trigger по evetid (windows)

[adm]

Добрый день, как правило создать триггер по evetid?

у меня сейчас срабатывает при каждом получении события с evetid 1102

а надо чтобы срабатывал триггер когда событие с evetid 1102 генерируется 5 раз в течении 6ти минут

помогите пожалуйста

[enzorik]

Добрый день.
Попробуйте следующим образом (только item и шаблон свой укажите):

{Template Name:eventlog[Security,,,,1102,,skip].logeventid(1102)}=1 &
{Template Name:eventlog[Security,,,,1102,,skip].count(360)}>5 &
{Template Name:eventlog[Security,,,,1102,,skip].nodata(6m)}=0

[adm]

Добрый день.
Попробуйте следующим образом (только item и шаблон свой укажите):

{Template Name:eventlog[Security,,,,1102,,skip].logeventid(1102)}=1 &
{Template Name:eventlog[Security,,,,1102,,skip].count(360)}>5 &
{Template Name:eventlog[Security,,,,1102,,skip].nodata(6m)}=0

я сделал так: {Login:eventlog[Security,,,,4625,].count(2m,0)}>3
если событие больше 3 раза в течении 2м то выдавать алерт. правильно?

[enzorik]

я сделал так: {Login:eventlog[Security,,,,4625,].count(2m,0)}>3
если событие больше 3 раза в течении 2м то выдавать алерт. правильно?

Я не уверен, что так будет работать.
1. Первый параметр должен быть в секундах, то есть 120 вместо 2m.
2. Если учесть 2 параметр, триггер будет искать данные равные 0 за последние 2 минуты.

Если вам нужно определить событие больше 3 раза в течении 2м, тогда напишите так:

Login:eventlog[Security,,,,4625,].count(120)}>3