Мониторинг состояния фаервола на компьютере

[Victor Sklyarov]

Задача - диагностировать, что фаервол на компьютере с Windows 10 выключен. Агенты zabbix везде установлены. Алгоритм: собираем любую метрику zabbix агент активный, например версию агента, и собираем простой проверкой доступность агента. Сравниваем на каком-то интервале, что если есть метрики активного агента, то в интервале сравнения должна быть хотя бы одна метрика доступности агента =1.
Проблема. Персонал ошибся и установил неверное время на компьютере, например +1 сутки. Ну такой уж этот персонал... И вот тут начинается самое интересное. В момент прихода активной метрики её штамп времени = времени на узле. Триггер взводится, поскольку в будущем ещё нет пассивных метрик. Но сама активная метрика записывается в базу уже с отметкой времени сервера. Поэтому, когда через какое то время читается пассивная метрика триггер сбрасывается, ведь штамп времени у активной метрики равен времени прихода на сервер, а не времени на удалённом узле. По видимому нужно какое-то выражение восстановления триггера учитывающее время удалённого компьютера. Есть ли идеи как его вытащить. Кроме API ничего в голову не приходит.

[teddy]

..
Проблема. Персонал ошибся и установил неверное время на компьютере, например +1 сутки. Ну такой уж этот персонал... ..

Вы верно описали проблему, но решать почему то хотите другую. при подобном персонале у Вас много чего развалится и наличие файрвола то наименьшая из проблем. И решать надо именно эту проблему. Алерт о расхождении времени в заббиксе есть встроенный. Можно прикрутить принудительную синхронизацию, хотя это не задача заббикса. смотреть в сторону ntp.

[Victor Sklyarov]

Так это же и есть мониторинг действий персонала. Но создаётся событие - включен файервол, а реально - неверное время на компьютере. Мало того, я столкнулся ещё с одной проблемой, когда компьютер спит, метрики пассивного агента не собираются, а вот метрики активного агента - приходят по расписанию. Опять рушится вся логика триггера.

[teddy]

Я имел ввиду что расхождение времени - это не проблема персонала. это проблема настроек системы, которая допустила такое расхождение. Т.к это на сегодня одно из важнейших метрик роботы системы. И его ( расхождение а не персонал ) надо СРОЧНО устранять. методов есть несколько в зависимости от вхождения в домены, наличия доступа в инет с рабочего места и т.д. Zabbix тут должен вам дать сигнал о наличии расхождения времени. Это есть в стандартных шаблонах.
А вот по поводу уснувшего ПК - можно включить в БИОС настройку просыпаться ПК по сетевой карте и тогда пассивный агент начнет собирать метрики тоже. но тогда IMHO нет смысла его и отправлять в сон, слишком часто будет просыпаться. То что активный агент по своим метрикам будит ПК - некая логика есть, хотя и не уверен что это специально предусмотрено разрабами. Скорее фича а не баг..Нужно просто учитывать.