Мониторинг журналов Windows. Генерация собития "ОК"

[Roman_34rf232rtgf]

Нужно чтобы событие windows eventViever ID 209 закрывало событие ID 208

Триггер:

Problem expression:

{AuditUSR:eventlog[Application,,,,209,,skip].logeventid(209)}=1


Recovery expression:

{AuditUSR:eventlog[Application,,,,208,,skip].logeventid(208)}=1

В журнале заббих вижу когда событие происходит, но генерация события ок не происходит и проблема висит на дашбоард

[Roman_34rf232rtgf]

Помогите пожалуста советом!

[Roman_34rf232rtgf]

[Roman_34rf232rtgf]

[Roman_34rf232rtgf]

[Semiadmin]

Подсказка: чтобы триггер закрылся, нужно, чтобы Problem expression было ложным, а Recovery expression, если оно есть, истинным. В вашем случае Problem expression остается истинным.

[Roman_34rf232rtgf]

К сожалению не могу зделать правильно, чо бы я не вводил в "Problem expression" всегда получается true

[Kos]

Например, сделать один элемент данных, в который бы попадали события и с eventid, равным 208, и 209 (и никакие другие):

{AuditUSR:eventlog[Application,,,,"(208|209)",,skip]

И уже на него навешивать триггер. Тогда даже recovery expression не понадобится, ибо если не 209, то только 208.
Только для подстраховки было бы неплохо указать и другие поля - как минимум, source: чтобы случайно сообщение с тем же ID, но от совершенно другого источника не поломало бы вам эту схему.

[Roman_34rf232rtgf]

Попытаюсь объяснить цель.
Есть несколько десятков windows серверов, без active directory.

Есть 5 пользователей, каждый из них имеет разные (для каждого сервера ) логины.

Нужно организовать аудит входа/выхода из системы для каждого из пяти етих пользователей.

Создал логон/логаут скрипты , каторие создают уникальные собития в eventviever.
Zabbix будет мониторить их и в каждый из 5-ти чатов телеграма (для каждого пользователя отдельный чат) например будет отправлять сообщение :

Вход на {hostname}

Выход из {hostname}
Продолжительность: {EVENT.AGE}

Спасибо

[Alex_UUU]

Посмотри в сторону Корреляции. Там пофигу на сервера. Т.е. закрытие событий можно сделать по имени и тегам без привязки с конкретному серверу.

[Roman_34rf232rtgf]

Быть может я снова придумываю велосипед.
Может есть что-то попроще?

[Kos]

Быть может я снова придумываю велосипед.
Может есть что-то попроще?

Я вам предложил один вариант. Правда, это было ещё до того, как Вы сказали, что Вас интересуют данные по конкретным пользователям. Тогда надо дополниить этот вариант данными о пользователях: нужно, чттобы в сообщении присутствовало имя пользователя, и через макрофункции извлекать эти имена в триггерные теги, по совпадению которых и закрывать проблему.

[Roman_34rf232rtgf]

Событие с ID 208 должно заставить сработать триггер, а событие с ID 209 должно вернуть ОК.

Где я ошибся, нужен совет.

Я здаюсь ;(

[Roman_34rf232rtgf]

Посмотри в сторону Корреляции. Там пофигу на сервера. Т.е. закрытие событий можно сделать по имени и тегам без привязки с конкретному серверу.

ок. спасибо! пошел учить корреляцию.