Как создать триггер при обнаружении Critical в Windows

[turtleold]

Всем привет.

Помогите написать или разобраться. Как правильно написать триггер, который будет ловить Критические события на Windows серверах?
Пытался так:

eventlog[System,,"Critical|Error"].logseverity()=4

Но выдаёт ошибку

Invalid parameter "/1/expression": incorrect expression starting from "eventlog[System,,"Critical"].logseverity()=4".

В гугле то, что находил, не подходило, zabbix выдавал другие ошибки...

[Hamardaban]

вот тут описан синтаксис ключа эд https://www.zabbix.com/documentation...agent/win_keys

[Kos]

Да с ключом-то всё нормально.
Просто в версии 5.4, вышедшей две недели назад, поменялся синтаксис триггерных выражений. Поэтому все рекомендации, которые находит автор темы в Интернете, надо использовать с учётом этих изменений. Собственно, раздел "What's new" в документации по Zabbix 5.4 с этих изменений и начинается (ссылка).

[Hamardaban]

онис не изволили версию написать…

[turtleold]

Зато как угадано с версией

[turtleold]

вот тут описан синтаксис ключа эд https://www.zabbix.com/documentation...agent/win_keys

Это синтаксис элементы данных, синтаксис триггеров я тоже видел, но документация ни о чем, поэтому прошу помощи.

[turtleold]

Kos, идеально, раздел этот не видел, даже не подумал почитать
Спасибо. Буду изучать

[turtleold]

Проблема решена. Спасибо Kos. Для себя и остальных, триггер должен выглядеть так:

logseverity(/Template Event log/eventlog[System,,Critical|Error,,,,])

UPD. Полный триггер, который будет восстанавливаться через 1 минуту, если не возникло похожих событий за это время:

logseverity(/Template Event log/eventlog[System,,Critical|Error,,,,]) and nodata(/Template Event log/eventlog[System,,Critical|Error,,,,],1m)=0

[turtleold]

Kos доброго времени суток.
Поступила новая задача от руководства, исключать из обнаружения некоторые ID событий.
Согласно доке, написал такое выражение :

logeventid(/Template Event log/eventlog[System,,Critical|Error,,,,],^(36887$))=0

пишет ошибку:

Invalid parameter "/1/expression": incorrect expression starting from "logeventid(/Template Event log/eventlog[System,,Critical|Error,,,,],^(36887$))=0".

Пробовал кавычки ставить во втором параметре

logeventid(/Template Event log/eventlog[System,,Critical|Error,,,,],"^(36887$"))=0

но тоже не работает, пишет ошибку

Invalid parameter "/1/expression": invalid second parameter in function "logeventid".

Может есть какие-нибудь мысли на этот счёт?


UPD. Самостоятельно решил свой вопрос

logeventid(/Template Event log/eventlog[System,,Critical|Error,,,,],,"^(36887)$")=0