Windows Server 2008 事件管理機制

Windows Server 2008 Windows Server 2008 事件管理機制事件管理機制曹祖聖曹祖聖台灣微軟資深講師台灣微軟資深講師[email protected]@syset.comhttp://teacher.allok.com.twhttp://teacher.allok.com.twMCP, MCP+I, MCSA, MCSE,MCDBA, MCAD, MCSD, MCT, MVPMCP, MCP+I, MCSA, MCSE,MCDBA, MCAD, MCSD, MCT, MVP

大綱大綱• Windows Server 2008 Windows Server 2008 事件處理架構事件處理架構• 全新的事件檢視器工具全新的事件檢視器工具• XML XML 格式事件格式事件• 事件的類型事件的類型• 事件的過濾事件的過濾• 工作排程的整合工作排程的整合• 事件的儲存與轉送事件的儲存與轉送• 自訂事件記錄檔與事件自訂事件記錄檔與事件• 收集事件到資料庫中收集事件到資料庫中


Windows Server 2008 Windows Server 2008 的事件記錄的事件記錄Windows ServerWindows Server

20082008

事件記錄事件記錄

加強事件加強事件基礎架構基礎架構

更多更詳細更多更詳細的事件的事件

新的事件報表新的事件報表

事件轉送事件轉送

Windows Windows 事件處理流程事件處理流程StartStart

BuildBuildManagementManagement

ModelModel

WindowsWindowsServerServer

Longhorn?Longhorn?UseUse

Windows Windows Eventing 6.0Eventing 6.0

UseUseNT EventingNT Eventing

Create ManifestCreate ManifestFrom Health ModelFrom Health Model

WriteWriteInstallerInstaller

CreateCreateEventEvent

SourceSource

FinishFinish

LocalizeLocalizeEventsEvents

Create EventCreate EventMessageMessage

FileFile

InstallInstallManifestManifest

LocalizeLocalizeEventsEvents

YesYesNoNo

Windows Eventing 6.0 Windows Eventing 6.0 架構架構Event Event

MetadataMetadata

ChannelChannelConfigurationConfiguration

EventsEvents

ProviderProviderMetadataMetadata

事件記錄檔事件記錄檔組態組態

LOGLOG

ChannelChannel

管理工具管理工具

事件提供者事件提供者

Event Event ManifestManifest

Kernel Transaction Manager (KTM)Kernel Transaction Manager (KTM)

• 在過去，應用程式很難修復因為修改檔案或系統機碼所造在過去，應用程式很難修復因為修改檔案或系統機碼所造成的錯誤成的錯誤• Windows Server 2008 Windows Server 2008 實作了核心交易管理員實作了核心交易管理員 (KTM)(KTM)

• 所有的變更都可以透過交易來控制所有的變更都可以透過交易來控制• 其它廠商可以進一步延伸這個功能到其它資源管理員上其它廠商可以進一步延伸這個功能到其它資源管理員上

• 核心交易管理員會負責協調應用程式與資源管理員的交易核心交易管理員會負責協調應用程式與資源管理員的交易• 系統機碼與系統機碼與 NTFS NTFS 都支援這項功能都支援這項功能

• Windows Update 和 System Protection 都使用這項功能• 透過透過 DTC DTC 與其它資料來源進行交易處理與其它資料來源進行交易處理• Windows Server 2003 R2 Windows Server 2003 R2 開始就支援開始就支援 Common Log File System (Clfs.sys) Common Log File System (Clfs.sys) 提提供有效率的交易記錄供有效率的交易記錄

Transactional InfrastructureTransactional InfrastructureK

erne

lK

erne

l KTMKTM

CLFSCLFSNTFSNTFS RegistryRegistry

KtmRmKtmRm KtmW32KtmW32DTCDTC

Nat

ive

Nat

ive

Man

aged

Man

aged

System.TxSystem.Tx LTMLTM

WCFWCF

SMB2SMB2

MSMQMSMQ

SQLSQL

9 / 63

Windows Windows 事件記錄簡介事件記錄簡介

• 應用程式應用程式 Windows Windows 作業系統上應用程式的事件作業系統上應用程式的事件• 安全性安全性系統稽核事件系統稽核事件• 系統系統作業系統本身的事件作業系統本身的事件• 目錄服務目錄服務網域控制站的事件網域控制站的事件• DNS DNS 伺服器伺服器 DNS DNS 伺服器事件伺服器事件• 檔案複寫服務檔案複寫服務 FRS FRS 事件事件

記錄檔錯誤錯誤

demo如何檢視事件記錄


全新的事件檢視器全新的事件檢視器

• 跨事件記錄檔查詢跨事件記錄檔查詢• 將查詢儲存成檢視將查詢儲存成檢視• 對事件指定排程工作對事件指定排程工作

事件檢視器事件檢視器• 新的事件檢視器摘要新的事件檢視器摘要• 所有的事件記錄檔所有的事件記錄檔• 以事件類型排序以事件類型排序• 最新的事件最新的事件

所有事件的摘要所有事件的摘要• 最近使用過的事件檢視最近使用過的事件檢視• 記錄檔摘要記錄檔摘要• Actions paneActions pane

更多的新的選項更多的新的選項

demo全新的事件檢視器


加強事件基礎架構加強事件基礎架構• 事件架構定義在事件架構定義在 XML SchemaXML Schema• 事件以事件以 XML XML 格式儲存格式儲存• 支援支援 XML XML 查詢查詢

demoXML 格式的事件


事件的類型事件的類型

資訊資訊警告警告錯誤錯誤

事件類型事件類型• 管理型事件管理型事件

IT IT 人員使用人員使用• 操作型事件操作型事件

監控工具使用監控工具使用• 偵錯與追蹤事件偵錯與追蹤事件

開發人員使用開發人員使用

demo操作型事件以角色為基礎的事件分類

硬體錯誤報告硬體錯誤報告• 在過去，硬體的錯誤並沒有一個標準的管道進行回報在過去，硬體的錯誤並沒有一個標準的管道進行回報

• 沒有任何硬體錯誤回報的標準沒有任何硬體錯誤回報的標準• 核心中並沒有一套收集與回報硬體錯誤的機制核心中並沒有一套收集與回報硬體錯誤的機制

• Windows Server 2008 Windows Server 2008 內建硬體錯誤報架構內建硬體錯誤報架構 Windows Hardware Windows Hardware

Error Architecture (WHEA)Error Architecture (WHEA)• 透過外掛支援各類型的硬體錯誤標準透過外掛支援各類型的硬體錯誤標準• 所有錯類型使用一致的錯誤格式所有錯類型使用一致的錯誤格式• 方便查詢錯誤來源方便查詢錯誤來源

demo硬體錯誤事件記錄檔


跨記錄檔查詢跨記錄檔查詢

跨記錄檔查詢跨記錄檔查詢

demo跨記錄檔搜尋事件


工作排程工作排程在指定時間執行工作在指定時間執行工作在指定事件發生時執行工作在指定事件發生時執行工作在使用者登入時執行工作在使用者登入時執行工作在電腦閒置時執行工作在電腦閒置時執行工作

工作排程工作排程General: General: 名稱、說明名稱、說明Triggers:Triggers: 什麼時候要執行什麼時候要執行 ??

Actions:Actions: 要執行什麼要執行什麼 ??

Conditions: Conditions: 執行條件執行條件Settings: Settings: 工作的行為設定工作的行為設定

demo附加動作


31 / 63

如何保留記錄檔如何保留記錄檔• 保留記錄檔的用途保留記錄檔的用途 ::

追蹤資源使用的狀況追蹤資源使用的狀況追蹤資源使用的趨勢追蹤資源使用的趨勢保留相關記錄以供未來法律用途保留相關記錄以供未來法律用途

• 保留記錄檔的格式保留記錄檔的格式 ::事件日誌格式事件日誌格式 ( *.evtx )( *.evtx )

XML XML 格式格式 (*.xml)(*.xml)

純文字純文字 (( 以以 Tab Tab 分隔分隔 ) ( *.txt )) ( *.txt )

CSV (CSV ( 以逗號分隔以逗號分隔 ) ( *.csv )) ( *.csv )

demo儲存事件

事件轉送事件轉送

demo事件轉送


如何新增記錄檔如何新增記錄檔• 所有的事件記錄檔都註冊在系統機碼中所有的事件記錄檔都註冊在系統機碼中 ::

HKLM\System\CurrentControlSet\Services\EventLogHKLM\System\CurrentControlSet\Services\EventLog

Const NO_VALUE = EmptyConst NO_VALUE = Empty

Const regEventLog = "HKLM\System\CurrentControlSet\Services\EventLog"Const regEventLog = "HKLM\System\CurrentControlSet\Services\EventLog"

Const newLog = "Script"Const newLog = "Script"

Set WshShell = WScript.CreateObject("WScript.Shell")Set WshShell = WScript.CreateObject("WScript.Shell")

WshShell.RegWrite regEventLog + "\" + newLog, NO_VALUEWshShell.RegWrite regEventLog + "\" + newLog, NO_VALUE

如何新增事件到記錄檔如何新增事件到記錄檔 #1#1

Const EVENT_SUCCESS = 0Const EVENT_SUCCESS = 0

Set objShell = Wscript.CreateObject("Wscript.Shell")Set objShell = Wscript.CreateObject("Wscript.Shell")

objShell.LogEvent EVENT_SUCCESS, "objShell.LogEvent EVENT_SUCCESS, " 世紀帝國啟動成功世紀帝國啟動成功 !"!"

Type Value0 SUCCESS1 ERROR2 WARNING4 INFORMATION8 AUDIT_SUCCESS16 AUDIT_FAILURE

如何新增事件到記錄檔如何新增事件到記錄檔 #2#2

• 使用使用 eventcreate.exe eventcreate.exe 命令列工具命令列工具eventcreate [/S system [/U username [/P [password] ] ] ] eventcreate [/S system [/U username [/P [password] ] ] ]

/ID eventid [/L logname] [/SO srcname] /ID eventid [/L logname] [/SO srcname]

/T type /D description /T type /D description

type: type: SUCCESSSUCCESS 、、 ERRORERROR 、、 WARNINGWARNING 、、 INFORMATIONINFORMATION

id:id: 1 – 10001 – 1000

Set WshShell = WScript.CreateObject("WScript.Shell")Set WshShell = WScript.CreateObject("WScript.Shell")

strCommand = "eventcreate /T Error /ID 100 /L Scripts /D " _strCommand = "eventcreate /T Error /ID 100 /L Scripts /D " _

& Chr(34) & "Test event." & Chr(34)& Chr(34) & "Test event." & Chr(34)

WshShell.Run strcommandWshShell.Run strcommand

demo使用 WMI 新增事件記錄檔與事件


41 / 63

工作站工作站

伺服器伺服器 SQLSQL事件收集主機事件收集主機集中收集與管理事件集中收集與管理事件

安全性記錄安全性記錄

安全性記錄安全性記錄

即時入侵分析系統即時入侵分析系統

後續分析後續分析

即時傳訊系統即時傳訊系統

如何備份記錄檔到資料庫如何備份記錄檔到資料庫

WMI + ADOWMI + ADO

demo如何備份記錄檔到資料庫

結論結論• 全新的全新的 XML XML 事件處理架構事件處理架構• 方便事件搜尋與跨防火牆傳送事件方便事件搜尋與跨防火牆傳送事件• 與工作排程整合與工作排程整合• 支援交易處理支援交易處理

在何處取得在何處取得 TechNet TechNet 相關資訊？相關資訊？• 訂閱訂閱 TechNet TechNet 資訊技術人快訊資訊技術人快訊

http://www.microsoft.com/taiwan/technet/flash/http://www.microsoft.com/taiwan/technet/flash/• 訂閱訂閱 TechNet PlusTechNet Plus http://www.microsoft.com/taiwan/technet/http://www.microsoft.com/taiwan/technet/• 參加參加 TechNet TechNet 的活的活動動

http://www.microsoft.com/taiwan/technet/http://www.microsoft.com/taiwan/technet/• 下載下載 TechNet TechNet 研討會簡報與錄影檔研討會簡報與錄影檔

http://www.microsoft.com/taiwan/technet/webcast/http://www.microsoft.com/taiwan/technet/webcast/

Documents

Windows Server 2008 事件管理機制