient.MySqlCommand $MYSQLDataAdapter = New-Object MySql.Data.MySqlClient.MySqlDataAdapter $MYSQLDataSet = New-Object System.Data.DataSet $MYSQLCommand.Connection=$Connection $MYSQLCommand.CommandText="SELECT user_name,dt_time from track_del where file_name LIKE '$DeletedFile'" $MYSQLDataAdapter.SelectCommand=$MYSQLCommand $NumberOfDataSets=$MYSQLDataAdapter.Fill($MYSQLDataSet, "data") foreach($DataSet in $MYSQLDataSet.tables[0]) { write-host "User:" $DataSet.user_name "at:" $DataSet.dt_time } $Connection.Close()

В результате в консоли PS появится имя пользователя и время удаления файла.

Примечание. Была обнаружена проблема — символ «» не записывается в БД, поэтому мы заменили его на «|». Соответственно если нужно вывести полный путь к файлу, при выборке из базы можно выполнить обратную замену:
$DataSet.file_name.Replace(‘|’,’’)
. Спасибо Alex Kornev за замечание!

Скрипт сброса данных из журнала в БД можно выполнять один раз в конце дня по планировщику или повесить триггер на событие удаления (On Event), что более ресурсоемко. Все зависит от требования к системе.

Совет. Нужно убедиться, что вы указали достаточно большой максимальный размер для журнала безопасности, чтобы в него помещались все события за день. Иначе придется запускать задания сброса данных из журнала в базу чаще, чем 1 раз в день, или вообще по триггеру. Для рабочих станция Maximum Log Size как правило стоит задать не менее 64 Мб, на северах – 262 Мб. Опцию перезаписи старых событий нужно оставить включенной (Overwrite events as needed).

Можно создать реагировать простую веб страницу на php для получения информации о событиях удаления файлов в более удобном виде. Задача решается силами любого php программиста за 1-2 часа.

Важный совет. При наличии в журнале информации об удалении файла пользователем не спешите однозначно интерпретировать его как преднамеренное или даже злонамеренное. Многие программы (особенно этим грешат программы пакета MS Office), при сохранении изменений, сначала создается временный файл, данные записываются в него, а старая версия файла удаляется. В этом случае имеет смысл дополнительной записи в БД имени процесса, которым было выполнено удаление файла (поле ProcessName события), и вести анализ событий удаления файлов с учетом этого факта. Либо можно фильтровать события от некоторых процессов, например, winword.exe, excel.exe и пр.

Запись информации о событиях удаления файлов в текстовый файл

Если вы не хотите вести отдельную БД, можно сохранять события аудита удалений файлов в текстовый лог файл. Воспользуйтесь таким PowerShell скриптом:

$Outfile = "C:psdelete-file-log.txt" $today = get-date -DisplayHint date -UFormat %Y-%m-%d Get-WinEvent -FilterHashTable @{LogName="Security";starttime="$today";id=4663} | Foreach { $event = [xml]$_.ToXml() if($event) { $Time = Get-Date $_.TimeCreated -UFormat "%Y-%m-%d %H:%M:%S" $File = $event.Event.EventData.Data[6]."#text" $User = $event.Event.EventData.Data[1]."#text" $strLog = $Computer + " " + $File + " " + $Time + " " + $User $strLog | out-file $Outfile –append } }

[/alert]

Итак, мы предложили идею и некий общий каркас системы аудита и хранения информации об удаленных файлах в сетевых шарах, при желании ее с лёгкостью можно будет модифицировать под ваши нужды.

Операционная система Windows, системные службы и приложения записывают события и ошибки в системные журналы, чтобы в дальнейшем у системного администратора была возможность проверки операционной системы и диагностики проблем.

Получить доступ к этим записям можно через встроенное приложение Просмотр событий (Event Viewer). Есть несколько вариантов запуска данного приложения:

через меню Пуск – Средства администрирования Windows – >Просмотр событий (Start – Windows Administrative Tools – Event Viewer);
в командной строке или в окне Выполнить набрать eventvwr.msc:

Скриншот №1. Запуск Просмотра событий (Event Viewer) через командную строку

В Диспетчере серверов в разделе Средства выбрать Просмотр событий (Server Manager – Tools – Event Viewer):

Скриншот №2. Запуск Просмотра событий (Event Viewer) через Диспетчер серверов

Описание интерфейса программы

Окно программы состоит из следующих компонентов:

Скриншот №3. Интерфейс программы

Панель навигации позволяет выбрать конкретный журнал, записи которого необходимо просмотреть;
Список событий, содержащийся в выбранном журнале. В колонках выведена базовая информация о событии. Их можно отсортировать по датам, типам, категориям событий и т.д.;
Детальная информация о выбранном во второй панели событии. Также детальную информацию можно открыть в отдельном окне, если кликнуть по нужному событию два раза;
Панель быстрых действий, которые можно совершить с данным журналом или событием. Действия также доступны в контекстном меню (клик правой кнопкой мыши по журналу или событию).

Для удобства просмотра и управления системные журналы разбиты по категориям:

Приложения (Application) – как и гласит название, содержит события и ошибки приложений;
Безопасность (Security) – если в операционной системе включена и настроена функция аудита, журнал будет содержать записи, связанные с отслеживанием соответствующих событий (например, авторизация пользователя или попытки неудачного входа в операционную систему);
Система (System) – здесь регистрируются события операционной системы и системных сервисов;
Установка (Setup) – события, связанные с инсталляцией обновлений Windows, дополнительных приложений.

В разделе Журналы приложений и служб (Applications and Services Logs) можно найти более детальную информацию о событиях отдельных служб и приложений, зарегистрированных в операционной системе, что бывает полезно при диагностике проблем в работе отдельных сервисов.

Сами события также разделяются на типы:

Сведения (Information) — информируют о штатной работе приложений.
Предупреждение (Warning) — событие, свидетельствующее о возможных проблемах в будущем (например, заканчивается свободное место на диске – приложения могут продолжать работу в штатном режиме, но когда место закончится совсем, работа будет невозможна).
Ошибка (Error) — проблема, ведущая к деградации приложения или службы, потерям данных.
Критическое (Critical) — значительная проблема, ведущая к неработоспособности приложения или службы.
Аудит успеха (Success audit) — событие журнала Безопасность (Security), обозначающее успешно осуществленное действие, для которого включено отслеживание (например, успешный вход в систему).
Аудит отказа (Failure audit) — событие журнала Безопасность (Security) обозначающее безуспешную попытку осуществить действие, для которого включено отслеживание (например, ошибка входа в систему).

Работа с журналами

Службы и приложения могут генерировать огромное количество самых разнообразных событий. Для простоты доступа к нужным записям журнала можно использовать функцию фильтрации журнала:

Скриншот №4. Фильтрация журнала

Правый клик по журналу – Фильтр текущего журнала… (>Filter Current Log…), либо выбрать данную функцию в панели быстрых действий. Открывшееся окно позволяет настроить фильтр и отобразить только те события, которые необходимы в данный момент:

Скриншот №5. Настройки фильтра

Можно задать временной период, уровни события, выбрать журналы и конкретные источники событий. Если известны коды событий, которые нужно включить или исключить из фильтра, их также можно указать.

Когда необходимость в фильтрации событий отпадет, ее можно отключить действием Очистить фильтр (Clear Filter):

Скриншот №6. Очистка фильтра

Приложение Просмотр событий (Event Viewer) позволяет также настроить дополнительные свойства журналов. Доступ к настройкам можно получить через панель быстрых действий, либо через контекстное меню журнала – правый клик по журналу – Свойства (Properties):

Скриншот №7. Свойства журналов

В открывшемся окне настроек можно увидеть путь, по которому сохраняется файл журнала, текущий размер, а также можно задать максимальный размер файла:

Скриншот №8. Характеристики файла журнала

В нижней части окна можно выбрать вариант действия при достижении журналом максимального значения:

Переписывать события при необходимости (Overwrite events as needed) – новое событие будет записываться поверх самого старого события в журнале, таким образом будут доступны события только за определенный диапазон времени.
Архивировать журнал при заполнении (Overwrite the log when full) – заполненный журнал будет сохранен, последующие события будут записываться в новый файл журнала. При необходимости доступа к старым событиям, архивный файл можно будет открыть в приложении Просмотр событий (Event Viewer).
Не переписывать события (Do not overwrite events) – при заполнении журнала выдается системное сообщение о необходимости очистить журнал, старые события не перезаписываются.

Аverage rating : 5

Оценок: 1

191028
Санкт-Петербург
Литейный пр., д. 26, Лит. А

+7 (812) 403-06-99

700
300

ООО «ИТГЛОБАЛКОМ ЛАБС»

191028
Санкт-Петербург
Литейный пр., д. 26, Лит. А

+7 (812) 403-06-99

700
300

ООО «ИТГЛОБАЛКОМ ЛАБС»

700
300

Потихоньку все глубже и глубже осваиваю MS Windows 2012. Пускай будет здесь — полезно знать и помнить.

Узнать кто перезагружал систему server 2012
Event Viewer -> Windows Logs -> System (Filter Current Log)
Event id 1074

Event id 6008 — Не штатное выключение сервера. (либо отключали электричество, либо перезагрузили через ilo)

Event id 26 — Сервер выключил УПС по истечении 20 минут. Application popup: System Shutdown

Event id 1076 Выключение системы

Event id 4478 Кто заходит на сервер с помощью RDP

Узнать кто успешно залогинился на сервере Windows Server 2008
Event id 1149

Узнать кто изменял пароль на учетную запись — Event id 4738
Параметр Password Last Set — отмечает дату когда был изменен пароль для учетной записи.
Level: Information

Контроллеры доменов

Event ID — (Категория) — Описание

1) 675 или 4771
(Аудит событий входа в систему)
Событие 675/4771 на контроллере домена указывает на неудачную попытку войти через Kerberos на рабочей станции с доменной учетной записью. Обычно причиной этого является несоответствующий пароль, но код ошибки указывает, почему именно аутентификация была неудачной. Таблица кодов ошибок Kerberos приведена ниже.

2) 676, или Failed 672 или 4768
(Аудит событий входа в систему)
Событие 676/4768 логгируется для других типов неудачной аутентификации. Таблица кодов Kerberos приведена ниже.
ВНИМАНИЕ: В Windows 2003 Server событие отказа записывается как 672 вместо 676.

3) 681 или Failed 680 или 4776
(Аудит событий входа в систему)
Событие 681/4776 на контроллере домена указывает на неудачную попытку входа в систему через
NTLM с доменной учетной записью. Код ошибки указывает, почему именно аутентификация была неудачной.
Коды ошибок NTLM приведены ниже.
ВНИМАНИЕ: В Windows 2003 Server событие отказа записывается как 680 вместо 681.

4) 642 или 4738
(Аудит управления учетными записями)
Событие 642/4738 указывает на изменения в указанной учетной записи, такие как сброс пароля или активация деактивированной до этого учетной записи. Описание события уточняется в соответствие с типом изменения.

5) 632 или 4728; 636 или 4732; 660 или 4756
(Аудит управления учетными записями)
Все три события указывают на то, что указанный пользователь был добавлен в определенную группу. Обозначены Глобальная (Global), Локальная (Local) и Общая (Universal) соответственно для каждого ID.

6) 624 или 4720
(Аудит управления учетными записями)
Была создана новая учетная запись пользователя

7) 644 или 4740
(Аудит управления учетными записями)
Учетная запись указанного пользователя была заблокирована после нескольких попыток входа

517 или 1102
(Аудит системных событий)
Указанный пользователь очистил журнал безопасности

Вход и выход из системы (Logon/Logoff)

Event Id — Описание

528 или 4624 — Успешный вход в систему
529 или 4625 — Отказ входа в систему – Неизвестное имя пользователя или неверный пароль
530 или 4625 Отказ входа в систему – Вход в систему не был осуществлен в течение обозначенного периода времени
531 или 4625 — Отказ входа в систему – Учетная запись временно деактивирована
532 или 4625 — Отказ входа в систему – Срок использования указанной учетной записи истек
533 или 4625 — Отказ входа в систему – Пользователю не разрешается осуществлять вход в систему на данном компьютере
534 или 4625 или 5461 — Отказ входа в систему – Пользователь не был разрешен запрашиваемый тип входа на данном компьютере
535 или 4625 — Отказ входа в систему – Срок действия пароля указанной учетной записи истек
539 или 4625 — Отказ входа в систему – Учетная запись заблокирована
540 или 4624 — Успешный сетевой вход в систему (Только Windows 2000, XP, 2003)

Типы входов в систему (Logon Types)

Тип входа в систему — Описание

2 — Интерактивный (вход с клавиатуры или экрана системы)
3 — Сетевой (например, подключение к общей папке на этом компьютере из любого места в сети или IIS вход — Никогда не заходил 528 на Windows Server 2000 и выше. См. событие 540)
4 — Пакет (batch) (например, запланированная задача)
5 — Служба (Запуск службы)
7 — Разблокировка (например, необслуживаемая рабочая станция с защищенным паролем скринсейвером)
8 — NetworkCleartext (Вход с полномочиями (credentials), отправленными в виде простого текст. Часто обозначает вход в IIS с “базовой аутентификацией”)
9 — NewCredentials
10 — RemoteInteractive (Терминальные службы, Удаленный рабочий стол или удаленный помощник)
11 — CachedInteractive (вход с кешированными доменными полномочиями, например, вход на рабочую станцию, которая находится не в сети)

Коды отказов Kerberos

Код ошибки — Причина

6 — Имя пользователя не существует
12 — Ограничение рабочей машины; ограничение времени входа в систему
18 — Учетная запись деактивирована, заблокирована или истек срок ее действия
23 — Истек срок действия пароля пользователя
24 — Предварительная аутентификация не удалась; обычно причиной является неверный пароль
32 — Истек срок действия заявки. Это нормальное событие, которое логгируется учетными записями компьютеров
37 — Время на рабочей машины давно не синхронизировалось со временем на контроллере домена

Коды ошибок NTLM

Код ошибки (десятичная система) — Код ошибки (16-ричная система) — Описание

3221225572 — C0000064 — Такого имени пользователя не существует
3221225578 — C000006A — Верное имя пользователя, но неверный пароль
3221226036 — C0000234 — Учетная запись пользователя заблокирована
3221225586 — C0000072 — Учетная запись деактивирована
3221225583 — C000006F — Пользователь пытается войти в систему вне обозначенного периода времени (рабочего времени)
3221225584 — C0000070 — Ограничение рабочей станции
3221225875 — C0000193 — Истек срок действия учетной записи
3221225585 — C0000071 — Истек срок действия пароля
3221226020 — C0000224 — Пользователь должен поменять пароль при следующем входе в систему

Системное администрирование, Серверное администрирование

Рекомендация: подборка платных и бесплатных курсов системных администраторов — https://katalog-kursov.ru/

Send an e-mail (deprecated)

…

пример скрипта отправки уведомления о событии ‘Заблокирован аккаунт’ — Event ID 4725:

$time =  (get-date) - (new-timespan -min 60)

$Subject = “Заблокирован аккаунт" 
$Theme = “Только что был заблокирован аккаунт” 
$Server = “smtp.server.local” 
$From = “AD@domain.local” 
$To = “support@domain.local” 
$encoding = [System.Text.Encoding]::UTF8

#Выбирается последнее произошедшее событие с таким ID.
$TimeSpan = new-TimeSpan -sec 1
foreach($event in $events)
{
    $PrevEvent = $Event.Запись
    $PrevEvent = $PrevEvent - 1
    $TimeEvent = $Event.TimeCreated
    $TimeEventEnd = $TimeEvent+$TimeSpan
    $TimeEventStart = $TimeEvent- (new-timespan -sec 1)

$Body=Get-WinEvent -maxevents 1 -FilterHashtable @{LogName=”Security”;ID=4725;StartTime=$TimeEventStart;} | Select TimeCreated,@{n=”Account Name”;e={([xml]$_.ToXml()).Event.EventData.Data | ? {$_.Name -eq “TargetUserName”} |%{$_.’#text’}}},@{n=”Computer”;e={([xml]$_.ToXml()).Event.EventData.Data | ? {$_.Name -eq “TargetDomainName”}| %{$_.’#text’}}} 
$body = $body -replace "@{" -replace "}" -replace "=", ": " -replace ";","`n" -replace "TimeCreated","Время события" -replace "^","`n" 
$BodyM = $Body
}
Send-MailMessage -From $From -To $To -SmtpServer $server -Body “$BodyM `n$Theme” -Subject $Subject -Encoding $encoding

В общем, если у вас есть реально рабочие скрипты для такого случая — милости прошу в комментарии.

Добавляем в Task Scheduler задание по интересующему нас событию (прямо из журнала «Security» -> «Attach Task To This Event…«
В Actions указываем запуск скрипта, в котором с помощью утилиты wevtutil делаем выборку из журнала и сохраняем результат в файл.
пример скрипта — выборка событий с Event ID 4726
```
del c:Auditquery_ID4726.txt
wevtutil qe Security /q:"*[System[(EventID=4726)]]" /f:text /rd:true /c:1 > c:Auditquery_ID4726.txt
```
Вторым действием, с помощью утилиты sendEmail отправляем сохраненный файл по назначению:
пример аргументов для команды запуска sendEmail:
```
-f audit_AD@domain.local -s smtp.domain.local:25 -t support@domain.local -m "AD User Account Management - Event ID 426 - Account was Deleted" -a C:Auditquery_ID4726.txt
```

В результате должны получать что-то типа этого:

P.S. Спасибо всем авторам источников, указанных ранее!

Необходимо понимать, что аудит забирает на себя.

Нажимаем “Добавить” и начинаем настраивать аудит.

Сначала выбираем субъект — это чьи действия будут аудироваться (записываться в журнал аудита).

Для папок поля такие:

А такие для файлов:

В дереве слева выбрать “Просмотр событий” — “Журналы Windows” — “Безопасность”.

Вручную можно, например, задать например такой фильтр:

Далее в отфильтрованных событиях необходимо найти интересующее нас по имени объекта.

Открыть его двойным щелчком мыши и увидеть кто удалил данный файл в поле субъект.

На этом демонстрация аудита доступа к файлам и папкам Windows на примере Windows server 2012R2 окончена. В нашей базе знаний вы найдёте ещё множество статей посвящённых различным аспектам работы в Windows, а если вы ищете надежный виртуальный сервер под управлением Windows, обратите внимания на нашу услугу — Аренда виртуального сервера Windows.

Источник

Потихоньку все глубже и глубже осваиваю MS Windows 2012. Пускай будет здесь — полезно знать и помнить.

Узнать кто перезагружал систему server 2012
Event Viewer -> Windows Logs -> System (Filter Current Log)
Event id 1074

Event id 6008 — Не штатное выключение сервера. (либо отключали электричество, либо перезагрузили через ilo)

Event id 26 — Сервер выключил УПС по истечении 20 минут. Application popup: System Shutdown

Event id 1076 Выключение системы

Event id 4478 Кто заходит на сервер с помощью RDP

Узнать кто успешно залогинился на сервере Windows Server 2008
Event id 1149

Event ID — (Категория) — Описание

6) 624 или 4720
(Аудит управления учетными записями)
Была создана новая учетная запись пользователя

517 или 1102
(Аудит системных событий)
Указанный пользователь очистил журнал безопасности

Вход и выход из системы (Logon/Logoff)

Event Id — Описание

Типы входов в систему (Logon Types)

Тип входа в систему — Описание

Коды отказов Kerberos

Код ошибки — Причина

Коды ошибок NTLM

Код ошибки (десятичная система) — Код ошибки (16-ричная система) — Описание

Источник

через меню Пуск – Средства администрирования Windows – >Просмотр событий (Start – Windows Administrative Tools – Event Viewer);
в командной строке или в окне Выполнить набрать eventvwr.msc:

Скриншот №1. Запуск Просмотра событий (Event Viewer) через командную строку

В Диспетчере серверов в разделе Средства выбрать Просмотр событий (Server Manager – Tools – Event Viewer):

Скриншот №2. Запуск Просмотра событий (Event Viewer) через Диспетчер серверов

Описание интерфейса программы

Окно программы состоит из следующих компонентов:

Скриншот №3. Интерфейс программы

Панель навигации позволяет выбрать конкретный журнал, записи которого необходимо просмотреть;
Список событий, содержащийся в выбранном журнале. В колонках выведена базовая информация о событии. Их можно отсортировать по датам, типам, категориям событий и т.д.;
Детальная информация о выбранном во второй панели событии. Также детальную информацию можно открыть в отдельном окне, если кликнуть по нужному событию два раза;
Панель быстрых действий, которые можно совершить с данным журналом или событием. Действия также доступны в контекстном меню (клик правой кнопкой мыши по журналу или событию).

Для удобства просмотра и управления системные журналы разбиты по категориям:

Приложения (Application) – как и гласит название, содержит события и ошибки приложений;
Безопасность (Security) – если в операционной системе включена и настроена функция аудита, журнал будет содержать записи, связанные с отслеживанием соответствующих событий (например, авторизация пользователя или попытки неудачного входа в операционную систему);
Система (System) – здесь регистрируются события операционной системы и системных сервисов;
Установка (Setup) – события, связанные с инсталляцией обновлений Windows, дополнительных приложений.

Сами события также разделяются на типы:

Сведения (Information) — информируют о штатной работе приложений.
Предупреждение (Warning) — событие, свидетельствующее о возможных проблемах в будущем (например, заканчивается свободное место на диске – приложения могут продолжать работу в штатном режиме, но когда место закончится совсем, работа будет невозможна).
Ошибка (Error) — проблема, ведущая к деградации приложения или службы, потерям данных.
Критическое (Critical) — значительная проблема, ведущая к неработоспособности приложения или службы.
Аудит успеха (Success audit) — событие журнала Безопасность (Security), обозначающее успешно осуществленное действие, для которого включено отслеживание (например, успешный вход в систему).
Аудит отказа (Failure audit) — событие журнала Безопасность (Security) обозначающее безуспешную попытку осуществить действие, для которого включено отслеживание (например, ошибка входа в систему).

Работа с журналами

Скриншот №4. Фильтрация журнала

Скриншот №5. Настройки фильтра

Когда необходимость в фильтрации событий отпадет, ее можно отключить действием Очистить фильтр (Clear Filter):

Скриншот №6. Очистка фильтра

Скриншот №7. Свойства журналов

Скриншот №8. Характеристики файла журнала

В нижней части окна можно выбрать вариант действия при достижении журналом максимального значения:

Переписывать события при необходимости (Overwrite events as needed) – новое событие будет записываться поверх самого старого события в журнале, таким образом будут доступны события только за определенный диапазон времени.
Архивировать журнал при заполнении (Overwrite the log when full) – заполненный журнал будет сохранен, последующие события будут записываться в новый файл журнала. При необходимости доступа к старым событиям, архивный файл можно будет открыть в приложении Просмотр событий (Event Viewer).
Не переписывать события (Do not overwrite events) – при заполнении журнала выдается системное сообщение о необходимости очистить журнал, старые события не перезаписываются.

Аverage rating : 5

Оценок: 1

191028
Санкт-Петербург
Литейный пр., д. 26, Лит. А

+7 (812) 403-06-99

700
300

ООО «ИТГЛОБАЛКОМ ЛАБС»

191028
Санкт-Петербург
Литейный пр., д. 26, Лит. А

+7 (812) 403-06-99

700
300

ООО «ИТГЛОБАЛКОМ ЛАБС»

700
300

Источник

Использование сборщика журналов Windows Server 2012 Essentials

Эта документация перемещена в архив и не поддерживается.

Применимо к:Windows Server 2012 Essentials, Windows Server 2012 R2 Essentials

При диагностике проблем с компьютером представитель службы поддержки пользователей Майкрософт может попросить вас собрать журналы серверов и/или компьютеров сети с помощью сборщика журналов Windows Server 2012 Essentials.

Сборщик журналов копирует журналы программ, событий и прочую информацию среды в единый ZIP-файл по указанному адресу. Сборщик журналов можно запускать непосредственно c сервера или любого компьютер сети, а также через удаленное подключение к компьютерам.

Сборщик журналов не проводит анализ сетевых проблем и не вносит изменения в настройки серверов или компьютеров сети. Дополнительную информацию об устранении сетевых неполадок см. в справочной документации по вашему серверу.
В настоящем руководстве все компьютеры сети за исключением сервера называются «компьютеры сети».
Скачайте пакет установки сборщика журналов Windows Server 2012 Essentials.

Примечание

Чтобы установить и запустить сборщик журналов, выполните шаги, описанные в следующих разделах.

Установка сборщика журналов Windows Server 2012 Essentials
Запуск сборщика журналов в Windows Server 2012 Essentials

Для каждого компьютера сети или сервера, указанного вами, сборщик журналов собирает следующие сведения о среде и помещает их в файл журнала коллекции:

Версия операционной системы
Изготовитель и описание ЦП
Объем памяти и ее выделение
Сетевые адаптеры, связанные с TCP/IP
Locale
Процессы
Конфигурация хранилища
Сведения о файле узла
Журналы событий, включая события приложений, системные события, события Windows Server и Media Center
Сообщения диспетчера управления службами
События перезагрузки и Центра обновления Windows
Системные ошибки и ошибки приложений

Служба резервного копирования Windows Server клиентского компьютера

Поставщик службы резервного копирования Windows Server клиентского компьютера

Поставщик устройств Windows Server

Управление доменными именами Windows Server

Реестр поставщика службы Windows Server

Поставщик параметров Windows Server

Служба UPnP-устройств Windows Server

Поставщик средств удаленного администрирования Windows Server

Служба работоспособности Windows Server

Служба хранения данных Windows Server

Служба SQM Windows Server

Поставщик службы резервного копирования Windows Server клиентского компьютера

Служба работоспособности Windows Server

Реестр поставщика службы Windows Server

Служба SQM Windows Server

Для каждого указанного компьютера сети или сервера сборщик журналов собирает следующие сведения из журналов и реестра от сервера и компьютеров сети:

Журналы сервера из <ProgramData>MicrosoftWindows ServerLogs

Запланированные задачи

Журналы API установки

Журналы Центра обновления Windows

Файл оповещений о работоспособности

Файл сведений об устройствах

Файл журнала архивации сервера

Файл журнала Panther

Службы

Разделы реестра из

\HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows Server

\HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesDevicesProviderSvc

\HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesDomainManagerProviderSvc

Журналы компьютеров сети из <ProgramData>MicrosoftWindows ServerLogs

Файл оповещений о работоспособности из <ProgramData>MicrosoftWindows ServerData

Журналы центра обновления Windows

Журналы API установки

Сведения о запланированных задачах

Разделы реестра из \HKEY_LOCAL_MACHINE SOFTWAREMicrosoftWindows Server

Сборщик журналов не собирает файлы журналов с компьютеров, которые работают не под управлением ОС Windows. При использовании компьютеров, работающих под управлением ОС, отличной от Windows, вручную скопируйте следующие файлы журналов в ту же папку, где хранятся файлы сборщика журналов:

System.log

Library/Logs/Windows Server.log

Library/Logs/CrashReporter/LaunchPad-<nnn> (скопируйте все файлы <nnn>.crash из папки LaunchPad)

Library/Logs/DiagnosticReports/LaunchPad-<nnn> (скопируйте все файлы <nnn>.crash из папки LaunchPad)

technet.microsoft.com

Правила журнала событий

Следующий список относится к правилам журнала событий, перечисленных в приведенной ниже таблице:

Имя ИД события Серьезность предупреждения Примечание.

Не удалось использовать протокол IPv4 для сетевого адаптера из-за не отключенной автоматической настройки и DHCP

1555

Предупреждение

Резервное копирование кластера прервано

1541

Ошибка

Данные о конфигурации кластера отсутствуют или повреждены

1057, 1090, 1575

Ошибка

Ресурс диска кластера обнаружил устаревание идентификатора диска

1568

Предупреждение

Журнал событий: Microsoft-Windows-FailoverClustering/Operational

Не удается перевести ресурс общей папки кластера в оперативный режим из-за ошибки создания общего ресурса

1068,1053

Ошибка

Ресурс общей папки кластера обнаружил конфликты общих папок

1560

Предупреждение

Не удается перевести ресурс IP-адреса кластера в оперативный режим из-за дублирования IP-адреса

1049

Ошибка

Не удается перевести ресурс IP-адреса кластера в оперативный режим из-за недопустимого значения адреса

1047

Ошибка

Не удается перевести ресурс IP-адреса кластера в оперативный режим, так как сеть кластера не настроена для клиентского доступа

1223

Предупреждение

Не удается перевести ресурс IP-адреса кластера в оперативный режим из-за недопустимого значения маски подсети

1046

Ошибка

Не удается перевести ресурс IP-адреса кластера в оперативный режим из-за сбоя регистрации WINS

1078

Ошибка

Ресурс IP-адреса кластера обнаружил ошибку арендованного адреса

1240, 1243, 1245

Предупреждение

Ресурс IP-адреса кластера не перешел в оперативный режим

1360

Ошибка

Ресурс IP-адреса кластера не перешел в оперативный режим из-за проблемы с конфигурацией

1362, 1048

Ошибка

Сбой сетевого интерфейса кластера для узла кластера

1127

Предупреждение

По умолчанию отключено. Имейте в виду, что включение этого правила может привести к созданию большого количества предупреждений.

Сетевой интерфейс кластера недоступен как минимум с одного узла кластера, подключенного к сети

1126

Предупреждение

Сеть кластера отключена

1130

Предупреждение

Сеть кластера разделена

1129

Предупреждение

Ресурс сетевого имени кластера не может быть переведен в оперативный режим из-за истечения времени ожидания

1566

Ошибка

Журнал событий: Microsoft-Windows-FailoverClustering/Operational

Сбой проверки работоспособности сетевого имени кластера

1215

Ошибка

Ресурсу сетевого имени кластера не удалось создать связанный объект компьютера

1193, 1194

Ошибка

Ресурсу сетевого имени кластера не удалось удалить связанный объект компьютера

1192, 1191

Ошибка

Ресурсу сетевого имени кластера не удалось зарегистрировать DNS-имя

1196, 1195, 1119

Ошибка

Ошибка очистки узла кластера

4624, 4622, 4620, 4618, 4615, 4613, 4611, 4609

Ошибка

Предупреждение очистки узла кластера

4625, 4616

Предупреждение

Узел кластера вытеснен из отказоустойчивого кластера

1011

Предупреждение

Обнаружены неполадки сетевого подключения узла кластера

1553, 1554, 1572

Ошибка

Не удается перевести ресурс физического диска кластера в оперативный режим, так как не удалось найти связанный диск

1034

Ошибка

Сбой ресурса кластера

1069

Ошибка

Учетная запись службы кластеров не имеет одной или нескольких необходимых привилегий

1234

Ошибка

Службе кластеров не удается идентифицировать узел как член отказоустойчивого кластера

1093

Ошибка

Службе кластера не удается выполнить запись в файл

1080

Предупреждение

Службе кластеров не удалось изменить размер журнала трассировки

1567

Предупреждение

Журнал событий: Microsoft-Windows-FailoverClustering/Operational

Службе кластеров не удалось запустить сеанс журнала трассировки кластера

4868

Предупреждение

Служба кластера определила, что у данного узла отсутствует последняя копия данных конфигурации кластера

1561

Ошибка

Непредвиденная неустранимая ошибка службы кластеров

1000

Ошибка

Не удалось обновить объект компьютера, связанный с ресурсом сетевого имени

1206, 1207

Ошибка

Отключенная сеть является единственной сетью, через которую узел может связываться с другими узлами

1569

Предупреждение

Отключение проверки совместимости версий не поддерживается

1550, 1551

Предупреждение

Произошел сбой при попытке создать новый интерфейс NetBIOS во время перевода ресурса в оперативный режим

1044

Предупреждение

Не удалось применить зашифрованные параметры ресурса кластера

1121

Ошибка

Не удалось добавить необходимые учетные данные к LSA

1227, 1226

Ошибка

Локальный администратор безопасности (LSA)

Не удалось выполнить присоединение или сформировать кластер

1070, 1092

Ошибка

Не удалось перевести общее приложение в оперативный режим из-за ошибки запуска службы

1041

Ошибка

Не удалось перевести универсальное приложение в оперативный режим из-за ошибки создания процесса

1039

Ошибка

Ошибка ресурса универсального сценария.

1233, 1232

Предупреждение

Не удалось перевести универсальную службу в оперативный режим из-за ошибки при попытке открытия службы

1040

Ошибка

Сбой универсальной службы

1042

Ошибка

Сбой проверки работоспособности ресурса общей папки

1054

Ошибка

Произошел сбой проверки работоспособности ресурса общей папки, так как общая папка не существует

1055

Ошибка

Сбой проверки работоспособности IP-интерфейса

1077

Предупреждение

Ресурс адреса туннеля IPv6 не перешел в оперативный режим

1363

Ошибка

Ресурс адреса туннеля IPv6 не перешел в оперативный режим, так как он не зависит от ресурса IP-адреса (IPv4)

1361

Ошибка

Не удается обновить аренду IP-адреса, связанную с ресурсом IP-адреса кластера

1242

Ошибка

Не найдено соответствующего сетевого интерфейса для данного IP-адреса

1045

Предупреждение

Один или несколько томов диска кластера могут быть повреждены

1066, 1037

Ошибка

Непредвиденная потеря владения диском кластера

1038

Предупреждение

Потенциально несовместимые версии службы кластеров

1546, 1547, 1548, 1570, 1571

Ошибка

Операция резервного копирования данных конфигурации кластера отменена по требованию

1544

Предупреждение

Служба кластеров обнаружила непредвиденную проблему и будет остановлена

1556

Ошибка

Не удалось запустить службу кластеров из-за ошибки инициализации адаптера мини-порта

4871

Ошибка

Служба кластеров отключается из-за потери кворума

1177

Ошибка

Не удалось выгрузить базу данных отказоустойчивого кластера

1574

Ошибка

Виртуальному адаптеру отказоустойчивого кластера не удалось создать уникальный MAC-адрес

4872

Ошибка

Сбой операции восстановления данных конфигурации кластера из-за недостаточных привилегий

1545

Ошибка

Сбой операции восстановления данных конфигурации кластера

1542, 1543

Ошибка

Нет доступа к ресурсу-свидетелю

1557, 1558, 1562, 1563, 1564, 1573

Ошибка

В ходе мониторинга работоспособности в пользовательском режиме обнаружено, что система не откликается

4870, 4869

Ошибка

Сбой ресурса задачи службы теневого копирования тома

4867, 4866, 4865, 4864

Предупреждение

Следующие правила применимы только к кластерам Windows Server 2008 R2.

Имя ИД события Серьезность предупреждения

Попытка отключения безопасности подключения завершилась со сбоем

1583

Предупреждение

Ресурсу сетевого имени кластера не удалось зарегистрировать динамические обновления DNS-имени

1578

Предупреждение

Ресурсу сетевого имени кластера не удалось зарегистрироваться в безопасной DNS-зоне, так как запись уже зарегистрирована и имеет владельца

1576

Предупреждение

Ресурсу сетевого имени кластера не удалось зарегистрироваться в безопасной DNS-зоне, так как в регистрации было отказано

1580

Ошибка

Ресурсу сетевого имени кластера не удалось обновить DNS-запись узла (A)

1579

Предупреждение

Службе кластеров не удалось создать токен удостоверения кластера для общих томов кластера

5200

Ошибка

Службе кластеров не удалось создать корневой каталог для размещения общих томов

5123

Ошибка

Службе кластеров не удалось задать разрешения для каталога общих томов кластера

5134

Предупреждение

Службе кластеров не удалось переместить куст кластера

1581

Предупреждение

Служба кластеров переместила уже существовавшие файлы в недавно созданном каталоге общих томов в новое местоположение

5124

Предупреждение

Общий том кластера не доступен с узла кластера

5142

Ошибка

Включен перенаправленный доступ к общему тому кластера

5136

Предупреждение

Связь между узлами кластера была потеряна и повторно установлена

1592

Предупреждение

Во время перевода ресурса файлового сервера в оперативный режим произошла ошибка

1588

Предупреждение

Драйвер-фильтр препятствует операциям прямого ввода-вывода на общем томе кластера

5125

Предупреждение

Сбой проверки работоспособности ресурса файлового сервера

1585

Ошибка

Ресурс сетевого имени кластера не может быть переведен в оперативный режим из-за истечения времени ожидания

1566

Ошибка

Службе кластеров не удалось изменить размер журнала трассировки

1567

Предупреждение

Исходная буква диска кластера уже используется и не может быть восстановлена

5133

Предупреждение

Ресурс физического диска не поддерживает отключение создания кратких имен

5128

Предупреждение

Ресурс зарегистрировал DNS-записи, которые не являются поставщиками

1589

Предупреждение

Операции ввода-вывода на общем томе были приостановлены

5120

Ошибка

Операции ввода-вывода на общем томе возобновились в режиме непрямого ввода-вывода

5121

Ошибка

На общем томе кластера обнаружена операция сброса и удержания IOCTL тома

1584

Ошибка

technet.microsoft.com

Сохранить журнал событий

Эта документация перемещена в архив и не поддерживается.

Применимо к:System Center 2012 SP1 — Orchestrator, System Center 2012 — Orchestrator, System Center 2012 R2 Orchestrator

Действие сохранения журнала событий используется для сохранения записей из журнала событий, чтобы можно было использовать позже. Действие сохранения журнала событий сохраняет записи журнала событий в файл с разделителями в формате, который можно указать. Действия можно выбрать поля, которые будут сохранены и позволяет фильтровать по отношению к полям разрешаются только операции определенного журнала событий для сохранения. Это действие использует вспомогательную лицензию.

Действие сохранить журнал событий может использоваться для создания журналов аудита проблем, возникающих с определенным приложением или определенных записей в журнале событий. Эти сохраненные файлы позже можно отслеживать производительность серверов и приложений в сети.

Перед настройкой действия Сохранить журнал событий, необходимо определить следующее:

Журнал событий, который выполняется сохранение из
Компьютер, на котором он находится
Поля, которые требуется включить
Формат файла

Если требуется только определенные записи сохраняется и не весь журнал событий, необходимо знать, какие поля для фильтрации по, а также какие значения для фильтрации.

Примечание

Используйте следующие сведения для настройки действия Сохранить журнал событий.

Вкладка «Подробные сведения»

Параметры

Инструкции по настройке

Компьютер	Введите имя компьютера, на котором находится журнал событий. Тип localhost для указания сервера runbook, где обрабатывается runbook. Можно также использовать кнопку с многоточием (…) кнопку, чтобы найти на компьютере.
Журнал событий	Введите имя журнала событий Windows находятся записи, сохраняются. Можно также использовать кнопку с многоточием (…) Кнопка для поиска имени журнала событий. Просмотр доступен только если указан допустимый компьютере.
Включить	Выберите все поля журнала событий, которые необходимо сохранить в файле. Вы можете выбрать событие с кодом, источника, категории, Описание, тип, компьютере, и даты и времени.

Вкладка «фильтры»

Параметры

Инструкции по настройке

Код события	Выберите и введите идентификатор конкретного события записи журнала событий, который требуется сохранить.
Источник	Выберите и введите значение, которое будет должны соответствовать поля источника записей журнала событий.
Категория	Выберите и введите значение, которое будет должны соответствовать поле категории записей журнала событий.
Описание	Выберите и введите значение, которое будет должны соответствовать поле Описание записи журнала событий.
Тип	Выберите и укажите значение, которое будет должны соответствовать поле Type записи журнала событий.
Компьютер	Выберите и укажите значение, которое поле записи журнала событий компьютера будет должны совпадать.
Начальная дата	Выберите и диапазоны дат, события должен быть от должны быть включены.

Вкладка «Вывод»

Параметры

Инструкции по настройке

Имя файла	Введите имя файла для сохранения записей журнала событий. Этот файл будет сохранен на компьютере, на котором находится журнал событий.
Если файл существует	Выберите действие, которое необходимо предпринять, если файл с таким именем уже существует. Создайте файл с уникальным именем: Выберите, чтобы добавить значение к имени файла, чтобы создать уникальное имя, которое не конфликтует с существующим именем. Добавьте: Выберите для добавления записей, которые сохраняются в файл. Перезаписать. Выберите, чтобы перезаписать существующий файл с файлом, который создается. Fail: Выберите, чтобы вызвать действие сохранить журнал событий с ошибкой, если имя файла уже существует.
Формат файла	Выберите формат, который будет использоваться для сохранения записей журнала событий в файле: Разделители CSV: Выберите для использования формата CSV для каждой записи в журнал. Табуляция: Выберите для разделения полей в каждой записи с помощью символа табуляции. Спец разделители: Выберите для разделения полей в каждой записи, используя пользовательские символов, указанное в разделитель поле.
Разделитель	Введите разделитель, который вы хотите использовать для отделения полей каждой записи.
Создать столбец заголовков	Выберите, чтобы сохранить сведения о заголовке столбца, при сохранении набора записей в файл. Данные заголовка содержит метаданные, такие как имена полей.

В следующей таблице перечислены элементы опубликованных данных.

Элемент

Описание

Имя журнала событий

Имя журнала событий, который был сохранен.

Компьютер

Компьютер, на котором находится журнал событий, который был сохранен.

Имя и путь к файлу, в которой сохраняются записи

Полный путь файла, где был сохранен журнал событий.

Число записей

Число записей, которые были сохранены.

technet.microsoft.com

Смотрите также

Источник

Выполните следующие действия, чтобы проверить последнюю перезагрузку через командную строку:

Откройте командную строку от имени администратора.
В командной строке скопируйте и вставьте следующую команду и нажмите Enter: systeminfo | find / i «Время загрузки»
Вы должны увидеть, когда ваш компьютер в последний раз был перезагружен.

15 окт. 2019 г.

Как узнать, когда был перезагружен сервер Windows?

Чтобы выяснить, когда ваш компьютер был в последний раз перезагружен, вы можете просто открыть средство просмотра событий, зайти в Журналы Windows -> Системный журнал, а затем отфильтровать по идентификатору события 6006, который указывает на то, что служба журнала событий была отключена — один из последнее, что происходит перед перезагрузкой.

Как просмотреть журналы на сервере 2012?

Как проверить журналы событий в Windows Server 2012?

Шаг 1 — Наведите указатель мыши на нижний левый угол рабочего стола, чтобы появилась кнопка «Пуск».
Шаг 2 — Щелкните правой кнопкой мыши кнопку «Пуск», выберите «Панель управления» → «Безопасность системы» и дважды щелкните «Администрирование».
Шаг 3 — Дважды щелкните «Просмотр событий».

Как часто следует перезагружать серверы Windows?

Обычно мы перезагружаемся в период обслуживания каждые три месяца, чтобы выполнить обновления.

Как мне проверить работоспособность моего сервера?

Другой способ проверить работоспособность сервера в Windows — через диспетчер задач:

Откройте диспетчер задач, щелкнув правой кнопкой мыши на панели задач.
Щелкните панель производительности вверху, убедившись, что слева у вас выбран SPU.
Внизу экрана вы увидите указанное время безотказной работы.

Какой пользователь перезагрузил сервер?

Чтобы быстро и легко определить, кто перезагрузил Windows Server, выполните следующие простые шаги: Войдите в Windows Server. Запустите средство просмотра событий (введите при запуске eventvwr). В консоли просмотра событий разверните Журналы Windows.

Как мне узнать, почему мой сервер выключен?

Нажмите клавиши Windows + R, чтобы открыть диалоговое окно «Выполнить», введите eventvwr. msc и нажмите Enter. На левой панели средства просмотра событий дважды щелкните / коснитесь «Журналы Windows», чтобы развернуть его, щелкните «Система», чтобы выбрать ее, затем щелкните правой кнопкой мыши «Система» и щелкните / коснитесь «Фильтровать текущий журнал».

Где журналы перезагрузки Linux?

Используйте команду who, чтобы узнать время / дату последней перезагрузки системы.

Псевдопользовательская перезагрузка регистрируется каждый раз при перезагрузке системы. Таким образом, последняя команда перезагрузки покажет журнал всех перезагрузок с момента создания файла журнала.

Как долго сервер Windows работает?

Чтобы проверить время безотказной работы Windows с помощью диспетчера задач, щелкните правой кнопкой мыши панель задач Windows и выберите «Диспетчер задач» или нажмите Ctrl – Shift – Esc. После открытия диспетчера задач щелкните вкладку «Производительность». На вкладке «Производительность» вы увидите метку «Время работы».

Где хранятся журналы событий в Windows Server 2012?

По умолчанию файлы журнала средства просмотра событий используют расширение. evt и находятся в папке% SystemRoot% System32Config. Информация об имени и местонахождении файла журнала хранится в реестре.

Как проверить историю входа на сервер?

Просмотр событий входа в систему

Перейдите в «Пуск» ➔ введите «Просмотр событий» и нажмите «Ввод», чтобы открыть окно «Просмотр событий». В левой навигационной панели «Просмотр событий» откройте журналы «Безопасность» в «Журналах Windows».

Как отслеживать попытки входа в систему?

Как просмотреть попытки входа в систему на ПК с Windows 10.

Откройте настольную программу «Просмотр событий», набрав «Просмотр событий» в Cortana / в поле поиска.
Выберите Журналы Windows на левой панели меню.
В разделе «Журналы Windows» выберите безопасность.
Теперь вы должны увидеть прокручиваемый список всех событий, связанных с безопасностью на вашем ПК.

20 апр. 2018 г.

Как часто следует перезапускать сервер Minecraft?

Вы должны всегда перезагружать сервер хотя бы раз в день. Это позволяет оперативной памяти, используемой Minecraft, очищать наши бесполезные и старые данные, когда ваши игроки отключаются, фрагменты, объекты и т. Д. Перезапуск каждые 12-24 часа гарантирует, что у вас будет минимальное или полное отсутствие задержек из-за чрезмерного использования ОЗУ.

Как часто нужно перезагружать сервер?

Мы рекомендуем делать перезагрузку не реже одного раза в месяц. Выделенные серверы хостинга — это просто компьютеры, вы не оставите свой компьютер включенным в течение нескольких месяцев без единой перезагрузки, поэтому те же правила применяются к серверам.

Зачем нужно перезапускать серверы?

Есть две основные причины для регулярной перезагрузки: чтобы проверить способность сервера успешно перезагружаться, и применить исправления, которые нельзя применить без перезагрузки. … Почти все операционные системы получают регулярные обновления, для вступления в силу которых требуется перезагрузка.

Источник

Обновлено 07.09.2022

Добрый день! Уважаемые читатели и гости IT блога Pyatilistnik.org. В минувший раз мы с вами устранили ошибки оборудования с кодом 10 и кодом 43, вернув нормальное функционирование сервера. Идем далее и сегодня я хочу вас научить делать штатными средствами удобный сервер по сбору логов Windows, за счет пересылки нужных событий с нужных серверов. В результате чего получите единую точку для анализа событий происходящих в нужных системах.

Централизованный сбор логов в Windows

Когда что-то случается в операционной системе Windows или Windows Server, то первым делом куда должен зайти системный администратор после сбоя, это журнал событий с логами. Все это не сложно если у вас 5-10 серверов, а что делать когда их сотни, правильно для таких масштабов нужно иметь централизованный сервер по сбору и хранению логов, например elasticsearch. В случае с elasticsearch, это наикрутейший сервис, но его минус в том, что не все его могут правильно поднять, и нужно иметь приличный запас ресурсов под него.

Но не спешите расстраиваться Билли Гейтс позаботился о своем детище и встроил подобный функционал для реализации нашей задачи прямо по умолчанию в Windows. По умолчанию любой Windows Server умеет, как отправлять события, так и принимать их от других серверов.

Что я хочу:

1️⃣Иметь один сервер на который будут складываться все события с контроллеров домена и нужного мне списка серверов
2️⃣Настроить нужные мне серверы на отправку определенных событий на заданный сервер
3️⃣Возможность предоставления прав на централизованный сервер хранения логов для представителей хелпдеска
4️⃣Не устанавливать никакой дополнительный софт

Выглядит схематично это вот так. Тут у нас будут вот такие сущности:

Сервер собирающий события (Collector Initiated) — Это и есть наш центральный сервер по сбору событий, мы будим его еще называть коллектор логов. В качестве данного сервера будет выступать виртуальная машина с Windows Server 2022.
Сервер отправляющий события на центральный сервер (Source initiated). Тут по сути может выступать любая операционная система Windows.

Настройка сервера для отправки логов на центральный сервер

Первым делом вы должны настроить ваши сервера на отправку событий. Я для примера это буду делать для контроллеров домена. Чтобы у вас все работало, вам нужно включить службу для удаленного управления WinRM. Открывайте командную строку от имени администратора и введите команду:

winrm qc или winrm quickconfig

Либо так же через PowerShell:

Теперь нам нужно предоставить права от имени кого вы будите производить подключение к серверам откуда будите брать логи. На выбор у вас два варианта:

Вы предоставите нужные права учетной записи компьютера, что по мне правильнее
Либо можно производить подключение от имени доменной учетной записи (Можно и не доменной, но я рассматриваю исключительно окружение Active Directory)

Все, что нам нужно это предоставить учетной записи членство в локальной группе «Читатели журнала событий (Event Log Readers)«

Но если мы говорим про контроллер домена, то там локально вы не сможете увидеть данную оснастку с группами, она просто скрыта из соображений безопасности.

Для того чтобы дать права, откройте оснастку «Active Directory — Пользователи и компьютеры» и перейдите в раздел Bultin. Тут будет группа «Читатели журнала событий (Event Log Readers)«. Добавьте в нее пользователя или учетную запись компьютера, кому вы назначаете права (Члены этой группы могут читать журналы событий с локального компьютера)

Еще очень важно дать учетной записи Network Service право на чтение, иначе вы будите получать ошибку 0x138C:

Error — Last retry time: 02.09.2022 12:40:22. Code (0x138C): <f:ProviderFault provider=»Event Forwarding Plugin» path=»C:Windowssystem32wevtfwd.dll» xmlns:f=»http://schemas.microsoft.com/wbem/wsman/1/wsmanfault»><t:ProviderError xmlns:t=»http://schemas.microsoft.com/wbem/wsman/1/windows/EventLog»>Windows Event Forward plugin can’t read any event from the query since the query returns no active channel. Please check channels in the query and make sure they exist and you have access to them.</t:ProviderError></f:ProviderFault> Next retry time: 02.09.2022 13:00:22.

Причина ошибки 0x138C, заключается в том, что служба удаленного управления Windows запускается под учетной записью сетевой службы. Нужно добавить SID учетной записи сетевой службы в разрешения на доступ к каналу журнала событий безопасности. Для начала давайте на контроллере домена, с которого я буду отправлять логи посмотрим текущие разрешения, сделать это можно в командной строке Windows.

wevtutil gl security или Wevtutil get-log security

Видим текущий канал безопасности:

channelAccess: O:BAG:SYD:(A;;0xf0005;;;SY)(A;;0x5;;;BA)(A;;0x1;;;S-1-5-32-573)

Нам нужно в самый конец добавить SID Network Service. Это стандартный SID (A;;0x1;;;S-1-5-20). Команда будет выглядеть вот так:

wevtutil set-log security /ca:O:BAG:SYD:(A;;0xf0005;;;SY)(A;;0x5;;;BA)(A;;0x1;;;S-1-5-32-573)(A;;0x1;;;S-1-5-20)

или

wevtutil sl security /ca:O:BAG:SYD:(A;;0xf0005;;;SY)(A;;0x5;;;BA)(A;;0x1;;;S-1-5-32-573)(A;;0x1;;;S-1-5-20)

После добавления проверьте, что новый SID добавился в канал доступа. Примерно через 20 минут вы должны начать видеть события в перенаправленных событиях.

Чтобы назначить массово права для Network Service, вы можете воспользоваться преимуществами Active Directory и создать на нужном OU групповую политику, в которой нужно перейти:

(Computer Configuration — Policies — Windows Settings — Security Settings — Restricted Groups)

Тут вам нужно через правый клик добавить группу «Event Log Readers«.

Далее вам нужно ее отредактировать, добавив туда Network Service и все остальные группы, для которых вы выдаете права.

Чем лучше данный метод, это централизацией, что вы легко меняете настройки на нужной группе компьютеров и любой коллега в случае вашего отпуска или иной причины сможет легко все понять и изменить в случае необходимости. Круто будет если вы еще не забудете добавить комментарии к групповой политике.

Те же манипуляции вы можете сделать через реестр Windows, так как я не перестаю вам напоминать, что любая настройка групповой политики меняет именно его. Откройте реестр Windows и перейдите в куст:

HKEY_LOCAL_MACHINESYSTEMCurrentControlSet ServicesEventLogSecurity

Тут будет ключ реестра CustomSD. В CustomSD вы увидите ту самую строку channelAccess. При желании вы можете отредактировать ключ, добавив нужный SID. Так же данный ключ можно менять централизованно через GPO, но это сложнее, чем Restricted Groups.

На этом настройка серверов отдающих логи Windows можно считать законченным, переходим к настройке сервера сборщика логов.

Настройка сервера получающего логи

Теперь давайте проведем настройку на сервере, куда будут складываться централизованно пересланные события. На сервере-коллекторе логов в командной строке от имени администратора введите команду:

Теперь данная служба будет автоматически запускаться при старте системы.

Далее откройте оснастку просмотра событий (eventvwr.msc) и перейдите в раздел «Windows Logs — Forwarded Events«, вызовите его свойства через правый клик.

У вас откроется окно с основными настройками сервера-коллектора логов. Первым делом нужно понимать, что для хранения ваших событий вы должны располагать дисковым пространством, в идеале вообще отдельный раздел для этого. По умолчанию все хранится по пути:

%SystemRoot%System32WinevtLogs ForwardedEvents.evtx

1️⃣Увеличьте размер текущего журнала исходя из ваших требования, если слишком большой будет журнал, то могут быть сложности с поиском и фильтрацией событий, так как их может быть более нескольких миллионов и дисковая подсистема должна с этим справляться.
2️⃣Выставите опцию для архивирования журнала в случае достижения нужного размера, для этого активируйте «Archive the log when full, do not overwrite evwents«

3️⃣Перейдите на вкладку «Subscriptions«. Создаем новую подписку.

4️⃣Укажите нужное имя для подписки, это ни на что не влияет, кроме вашего удобства. Описание так же можете указать, чтобы например описать список событий или еще какие-то критерии. Оставляем выбранным пункт «Collector initiated«. После чего нажмите кнопку «Select Computers«, чтобы указать с каких компьютеров нам нужно получать логи.

5️⃣Добавьте в список интересующие вас компьютеры. Небольшой лайфхак, группы безопасности тут так же работают, так что смело создавайте группу и добавляйте в нее все компьютеры, что нужно логировать.

6️⃣Обратите внимание, что у вас тут будет возможность провести небольшое тестирование на доступность удаленного управления и получения событий из журналов.

7️⃣Теперь перейдите в раздел «Select Events«, он нужен для фильтрации тех событий, что вы хотите отслеживать, так как нет смысла пересылать все, на это не хватит ни каких дисков. Для примера я хочу получать события связанные с блокировкой учетной записи пользователя в домене.

4723,4724,4725,4726,4740,5139,5141,4739,1102,4735,4737, 4730,4734,5136,5137

Выберите дату логирования, я оставляю всегда «Any time«, тип событий будет информационным. В Event logs я указываю стандартный набор журналов, но как вы можете обратить внимание, можно выбрать и более расширенные, например для мониторинга RDS фермы.

Выставите нужные ID событий, что вы собираетесь получать. При желании вы можете задать еще более точный фильтр, указав ключевые слова.

8️⃣Сохраните настройки. Остается теперь указать от имени какой учетной записи мы будим работать. Для этого есть пункт «Advanced«. Тут я оставляю работать от имени учетной записи текущего компьютера, но вы можете смело поменять и на пользовательскую учетку. Если вы используете нестандартный порт подключения, а это 5985, то вы смело его можете тут поменять.

9️⃣Давайте сразу протестируем доступность получения событий по подписке. Для этого в контекстном меню вызовите пункт «Runtime Status«.

Везде должен быть статус «Active«.

Как я и писал выше, минут через 10-15 логи начнут поступать.

Траблшутинг сервера-коллектора логов

Очень часто тут бывают ошибки 0x138C, как ее решать я описал выше.

0x138C

Еще если вы не дали права, то получите «Access is denied«.

Еще если вы выбрали слишком много событий, то можете увидеть ошибку:

Error – Last retry time: 2022-08-28 16:43:18. Code (0×7A): The data area passed to a system call is too small. Next retry time

Если у вас есть такие крупные продукты, как SharePoint, MS Exchange, MS CRM, то получая с них события, вы можете видеть ошибку ID 6398:

The description for Event ID 6398 from source A cannot be found. Either the component that raises this event is not installed on your local computer or the installation is corrupted. You can install or repair the component on the local computer.

Как я вам выше показал в реестре Windows каждый журнал описан в своей ветке и за него отвечает определенная DLL библиотека, если такого источника не будет на вашем коллекторе, то и могут возникать подобного рода ошибки. Для крупных приложений очень сложно произвести перенос в другое место, так как очень много источников, кто туда пишет. Поэтому PowerShell нам в помощью.

На просторах интернета есть добрые люди, кто столкнулся с такой задачей и ее прекрасно выполнил, и самое прекрасное, что человек поделился решением со всем интернетом.

https://github.com/sanglyb/ps-copy-log-source если вдруг по какой-то причине скриптов не будет в доступе, то можете скачать их тут

Тут два скрипта:

export-log — Для экспорта данных с серверов откуда собираем данные
import-log — Для импорта на сервере-коллекторе недостающих данных

Алгоритм такой, копируем скрипт export-log на сервер со специфическим ПО, у меня это будет Dynamic CRM. Запустите PowerShell и перейдите в расположение вашего скрипта, выберите его и добавьте ключ, являющийся частью источника событий, например crm.

Данный скрипт создаст папку с названием ключа, далее просканирует все журналы событий, если найдет среди них похожий на crm, то сделает их дамп и создаст текстовый файл со списком сдампленных разделов.

Вот еще пример с Kaspersky.

Теперь идем на сервер коллектор и копируем туда созданную ранее папку. После чего открываем PowerShell так же в режиме администратора и импортируем все, что до этого получили.

В скрипте изначально задан каталог C:CustomEvents, так что создайте его заранее иначе будете получать ошибку. После этого все логи будут корректно отображаться.

Еще из проблем может быть недоступность порта 5985, который должна слушать служба winrm. Проверяем порт, как я рассказывал ранее. Может получиться так, что какая-то из служб может его занять, как в случае с 1С или IIS.

Посмотреть кто слушает и что netstat -ant, далее netsh http show iplisten

И удаляем:

netsh http delete iplisten ipaddress=ip

Что делать если у вас несколько серверов коллекторов

Такое то же бывает, когда в компании есть несколько систем мониторинга и аудита, да еще и у разных направлений, для такой ситуации лучше использовать настройку:

Конфигурация компьютера — Политики — Административные шаблоны — Компоненты Windows — Пересылка событий (Computer Confiruration — Policies — Administrative Tempates — Windows Components — Event Forwarding)

Включаем параметр «Configure target Subscription Manager«. Тут задаем нужное количество серверов вы формате:

Server=http://FQDN:5985/wsman/SubscriptionManager/WEC

Еще тут через запятую можно добавить интервальность Refresh=10.

Можно сказать это как зеркалирование портов.

На этом у меня все. Я попытался описать полностью процесс настройки централизованного сервера коллектора логов на базе Windows Server 2022. Рассказал, про подводные камни и как их обходить. С вами был Иван Сёмин, автор и создатель IT блога Pyatilistnik.org. Если у вас остались вопросы, то жду их в комментариях.

Источник

Имя журнала событий	Имя журнала событий, который был сохранен.
Компьютер	Компьютер, на котором находится журнал событий, который был сохранен.
Имя и путь к файлу, в которой сохраняются записи	Полный путь файла, где был сохранен журнал событий.
Число записей	Число записей, которые были сохранены.