11 Windows notikumu žurnāla uzraudzība, izmantojot aktīvās pārbaudes

Ievads

Šajā ceļvedī ir skaidrots, kā ar Zabbix palīdzību uzraudzīt Windows notikumu žurnālus, izmantojot aktīvās pārbaudes. Izmantojot Zabbix Windows specifiskās vienumu atslēgas, varat reāllaikā vākt un analizēt kritiskus notikumus (piemēram, neveiksmīgus pieteikšanās mēģinājumus, sistēmas kļūdas u.c.).

Kam šis ceļvedis ir paredzēts

Šis ceļvedis ir paredzēts jauniem Zabbix lietotājiem un tīkla administratoriem, kuri vēlas uzraudzīt Windows notikumu žurnālus. Papildu konfigurācijas iespējām skatiet dokumentāciju par Windows specifiskajām vienumu atslēgām.

Priekšnosacījumi

Pirms turpināt darbu ar šo ceļvedi, jums ir jālejupielādē un jāinstalē Zabbix serveris un Zabbix lietotāja saskarne atbilstoši jūsu OS paredzētajām instrukcijām. Jums arī jābūt lejupielādētam un instalētam Zabbix aģentam Windows datorā, kuru vēlaties uzraudzīt.

Konfigurējiet Zabbix aģentu Windows notikumu žurnāla uzraudzībai

1. Atveriet zabbix_agentd.conf (noklusējuma ceļš C:\Program Files\Zabbix Agent\zabbix_agentd.conf) savā Windows hostā un pārliecinieties, ka parametrs ServerActive ir iestatīts uz jūsu Zabbix servera IP adresi, bet parametrs Hostname atbilst hosta nosaukumam, kas tiks definēts Zabbix lietotāja saskarne. Tas ļauj aģentam pieprasīt aktīvās pārbaudes savam hostam no norādītā Zabbix servera. Piemēram:

ServerActive=192.0.2.1
Hostname=MyWindowsHost

2. Restartējiet Zabbix aģenta pakalpojumu, lai piemērotu izmaiņas:

net stop "Zabbix Agent" && net start "Zabbix Agent"

3. Pārbaudiet, vai Windows hosts darbojas:

  • Pārliecinieties, ka Zabbix aģenta pakalpojums darbojas Windows hostā.
  • Pārbaudiet, vai Windows hosts var izveidot savienojumu ar Zabbix serveri 10051. portā. Lai pārbaudītu savienojumu no Windows hosta, atveriet PowerShell un izpildiet šādu komandu:
Test-NetConnection -ComputerName <Zabbix-server-IP> -Port 10051

Konfigurējiet Zabbix lietotāja saskarni

1. Dodieties uz Datu vākšana > Hosts un izveidojiet hostu:

  • Laukā Host name ievadiet hosta nosaukumu (piemēram, "MyWindowsHost").
  • Laukā Host groups ierakstiet vai atlasiet hostu grupu (piemēram, "Event log Monitoring").
  • Nospiediet Add, lai saglabātu konfigurēto hostu.

Laukā Templates varat pievienot veidni "Windows by Zabbix aģents active", lai palīdzētu novērst problēmas, novērojot, vai citi aktīvie vienumi tajā pašā hostā tiek atjaunināti.

2. Izveidojiet jaunu vienumu ar šādiem parametriem:

  • Laukā Name ievadiet aprakstošu vienuma nosaukumu (piemēram, "Security log: failed logon events").
  • Nolaižamajā sarakstā Type atlasiet "Zabbix aģents (active)" (nepieciešams Event log uzraudzībai).
  • Laukā Key izmantojiet vienuma atslēgu eventlog. Piemēram, lai uzraudzītu neveiksmīgus pieteikšanās mēģinājumus (Event ID: 4625) Security žurnālā un ignorētu ierakstus, kas ir vecāki par vienuma pēdējo pārbaudi (izmantojot parametru skip), ievadiet šādu vienuma atslēgu: eventlog[Security,,,,4625,,skip]
  • Nolaižamajā sarakstā Type of information atlasiet "Log".

3. Noklikšķiniet uz Add, lai saglabātu vienumu.

Pārbaudiet un skatiet savāktos metriku datus

Apsveicam! Zabbix tagad ir iestatīts, lai vāktu jūsu Windows notikumu žurnālus. Lai pārbaudītu, vai notikumu žurnāli tiek vākti, varat pārbaudīt vienumu "Drošības žurnāls: neveiksmīgi pieteikšanās notikumi", izrakstoties no sava Windows konta un mēģinot pieteikties, izmantojot nepareizus akreditācijas datus.

Pēc tam skatiet savāktos žurnālus Zabbix lietotāja saskarnē:

1. Atveriet Monitoring > Latest data Zabbix lietotāja saskarnē.

2. Laukā Name filtrējiet pēc sava hosta "MyWindowsHost".

3. Noklikšķiniet uz History, lai skatītu reģistrētās žurnāla vērtības.

4. Ja žurnāla vērtības nav redzamas, pārejiet uz rokasgrāmatas sadaļu Traucējummeklēšana.

Iestatīt problēmu brīdinājumus

Šajā rokasgrāmatā ir sniegti pamata konfigurācijas soļi e-pasta brīdinājumu nosūtīšanai.

1. Dodieties uz Datu vākšana > Hosts, lai definētu trigeri, kas aktivizējas, kad jūsu notikumu žurnāla vienums reģistrē interesējošo rakstu. Piemēram, lai noķertu neveiksmīgus pieteikšanās mēģinājumus Security žurnālā, izmantojiet funkciju find():

find(/MyWindowsHost/eventlog[Security,,,,4625,,skip],10m,"like","Logon failed")

2. Dodieties uz Lietotāja iestatījumi > Profils, pārslēdzieties uz cilni Media un pievienojiet savu e-pastu.

3. Izpildiet rokasgrāmatu par problēmas paziņojuma saņemšanu.

Nākamreiz, kad Zabbix noteiks problēmu, jums vajadzētu saņemt brīdinājumu pa e-pastu.

Problēmu novēršana

Ja rodas problēmas ar Windows notikumu žurnālu vākšanu vai skatīšanu, izmantojiet tālāk sniegtos padomus, lai noteiktu un novērstu biežāk sastopamās problēmas:

1. Zabbix serverī (Linux) uzskaitiet savus iptables noteikumus ar šādu komandu:

sudo iptables -L -n

un pārbaudiet, vai ir ACCEPT noteikums TCP portam 10051.

2. Pārliecinieties, ka jūsu eventlog[...] atslēga izmanto precīzu žurnāla nosaukumu (reģistrjutīgs), notikuma ID, režīmu (piemēram, skip) un citus parametrus tieši tā, kā parādīts sadaļā Windows-specific item keys.

Skatīt arī: