Monitorar Event Viewer (EventLog) do Windows

[elvis.pompeu]

Boa tarde a todos,

Gostaria de saber se alguém entendeu o conceito de monitoramento dos Eventos de log do Windows pelo Zabbix, no caso seria assim:

No exemplo a chave esta dessa forma
eventlog[logtype,<pattern>,<severity>,<source>,<eventid>,<m axlines>,<mode>]

Pelo que entendi seria isso, correto?

eventlog[Application,,Hyper-V-VMMS,32088]

Se alguém já passou por algo parecido e souber me esclarecer, ficarei muito grato!

Forte abraço!

[elvis.pompeu]

Ajuda

Bom dia a todos,

É o seguinte, estou tentando de qualquer formar fazer com o que o Zabbix gere o alerta quando parar a replicação do Hyper-V pelo alerta gerado no Event Viewer, mas tentei as duas formas possíveis, segundo a documentação oficial, e nenhuma das duas funcionou... Se eu colocar só System ou só Application, por exemplo, ele vai gerar TODOS os alertas desses, e não é isso que quero, mas sim os específicos, como no caso dessa situação que me gera o Source: Hyper-V VMMS, o Event ID 32088, que é o ID correspondente ao evente de ERRO de replicação do Hyper-V... Tentei os dois modelos de triggers


{Template_test:eventlog[System,,"Error","Hyper-V-VMMS",32088].logseverity(4)}=4

{Template_test:eventlog[System].logsource(Hyper-V-VMMS)}=4

E infelizmente não vai, porém se eu usar o template de Event Viewer padrão que tem no próprio site do Zabbix, ele monitora de uma forma genérica, ou seja, monitora no Geral!!!!
Por exemplo: {Template_test:eventlog[System].logseverity(4)}=4
Mas esse tipo de trigger vai me retornar TODOS os eventos de ERROS gerados pelo Sistema e não quero isso, apenas quero esse Event ID especificado do Hyper-V... =/

Se alguém manja bem dessa parte de monitoramento de Event Viewer no Windows Server, eu ficaria grato, porque a parte de monitoramento com Unix/Linux para mim é mais tranquilo, porém monitoro ambientes Heterogêneos, então é preciso me atentar a estes detalhes...

[elvis.pompeu]

Vixi, pelo jeito ninguém ta sabendo como configurar isso também =S

[lana_paradinha]

Elvis.
Talvez seja redundante, mas você ja leu este item no manual?

https://www.zabbix.com/wiki/howto/monitor/os/windows/monitoring_microsoft_windows_eventlog

Eu utilizo o template pronto do zabbix para monitorar o event

https://www.zabbix.com/wiki/templates/windows/eventlog

Acredito que a chave deva ficar assim:
eventlog[Hyper-V-VMMS]

e a trigger:
{Template_test:eventlog[Hyper-V-VMMS].logseverity(0)}=1
{Template_test:eventlog[Hyper-V-VMMS].logseverity(0)}=2
{Template_test:eventlog[Hyper-V-VMMS].logseverity(0)}=4
{Template_test:eventlog[Hyper-V-VMMS].logseverity(0)}=8


Verifique ai e me fale.

[elvis.pompeu]

Boa tarde Lana,

Tentei fazer as triggers dessa forma, ambas não deram certo mesmo simulando o teste parando a replicação no Hyper-V.
Quanto ao template padrão, eu uso ele também, só que através dele gera muita informação, até porque o próprio Windows Server gera muito evento de log por si só, ou seja, acaba sufocando de informações e fica mais complicado de se monitorar do que com as informações claras e objetivas dos gatilhos.

Atenciosamente,
Elvis Suffi Pompeu

[lana_paradinha]

Vou fazer uns testes com o meu Hyper-V e te falo.

[elvis.pompeu]

Fico grato desde já!
E apenas para deixa-la ciente, estou usando a versão 2.0.7 do zabbix tanto para o server quanto para os agents.

Atenciosamente,
Elvis Suffi Pompeu

[elvis.pompeu]

Bom dia lana_paradinha,

Alguma novidade?

Atenciosamente,
Elvis Suffi Pompeu

[lana_paradinha]

Bom dia lana_paradinha,

Alguma novidade?

Atenciosamente,
Elvis Suffi Pompeu

Desculpe a demora Elvis.

Tem como efetuarmos alguns testes?
Pois acho que o problema ai é outro.

vá no zabbix e crie o item.
eventlog[Application,,"Warning|Error"]

Não é necessário criar trigger.

Veja se você recebe algum dado deste item. (Acredito eu que você não vá receber)

Caso você não receba adicione estas linhas no conf do servidor a ser monitorado.

ServerActive=<ip do zabbix server>
RefreshActiveChecks=120

Restart o serviço, e aguarde até receber os dados, após isso acredito que vá funcionar seu itemkey com "eventlog[System,,"Error","Hyper-V-VMMS",32088]"

Qualquer coisa poste ai

[elvis.pompeu]

Boa tarde lana_paradinha,

Mil desculpas pela demora, é que estuo no meio de um outro projeto, por isso dei uma pausa nesse incidente sobre desenvolver a forma correta de itens para Event View.
Eu farei esses testes provavelmente no inicio da semana que vem, e te dou o parecer a respeito do que foi me retornado no lastest data!

Grato desde já!
Atenciosamente,
Elvis Suffi Pompeu

[elvis.pompeu]

Boa tarde lana_paradinha,

Apenas avisando que realmente ainda não tive tempo, e estou no meio de um projeto, por isso não pude efetuar os teste, peço que me desculpe.
Mas aviso que farei o quanto antes!!!

Tenha uma boa semana!

Atenciosamente,
Elvis Suffi Pompeu

[gilvalopes]

Elvis,

Você conseguiu?

[elvis.pompeu]

Bom dia lana_paradinha e gilvalopes,

Tudo bem? Para ser sincero eu não tive tempo até então (e na verdade nem estou tendo tempo, chegando cada vez mais projetos), mas já que realmente estou demorando MUITO, eu decide fazer hoje o teste, pois vocês estão me ajudando e nada mais justo dar um respaldo o quanto antes.
Pois bem adicionei o item que a Lana me pediu no template de teste, tudo correto, até então, adicionei o parâmetro RefreshActiveChecks com o valor 120 no servidor que esta usando o Hyper-V Management, aguardei o intervalo de checagem após restartar o serviço do zabbix_agentd.exe no services.msc... E infelizmente não funcionou também... Estou tentando agora uma outra alternativa... (Se é que existe)
Pois no caso da replicação do ActiveDirectory pensamos em uma outra maneira de monitorar, através de um script que foi desenvolvido em vbscript, usando o UserParameter, e esta funcionando muito bem, porém no caso do Hyper-V não sei onde mais ele geraria alerta fora Event View, pois esse vbscript do ActiveDirectory ele faz um outro tipo de consulta para verificar se houve falha na replicação ou não, diferente do Hyper-V que só verifica através de eventos do Windows...
Bem, se alguém souber de alguma outra alternativa, ficarei grato!

Atenciosamente,
Elvis Suffi Pompeu

[gilvalopes]

Elvis e Iana,

Também estou tentando coletar as informações do Log do Servidor de Replicação do Microsft Sql Server, seguir todos esses passos e ainda não funciona, segue meu item.

eventlog[Application,,"Warning|Error","MSSQLSERVER",14151]

ainda criei duas triggers

Replicação - Alerta {SERVIDORSQL:eventlog[Application,,"Warning|Error","MSSQLSERVER",14151].logseverity(0)}=2

Replicação - Crítico {SERVIDORSQL:eventlog[Application,,"Warning|Error","MSSQLSERVER",14151].logseverity(0)}=4

Por favor ajude-nos, pois resolvendo o problema de Elvis o meu é solucionado também.

[elvis.pompeu]

gilvalopes,

Estou esfrentando esse problema desde o final de agosto, e com o surgimento de novos projetos, acabei tendo que deixar esse pendente, mas minha situação é tão crítica que estou dependendo de futuramente fazer o curso oficial da Zabbix SIA na Unirede, e durante o trainning cobrar a prática desse tipo de monitoramento de evento de log, pois vejo que a muitas pessoas estão passando pela mesma dificuldade, até mesmo pessoas que também tem o curso dois cursos (Zabbix Certified Especialist e o Large Enviroments)... =/

Atenciosamente,
Elvis Suffi Pompeu