Мониторинг лога

[aleksey.ishchenko]

Нужно мониторить лог Windows server, сделал элемент данных
eventlog[Security,,,,"^(15004|15005|15006|15007)$",,skip]
Сделал триггер {Audit Logs Exchange:eventlog[Security,,,,"^(15004|15005|15006|15007)$",,skip].logeventid()}=1
Но не работает, где ошибка?

[Hamardaban]

Версия zabbix какая?

[aleksey.ishchenko]

Версия 4.4

[Hamardaban]

Данные по вашей метрике eventlog[блабла] получаете?
eventlog() имеет параметр патерн - наверное стоит указать с каким regex вы ждете совпадение... тонкостей уж не помню - может и с пустым сработает.... только непонятно зачем так делать?
Вам триггер нужен на появление в логе событий с перечисленными ID? так вы их фильтранули уже на агенте и других не получите. зачем еще раз проверять на совпадение?
Можно использовать strlen или count , но вам виднее.

[aleksey.ishchenko]

Данные по вашей метрике eventlog[блабла] получаете?.

Где это смотреть? В последних данных?

[Hamardaban]

да
.........................

[aleksey.ishchenko]

Нет, в последних данных ничего нет, но в логе сервера, события есть с этим id

[Hamardaban]

если в последних данных нет - значит в забиксе априори ничего не сработает.
проверяйте настройки элемента данных и агента . обратите внимание что ключ eventlog относится к АКТИВНОМУ агенту
увеличив уровень логирования агента можно увидеть запрашивает ли агент список активных проверок с сервера