Monitorowanie dziennika zdarzeń systemu Windows za pomocą aktywnych kontroli

Wprowadzenie

Ten przewodnik wyjaśnia, jak monitorować dzienniki zdarzeń systemu Windows za pomocą Zabbixa, korzystając z aktywnych kontroli. Dzięki kluczom pozycji specyficznym dla systemu Windows w Zabbixie możesz zbierać i analizować krytyczne zdarzenia (takie jak nieudane próby logowania, błędy systemowe itp.) w czasie rzeczywistym.

Dla kogo jest ten przewodnik

Ten przewodnik jest przeznaczony dla nowych użytkowników Zabbixa oraz administratorów sieci, którzy chcą monitorować dzienniki zdarzeń systemu Windows. Informacje o zaawansowanych opcjach konfiguracji znajdziesz w dokumentacji dotyczącej kluczy pozycji specyficznych dla systemu Windows.

Wymagania wstępne

Przed rozpoczęciem korzystania z tego przewodnika musisz pobrać i zainstalować serwer Zabbix oraz frontend Zabbixa zgodnie z instrukcjami dla swojego systemu operacyjnego. Musisz również pobrać i zainstalować Zabbix agent pobrany i zainstalowany na komputerze z systemem Windows, który chcesz monitorować.

Konfiguracja Zabbix agent dla monitorowania dziennika zdarzeń systemu Windows

1. Otwórz plik konfiguracyjny Zabbix agent na swoim hoście Windows i upewnij się, że parametr ServerActive jest ustawiony na adres IP twojego serwera Zabbix, a parametr Hostname odpowiada nazwie hosta, która zostanie zdefiniowana we frontend Zabbix. Umożliwia to agentowi pobieranie aktywnych kontroli dla jego hosta i z określonego serwera Zabbix. Na przykład:

ServerActive=192.0.2.1
Hostname=MyWindowsHost

2. Uruchom ponownie usługę Zabbix agent, aby zastosować zmiany:

net stop "Zabbix Agent" && net start "Zabbix Agent"

3. Sprawdź, czy host Windows działa:

  • Upewnij się, że usługa Zabbix agent działa na hoście Windows.
  • Sprawdź, czy host Windows może połączyć się z serwerem Zabbix na porcie 10051. Aby przetestować łączność z hosta Windows, otwórz PowerShell i uruchom następujące polecenie:
Test-NetConnection -ComputerName <Zabbix-server-IP> -Port 10051

Skonfiguruj frontend Zabbix

1. Przejdź do Data collection > Hosts i utwórz host:

  • W polu Host name wpisz nazwę hosta (np. "MyWindowsHost").
  • W polu Host groups wpisz lub wybierz grupę hostów (np. "Event log Monitoring").
  • Kliknij Add, aby zapisać skonfigurowany host.

W polu Templates możesz dodać szablon "Windows by Zabbix agent active", aby ułatwić rozwiązywanie problemów poprzez obserwację, czy inne aktywne pozycje na tym samym hoście są aktualizowane.

2. Utwórz nową pozycję z następującymi parametrami:

  • W polu Name wpisz opisową nazwę pozycji (np. "Security log: failed logon events").
  • W rozwijanym polu Type wybierz "Zabbix agent (active)" (wymagane do monitorowania dziennika zdarzeń).
  • W polu Key użyj klucza pozycji eventlog. Na przykład, aby monitorować nieudane próby logowania (Event ID: 4625) w dzienniku Security i ignorować wpisy starsze niż ostatnie sprawdzenie pozycji (używając parametru skip), wpisz następujący klucz pozycji: eventlog[Security,,,,4625,,skip]
  • W rozwijanym polu Type of information wybierz "Log".

3. Kliknij Add, aby zapisać pozycję.

Testowanie i przeglądanie zebranych metryk

Gratulacje! Zabbix jest teraz skonfigurowany do zbierania dzienników zdarzeń systemu Windows. Aby sprawdzić, czy dzienniki zdarzeń są zbierane, możesz przetestować pozycję "Security log: failed logon events", wylogowując się ze swojego konta Windows i próbując zalogować się przy użyciu nieprawidłowych danych uwierzytelniających.

Następnie wyświetl zebrane dzienniki w frontend Zabbix:

1. Przejdź do Monitoring > Latest data w frontend Zabbix.

2. Przefiltruj według hosta "MyWindowsHost" w polu Name.

3. Kliknij History, aby wyświetlić zarejestrowane wartości dziennika.

4. Jeśli wartości dziennika są nieobecne, przejdź do sekcji Troubleshooting w tym przewodniku.

Konfiguracja alertów o problemach

Ten przewodnik zawiera podstawowe kroki konfiguracji wysyłania alertów e-mail.

1. Przejdź do Data collection > Hosts, aby zdefiniować wyzwalacz, który uruchomi się, gdy pozycja dziennika zdarzeń zapisze interesujący Cię wzorzec. Na przykład, aby wykrywać nieudane próby logowania w dzienniku Security, użyj funkcji find():

find(/MyWindowsHost/eventlog[Security,,,,4625,,skip],10m,"like","Logon failed")

2. Przejdź do User settings > Profile, przełącz się na kartę Media i dodaj swój adres e-mail.

3. Postępuj zgodnie z przewodnikiem dotyczącym otrzymywania powiadomienia o problemie.

Następnym razem, gdy Zabbix wykryje problem, powinieneś otrzymać alert e-mail.

Rozwiązywanie problemów

Jeśli napotkasz problemy z zbieraniem lub wyświetlaniem dzienników zdarzeń systemu Windows, skorzystaj z poniższych wskazówek, aby zidentyfikować i rozwiązać typowe problemy:

1. Na serwerze Zabbix (Linux) wyświetl reguły iptables za pomocą następującego polecenia:

sudo iptables -L -n

i sprawdź, czy istnieje reguła ACCEPT dla portu TCP 10051.

2. Upewnij się, że klucz eventlog[...] używa dokładnej nazwy dziennika (z uwzględnieniem wielkości liter), identyfikatora zdarzenia, trybu (np. skip) oraz innych parametrów dokładnie tak, jak pokazano w Windows-specific item keys.

Zobacz także: