![系统与服务监控技术实践](https://wfqqreader-1252317822.image.myqcloud.com/cover/941/656941/b_656941.jpg)
4.3 事件收集
Windows Server 2008支持收集其他计算机的事件日志功能,从而做到集中分析和监控计算机的状态。在收集的过程中,确切地指定将收集哪些事件以及将其存储在本地的哪个日志中,激活订阅并收集事件后,就可以像对任何存储在本地的事件一样查看和操作这些转发的事件。
4.3.1 部署订阅
使用事件收集功能需要同时配置源计算机(Windows Server 2008和Windows Vista)和收集计算机(Windows Server 2008和Windows Vista),此功能依赖于Windows远程管理(WinRM)服务和Windows事件收集器(Wecsvc)服务,这两项服务必须在参与转发和收集过程的计算机上运行,目前只有运行Windows Server 2008和Windows Vista操作系统的计算机支持此功能。
1. 配置源计算机
源计算机为产生日志的计算机,包括服务器、客户端计算机。Windows Server 2008的服务器和Windows Vista客户端计算机启用事件收集功能方法相同,本例以Windows Vista为例,说明如何启用远程管理以及事件收集功能。
(1)启用远程管理功能
第1步,选择“开始”→“运行”命令,显示“运行”对话框,在文本框中,键入“cmd”命令,单击“确定”按钮,显示如图4-19所示的命令行窗口。
![](https://epubservercos.yuewen.com/FA1D1C/3590320104161901/epubprivate/OEBPS/Images/figure_0106_0001.jpg?sign=1734415982-8Kti4EA2iJq5EMaKN4wqG02Wdrz2umXa-0-1f8177ca651439a7c0181c4d30b09b28)
图4-19 启用远程管理功能之一
第2步,在命令行提示符下,键入如下命令:
Winrm Quickconfig
按Enter键,命令成功执行,显示如图4-20所示的窗口,提示管理员是否要启用远程管理工具。
![](https://epubservercos.yuewen.com/FA1D1C/3590320104161901/epubprivate/OEBPS/Images/figure_0106_0002.jpg?sign=1734415982-MzZy9tWSn5QL6BNDoVBHa1OfwaNMu8tH-0-54a831b7f9bc85a05c4a9f1d420293d7)
图4-20 启用远程管理功能之二
第3步,键入“Y”,启动远程管理服务,如图4-21所示。
![](https://epubservercos.yuewen.com/FA1D1C/3590320104161901/epubprivate/OEBPS/Images/figure_0106_0003.jpg?sign=1734415982-1lkZlDw1nsbLdax64AHx8fSA4egUxqZE-0-31c6756bd69d2ce3942d66eb9e01f6d8)
图4-21 启用远程管理功能之三
(2)将Domain Admins组中的成员加入到本地管理员组
收集客户端计算机的服务器采集客户端计算机事件日志时,必须具备对客户端计算机具备至少是读取的权限,建议将Domain Admins组中的成员加入到客户端计算机的本地管理员组中。
第1步,右击“计算机”,在弹出的快捷菜单中选择“管理”命令,显示如图4-22所示的“计算机管理”窗口。
![](https://epubservercos.yuewen.com/FA1D1C/3590320104161901/epubprivate/OEBPS/Images/figure_0107_0001.jpg?sign=1734415982-cSUsCwETqQyoxLfoB3uqIX03WN24DI9n-0-aa12d5155ed04c6179cacdea58d5ceb1)
图4-22 添加用户之一
第2步,选择“计算机管理”→“系统工具”→“本地用户和组”→“组”选项,显示如图4-23所示的“计算机管理”窗口。
![](https://epubservercos.yuewen.com/FA1D1C/3590320104161901/epubprivate/OEBPS/Images/figure_0107_0002.jpg?sign=1734415982-Ng9xyo6GCyyVQvANfHdxfGNOZ7BcGUwt-0-b68bf39e862494258de390b55a38beec)
图4-23 添加用户之二
第3步,在右侧窗口中,右击“Administrators”组,在弹出的快捷菜单中选择“属性”命令,显示如图4-24所示的“Administrators属性”对话框。
![](https://epubservercos.yuewen.com/FA1D1C/3590320104161901/epubprivate/OEBPS/Images/figure_0107_0003.jpg?sign=1734415982-kFrxraCaZRGo5zPhzZItCnp8PmaGrpNf-0-09a86edef9aa8718d1c2f19313ec04f1)
图4-24 添加用户之三
① 单击“添加”按钮,显示如图4-25所示的“选择用户、计算机或组”对话框。
![](https://epubservercos.yuewen.com/FA1D1C/3590320104161901/epubprivate/OEBPS/Images/figure_0108_0001.jpg?sign=1734415982-29KcLnHC5CfN6ym0Gz0i1mQke1f6VBjx-0-57b980a49bff632c0cdc2e7dd4acff9a)
图4-25 “选择用户、计算机或组”对话框
② 单击“高级”按钮,显示如图4-26所示的“选择用户、计算机或组”高级对话框。
![](https://epubservercos.yuewen.com/FA1D1C/3590320104161901/epubprivate/OEBPS/Images/figure_0108_0002.jpg?sign=1734415982-bPFi5Z9992ouRDzc0LHfjsAqo8JcZLLO-0-6161a446bad0c2cead5690349a93d4f8)
图4-26 “选择用户、计算机或组”高级对话框
③ 单击“立即查找”按钮,在“搜索结果”列表中,显示当前域中所有可用的用户、计算机上或组,如图4-27所示。
![](https://epubservercos.yuewen.com/FA1D1C/3590320104161901/epubprivate/OEBPS/Images/figure_0108_0003.jpg?sign=1734415982-aVl62Y2OfP2PWPpajPcSMFWDzpWT6cGO-0-c3feee0711b8dc6d1cd675a982f84586)
图4-27 “选择用户、计算机或组”高级对话框
④ 选择目标用户,单击“确定”按钮,关闭“选择用户、计算机或组”高级对话框,返回到“选择用户、计算机或组”对话框,如图4-28所示。
![](https://epubservercos.yuewen.com/FA1D1C/3590320104161901/epubprivate/OEBPS/Images/figure_0108_0004.jpg?sign=1734415982-lieC0LhTFm0xf2Xbb6DJGDaoygmRpyQ7-0-eba6ce77a55b6db3a663e253b6138efb)
图4-28 “选择用户、计算机或组”对话框
⑤ 单击“确定”按钮,关闭“选择用户、计算机或组”对话框,返回到“Administrators属性”对话框,将选择的目标用户添加到“成员列表”中,如图4-29所示。
![](https://epubservercos.yuewen.com/FA1D1C/3590320104161901/epubprivate/OEBPS/Images/figure_0109_0001.jpg?sign=1734415982-m1lRZpMp3kncN4buC2S7k0DRLGz5jeiw-0-db2d761f2a3ac2a7d81c46e40b192c66)
图4-29 “Administrators属性”对话框
第4步,单击“确定”按钮,完成本地管理员组成员的添加。
2. 配置收集服务器
收集服务器建议使用独立服务器,每台需要收集事件的计算机或者服务器将产生大量的事件日志,如果是应用程序服务器产生的事件会更多。
(1)更改服务模式
在事件收集服务器上,配置制事件订阅服务。
第1步,选择“开始”→“运行”命令,显示“运行”对话框,在文本框中,键入“cmd”,单击“确定”按钮,显示如图4-30所示的命令行窗口。
![](https://epubservercos.yuewen.com/FA1D1C/3590320104161901/epubprivate/OEBPS/Images/figure_0109_0003.jpg?sign=1734415982-akk3OGc28F2xhLpFkd9vj2oSFWIHQk0J-0-e58d0c3d2c1baff5d35df797ec14a078)
图4-30 更改服务模式之一
第2步,在命令行提示符下,键入如下命令:
wecutil qc
按Enter键,命令成功执行,显示如图4-31所示的窗口,提示更改服务启动模式。
![](https://epubservercos.yuewen.com/FA1D1C/3590320104161901/epubprivate/OEBPS/Images/figure_0110_0001.jpg?sign=1734415982-uWGNrpOviX1pLaUjeBMRbldByaj7uB26-0-92272e300b58de461bdb96f56033f4ed)
图4-31 更改服务模式之二
第3步,键入“Y”,成功配置事件收集服务器,如图4-32所示。
![](https://epubservercos.yuewen.com/FA1D1C/3590320104161901/epubprivate/OEBPS/Images/figure_0110_0002.jpg?sign=1734415982-f4tR2FZfntwXbuLOfQ4B1fMqsOiH4cat-0-b02a533ea5ed34fbba38805bd882ac30)
图4-32 更改服务模式之三
(2)NTLM身份验证
第1步,在命令行窗口中,在命令行提示符下,键入如下命令:
winrm set winrm/config/client @{TrustedHosts="dc.book.com,vista.book.com"}
按Enter键,命令成功执行,显示如图4-33所示的窗口,使所有源计算机在与收集服务器上的WinRM进行通信时使用NTLM身份验证,运行一次命令即可。
![](https://epubservercos.yuewen.com/FA1D1C/3590320104161901/epubprivate/OEBPS/Images/figure_0110_0003.jpg?sign=1734415982-1phrXJvHqynIjDtkxs1hISrEvCZHAYDQ-0-a1700b15f6d1e39b0dcb42553142fbd0)
图4-33 启用NTLM身份验证
4.3.2 创建订阅
客户端计算机和数据服务器配置完成后,在收集服务器上创建订阅任务,任务部署完成在后台自动运行,监控数据源计算机上的“一举一动”。
第1步,选择“开始”→“管理工具”→“服务器管理器”选项,显示如图4-34所示的“服务器管理”窗口。
![](https://epubservercos.yuewen.com/FA1D1C/3590320104161901/epubprivate/OEBPS/Images/figure_0111_0001.jpg?sign=1734415982-BQpX95yzKckyApDQeIsl7v1kbgPyaW8m-0-5a7a0038cdc2668665d6ba922bed8aa8)
图4-34 创建订阅之一
第2步,选择“服务器管理器”→“诊断”→“事件查看器”→“订阅”选项,显示如图4-35所示的“服务器管理器”窗口。
![](https://epubservercos.yuewen.com/FA1D1C/3590320104161901/epubprivate/OEBPS/Images/figure_0111_0002.jpg?sign=1734415982-B3iydXXhPBhtWevS3ZsgnfRhiI0eokW2-0-1e3655292964cbdaafdf3efc87dc4c68)
图4-35 创建订阅之二
第3步,右击“订阅”,在弹出的快捷菜单中选择“创建订阅”命令,显示如图4-36所示的“订阅属性”对话框。
![](https://epubservercos.yuewen.com/FA1D1C/3590320104161901/epubprivate/OEBPS/Images/figure_0112_0001.jpg?sign=1734415982-wlaPO2IWjDaWwy3tyJCVFscsFFq8A0tO-0-c9a7452185513df755b5457570233cf5)
图4-36 创建订阅之三
(1)在“订阅名称”文本框中,键入订阅任务的名称。
(2)在“目标日志”下拉列表框中,选择收集的日志存储目标,例如选择“系统”日志。
(3)在“订阅类型和源计算机”分组区域中,选择“收集器已启动”选项。单击“选择计算机”按钮,显示如图4-37所示的“计算机”对话框。
![](https://epubservercos.yuewen.com/FA1D1C/3590320104161901/epubprivate/OEBPS/Images/figure_0112_0002.jpg?sign=1734415982-83rnEPhU4ekoTaMScIwBHuWZc2CWWBaL-0-9ad36a5c0c55d5eebea3a0c3a14d4795)
图4-37 选择目标计算机之一
① 单击“添加域计算机”按钮,显示如图4-38所示的“选择计算机”对话框。
![](https://epubservercos.yuewen.com/FA1D1C/3590320104161901/epubprivate/OEBPS/Images/figure_0112_0003.jpg?sign=1734415982-l0lUhWNwtZ4IrNANl0UwWdNxPYxbcwA2-0-aeaffea02afbd2e727f51b21bcbc0f5f)
图4-38 选择目标计算机之二
② 单击“高级”按钮,显示如图4-39所示的“计算机”高级对话框。
![](https://epubservercos.yuewen.com/FA1D1C/3590320104161901/epubprivate/OEBPS/Images/figure_0113_0001.jpg?sign=1734415982-ofvdeYbZDf8audVoEXhNAS3q5TPZdozN-0-6d16e5c5373e444fea7dc8a99f7455f7)
图4-39 选择目标计算机之三
③ 单击“立即查找”按钮,在“搜索结果”列表中,显示当前域中所有可用的计算机名称,如图4-40所示。
![](https://epubservercos.yuewen.com/FA1D1C/3590320104161901/epubprivate/OEBPS/Images/figure_0113_0002.jpg?sign=1734415982-8A7Z85lOsiN1iBFWKx8tjCAJydngGe61-0-48a5470adaf6b2f8bfcea46c45595d1c)
图4-40 选择目标计算机之四
④ 选择目标计算机,单击“确定”按钮,关闭“计算机”高级对话框,返回到“计算机”对话框,如图4-41所示。
![](https://epubservercos.yuewen.com/FA1D1C/3590320104161901/epubprivate/OEBPS/Images/figure_0113_0003.jpg?sign=1734415982-NfFla11h6i4iHQBpGSErZnY59wq2LvBa-0-f899030a64166bce030073b49b66b357)
图4-41 选择目标计算机之五
⑤ 单击“确定”按钮,关闭“选择计算机”对话框,返回到“计算机”对话框,如图4-42所示。
![](https://epubservercos.yuewen.com/FA1D1C/3590320104161901/epubprivate/OEBPS/Images/figure_0113_0004.jpg?sign=1734415982-xjh8Am4lVpctJ5CpMzrZio09VQYtTkWn-0-fe872810ae6a28fa613fdcce42cc5c18)
图4-42 选择目标计算机之六
⑥ 使用同样的方法,可以将需要收集日志的计算机添加进来,添加完成的计算机如图4-43所示。
![](https://epubservercos.yuewen.com/FA1D1C/3590320104161901/epubprivate/OEBPS/Images/figure_0113_0005.jpg?sign=1734415982-kC3na7dvRpMXqGswAOA79zLdy0mFno2z-0-d6aca8b535ca14a95e982af3c0afb826)
图4-43 选择目标计算机之七
⑦ 单击“确定”按钮,关闭“计算机”对话框,返回到“订阅属性”对话框。
(4)在“订阅属性”对话框中,单击“选择事件”按钮,显示如图4-44所示的“查询筛选器”对话框。
![](https://epubservercos.yuewen.com/FA1D1C/3590320104161901/epubprivate/OEBPS/Images/figure_0114_0001.jpg?sign=1734415982-kGnHfgIEF8YHVTz3uS474n4cAGLcjeb4-0-44f83e77fdcb1adae2750591c2b30506)
图4-44 事件筛选之一
① 在“记录事件”下拉列表框中,选择事件的记录时间,默认为“任何时间”。
② 在“事件级别”区域,选择收集的事件类型。
③ 选择“按日志”选项,在“事件日志”下拉列表中,选择事件日志类型,如图4-45所示。
![](https://epubservercos.yuewen.com/FA1D1C/3590320104161901/epubprivate/OEBPS/Images/figure_0114_0002.jpg?sign=1734415982-CMVESQ3L1UzDGLaG22Yhsqkb0FIHZOdC-0-77191bd30273a672347d593884ce9371)
图4-45 事件筛选之二
④ 其他选项,根据实际需要选择即可。
⑤ 单击“确定”按钮,显示如图4-46所示的“事件查看器”对话框,提示管理员选择事件的种类超过10个,将影响系统性能。
![](https://epubservercos.yuewen.com/FA1D1C/3590320104161901/epubprivate/OEBPS/Images/figure_0114_0003.jpg?sign=1734415982-aBhxMjV6XxdXsz9hTxo2qaTjc3GV32aF-0-c0831fc57b7e2f2140dd842138504086)
图4-46 事件筛选之三
⑥ 单击“是”按钮,返回到“订阅属性”对话框。
(5)单击“高级”按钮,显示如图4-47所示的“高级订阅设置”对话框。
![](https://epubservercos.yuewen.com/FA1D1C/3590320104161901/epubprivate/OEBPS/Images/figure_0115_0001.jpg?sign=1734415982-GAeZeirJ6vaaKzaJhfpqGK9HPmtKprqy-0-f8c9954b2d7243cb357eeb4b3e99a109)
图4-47 高级订阅设置之一
① 设置收集目标计算机使用的账户,选择的账户至少具备“读取”目标计算机日志的权限。选择“特定用户”选项,显示如图4-48所示的“高级订阅设置”对话框。
![](https://epubservercos.yuewen.com/FA1D1C/3590320104161901/epubprivate/OEBPS/Images/figure_0115_0002.jpg?sign=1734415982-SlT5W6E8ogkyu9BRzCzliEAXmo87HbvV-0-b91ac05876bb0aca9235baa91f160542)
图4-48 高级订阅设置之二
② 单击“用户和密码”按钮,显示如图4-49所示的“订阅源的凭据”对话框,键入用户名和密码。
![](https://epubservercos.yuewen.com/FA1D1C/3590320104161901/epubprivate/OEBPS/Images/figure_0115_0003.jpg?sign=1734415982-JsDvhXo7p8QIChZy6iE5NooTvGt081Jn-0-c676d43047958064c2e363105926e6c9)
图4-49 高级订阅设置之三
③ 单击“确定”按钮,关闭“订阅源的凭据”对话框,返回到“高级订阅设置”对话框。
④ 在“事件传递优化”分组区域中,选择事件传递方式。
● 正常:此选项确保可靠地传递事件,但不尝试保留带宽。除非需要严格控制带宽使用或需要尽可能快地传递所转发的事件,否则适于选择此选项。此选项使用拉传递模式,每次批量处理5个项目并将批次超时设置为15分钟。
● 最小化带宽:此选项确保严格控制事件传递对网络带宽的使用。如果要限制为传递事件而进行网络连接的频率,则适于选择此选项。此选项使用推传递模式,并将批次超时设置为6小时。此外,还使用6小时的检测信号间隔。
● 最小化滞后时间:此选项确保以最小的延迟传递事件。如果正在收集警报或关键事件,则适于选择此选项。此选项使用推传递模式,并将批次超时设置为30 s。
⑤ “协议”和“端口”使用默认值即可
⑥ 单击“确定”按钮,关闭“高级订阅设置”对话框,返回到“订阅属性”对话框,如图4-50所示。
![](https://epubservercos.yuewen.com/FA1D1C/3590320104161901/epubprivate/OEBPS/Images/figure_0116_0001.jpg?sign=1734415982-FmE7gh9MbtFMsDSOm5PDCJo3YTSpyZln-0-85abc591c5e5231236795d530622aa2a)
图4-50 高级订阅设置之四
第4步,单击“确定”按钮,完成订阅的设置,如图4-51所示。
![](https://epubservercos.yuewen.com/FA1D1C/3590320104161901/epubprivate/OEBPS/Images/figure_0116_0002.jpg?sign=1734415982-hD2lumSk7nbX60euJTdKjbz9oOc4kXP5-0-b57f4e0a9070440158a5c060ccbb69ed)
图4-51 创建订阅之四
4.3.3 阅览事件
事件完成后,查看其他计算机的事件和查看本地计算机的事件方法相同,如果事件过多,管理员可以使用“筛选”功能,查找需要的日志。
第1步,登录事件收集服务器,打开“服务器管理器”窗口,选择“服务器管理器”→“诊断”→“事件查看器”→“Windows日志”选项,显示如图4-52所示的“服务器管理器”窗口。
![](https://epubservercos.yuewen.com/FA1D1C/3590320104161901/epubprivate/OEBPS/Images/figure_0116_0003.jpg?sign=1734415982-EU2iW8yOaz7fjTgwbt0oHYfvlqlqzsBA-0-ae16c1acdc9e31a913693d314c2d22a4)
图4-52 阅览事件之一
第2步,选择“系统”选项,显示事件收集服务器已经收集的所有事件,如图4-53所示。
![](https://epubservercos.yuewen.com/FA1D1C/3590320104161901/epubprivate/OEBPS/Images/figure_0117_0001.jpg?sign=1734415982-in3FmG6m7spYPWz5QbRDPnfJFXW9ayef-0-e747766b29a7493627a29e74916043b3)
图4-53 阅览事件之二
第3步,右击“系统”,在弹出的快捷菜单中选择“筛选当前日志”命令,显示如图4-54所示的“筛选当前日志”对话框。
![](https://epubservercos.yuewen.com/FA1D1C/3590320104161901/epubprivate/OEBPS/Images/figure_0117_0002.jpg?sign=1734415982-01y6NXeEULVdk7IZkLT0BH5VYbyV8wLf-0-6ae6d0495ca3f23cbcc226d2a0c7b2e1)
图4-54 阅览事件之三
第4步,在“计算机”文本框中,键入要筛选的目标计算机名称,例如Vista.book.com,如图4-55所示。
![](https://epubservercos.yuewen.com/FA1D1C/3590320104161901/epubprivate/OEBPS/Images/figure_0117_0003.jpg?sign=1734415982-Y6dc1IInl72Clns7QxLrnv0KievuP4av-0-7928e8e851bd50e20da01cb3a5b0efb2)
图4-55 阅览事件之四
第5步,单击“确定”按钮,从事件收集服务器中筛选出目标计算机的所有日志,如图4-56所示。
![](https://epubservercos.yuewen.com/FA1D1C/3590320104161901/epubprivate/OEBPS/Images/figure_0117_0004.jpg?sign=1734415982-kp7UWHkawD6ewYdvmTJUNGhCP836IHqn-0-e378ce13240f8ff3eb233f4684f014ec)
图4-56 阅览事件之五