11 Monitorar o log de eventos do Windows usando verificações ativas

Introdução

Este guia explica como monitorar logs de eventos do Windows com o Zabbix usando verificações ativas. Com as chaves de item específicas do Windows no Zabbix, você pode coletar e analisar eventos críticos (como tentativas de login falhas, erros de sistema, etc.) em tempo real.

Para quem é este guia

Este guia é destinado a novos usuários do Zabbix e administradores de rede que desejam monitorar logs de eventos do Windows. Para opções avançadas de configuração, consulte a documentação de chaves de item específicas do Windows.

Pré-requisitos

Antes de prosseguir com este guia, você precisa baixar e instalar o Zabbix server e o Zabbix frontend de acordo com as instruções para o seu sistema operacional. Você também precisa do Zabbix agent baixado e instalado na máquina Windows que deseja monitorar.

Configurar o agent Zabbix para monitoramento do log de eventos do Windows

1. Abra o arquivo zabbix_agentd.conf (caminho padrão C:\Program Files\Zabbix Agent\zabbix_agentd.conf) no seu host Windows e certifique-se de que o parâmetro ServerActive está definido para o endereço IP do seu server Zabbix, e que o parâmetro Hostname corresponde ao nome do host que será definido no frontend Zabbix. Isso permite que o agent solicite verificações ativas para seu host e a partir do server Zabbix especificado. Por exemplo:

ServerActive=192.0.2.0
       Hostname=MyWindowsHost

2. Reinicie o serviço do agent Zabbix para aplicar as alterações:

net stop "Zabbix Agent" && net start "Zabbix Agent"

3. Verifique se o host Windows está em execução:

• Certifique-se de que o serviço do agent Zabbix está em execução no host Windows.
• Verifique se o host Windows pode se conectar ao server Zabbix na porta 10051. Para testar a conectividade a partir do host Windows, abra o PowerShell e execute o seguinte comando:

Test-NetConnection -ComputerName <Zabbix-server-IP> -Port 10051

Configure o frontend do Zabbix

1. Navegue até Coleta de dados > Hosts e crie um host:

• No campo Nome do host, insira um nome para o host (por exemplo, "MeuHostWindows").
• No campo Grupos de hosts, digite ou selecione um grupo de hosts (por exemplo, "Monitoramento de Event log").
• Pressione Adicionar para salvar o host configurado.

2. Crie um novo item com os seguintes parâmetros:

• No campo Nome, insira um nome descritivo para o item (por exemplo, "Log de segurança: eventos de falha de logon").
• No menu suspenso Tipo, selecione "Zabbix agent (ativo)" (necessário para monitoramento de Event log).
• No campo Chave, use a chave de item eventlog. Por exemplo, para monitorar tentativas de logon com falha (ID do Evento: 4625) no log de Segurança e ignorar entradas mais antigas que a última verificação do item (usando o parâmetro skip), insira a seguinte chave de item: eventlog[Security,,,,4625,,skip]
• No menu suspenso Tipo de informação, selecione "Log".

3. Clique em Adicionar para salvar o item.

Teste e visualize as métricas coletadas

Parabéns! O Zabbix agora está configurado para coletar os logs de eventos do Windows. Para verificar se os logs de eventos estão sendo coletados, você pode testar o item "Security log: failed logon events" saindo da sua conta do Windows e tentando fazer login usando credenciais incorretas.

Em seguida, visualize os logs coletados no frontend do Zabbix:

1. Navegue até Monitoramento > Dados recentes no frontend do Zabbix.

2. Filtre pelo seu host "MyWindowsHost" no campo Nome.

3. Clique em Histórico para visualizar os valores de log registrados.

4. Se os valores de log estiverem ausentes, prossiga para a seção Solução de problemas deste guia.

Configurar alertas de problema

Este guia fornece etapas básicas de configuração para o envio de alertas por e-mail.

1. Navegue até Coleta de dados > Hosts para definir um trigger que será acionado quando seu item de log de eventos registrar o padrão desejado. Por exemplo, para capturar tentativas de logon com falha no log de Segurança, use a função find():

find(/MyWindowsHost/eventlog[Security,,,,4625,,skip],10m,"like","Logon failed")

2. Navegue até Configurações do usuário > Perfil, alterne para a guia Mídia e adicione seu e-mail.

3. Siga o guia para Receber uma notificação de problema.

Da próxima vez, quando o Zabbix detectar um problema, você deverá receber um alerta por e-mail.

Solução de problemas

Se você encontrar problemas ao coletar ou visualizar logs de eventos do Windows, use as dicas abaixo para identificar e resolver problemas comuns:

1. No Zabbix server (Linux), liste suas regras do iptables com o seguinte comando:

sudo iptables -L -n

e verifique se há uma regra ACCEPT para a porta TCP 10051.

2. Certifique-se de que sua chave eventlog[...] usa o nome exato do log (diferencia maiúsculas de minúsculas), ID do evento, modo (por exemplo, skip) e outros parâmetros exatamente como mostrado nas chaves de item específicas do Windows.

Veja também:

• Criando um item - saiba como adicionar métricas adicionais.
• Agent Zabbix no Microsoft Windows - instruções detalhadas de instalação.
• Monitorando Windows com agent Zabbix - um guia abrangente sobre como configurar o monitoramento básico para máquinas Windows usando o agent Zabbix.
• Chaves de item específicas do Windows - informações detalhadas sobre as chaves de item específicas do Windows suportadas pelos agents Zabbix, incluindo aquelas para monitoramento de logs de eventos.
• Monitoramento de arquivos de log - instruções sobre como configurar o Zabbix para monitoramento centralizado e análise de arquivos de log, aplicável aos logs de eventos do Windows.