Monitoring Windows-Eventlog

[ganzstark]

Hallo zusammen!

Ich baue mir gerade ein monitoring für das Windows Eventlog auf. Das klappt bis jetzt auch alles soweit.
Nun setzen wir bei uns im Unternehmen AppLocker ein und ich würde gerne eine Info von Zabbix bekommen, wenn eine Anwendung geblockt wird.
Ist das möglich? Die Log laufen ja nicht direkt in "Windows-Protokolle" ein, sondern in "Anwendungs- und Dienstprotokolle":



Noch habe ich keinen Weg gefunden.

[box-13210]

Das wurde mich auch interessieren, wie man das realisieren kann.

[Daniel4711]

Moin.

also ich habe es jetzt nicht verifiziert.. aber hier wird auch der Bereich DNS abgefragt.. ohne Microsoft\Windows\Applocker etc.. eventuell kann man einfach Applocker schreiben und es funktioniert.

https://znil.net/index.php?title=Zabbix:Template_Windows_Eventlog

Gruß
Daniel

[Zumi]

Hallo ganzstark,

das müsste ungefähr so aussehen:

eventlog["Microsoft-Windows-AppLocker/EXE and DLL",,"Error",,,,skip]

In den Windows-Protokollen kannst du dir die Eigenschaften anzeigen lassen, der vollständige Name wird benötigt, um das in Zabbix reinzubringen.
Achtung: Zabbix-Agent Active Check!

Mit der Filterung auf Error oder Warning kannst du das ganze noch einschränken.

vG
Zumi