狠狠撸

Windows Server 2008 事件管理機制曹祖聖台灣微軟資深講師 [email_address] http://teacher.allok.com.tw MCP, MCP+I, MCSA, MCSE,MCDBA, MCAD, MCSD, MCT, MVP

大綱 Windows Server 2008 事件處理架構全新的事件檢視器工具 XML 格式事件事件的類型事件的過濾工作排程的整合事件的儲存與轉送自訂事件記錄檔與事件收集事件到資料庫中

Windows Server 2008 的事件記錄 Windows Server 2008 事件記錄加強事件基礎架構更多更詳細的事件新的事件報表事件转送

Windows 事件處理流程 Start Build Management Model Windows Server Longhorn? Use Windows Eventing 6.0 Use NT Eventing Create Manifest From Health Model Write Installer Create Event Source Finish Localize Events Create Event Message File Install Manifest Localize Events Yes No

Windows Eventing 6.0 架構 Event Metadata Channel Configuration Events Provider Metadata 事件記錄檔組態 LOG Channel 管理工具事件提供者 Event Manifest

Kernel Transaction Manager (KTM) 在過去，應用程式很難修復因為修改檔案或系統機碼所造成的错误 Windows Server 2008 實作了核心交易管理員 (KTM) 所有的變更都可以透過交易來控制其它廠商可以進一步延伸這個功能到其它資源管理員上核心交易管理員會負責協調應用程式與資源管理員的交易系統機碼與 NTFS 都支援這項功能 Windows Update 和 System Protection 都使用這項功能透過 DTC 與其它資料來源進行交易處理 Windows Server 2003 R2 開始就支援 Common Log File System (Clfs.sys) 提供有效率的交易記錄

Transactional Infrastructure Kernel KTM CLFS NTFS Registry KtmRm KtmW32 DTC Native Managed System.Tx LTM WCF SMB2 MSMQ SQL

Windows 事件記錄簡介應用程式 Windows 作業系統上應用程式的事件安全性系統稽核事件系統作業系統本身的事件目錄服務網域控制站的事件 DNS 伺服器 DNS 伺服器事件檔案複寫服務 FRS 事件 / 63 記錄檔错误

全新的事件檢視器跨事件記錄檔查詢將查詢儲存成檢視對事件指定排程工作事件檢視器新的事件檢視器摘要所有的事件記錄檔以事件類型排序最新的事件所有事件的摘要最近使用過的事件檢視記錄檔摘要 Actions pane 更多的新的選項

加強事件基礎架構事件架構定義在 XML Schema 事件以 XML 格式儲存支援 XML 查詢

事件的類型資訊警告错误

事件類型管理型事件 IT 人員使用操作型事件監控工具使用偵錯與追蹤事件開發人員使用

demo 操作型事件以角色為基礎的事件分類

硬體错误報告在過去，硬體的错误並沒有一個標準的管道進行回報沒有任何硬體错误回報的標準核心中並沒有一套收集與回報硬體错误的機制 Windows Server 2008 內建硬體错误報架構 Windows Hardware Error Architecture (WHEA) 透過外掛支援各類型的硬體错误標準所有錯類型使用一致的错误格式方便查詢错误來源

demo 硬體错误事件記錄檔

跨記錄檔查詢跨記錄檔查詢

工作排程在指定時間執行工作在指定事件發生時執行工作在使用者登入時執行工作在電腦閒置時執行工作

工作排程 General: 名稱、說明 Triggers: 什麼時候要執行 ? Actions: 要執行什麼 ? Conditions: 執行條件 Settings: 工作的行為設定

如何保留記錄檔保留記錄檔的用途 : 追蹤資源使用的狀況追蹤資源使用的趨勢保留相關記錄以供未來法律用途保留記錄檔的格式 : 事件日誌格式 ( *.evtx ) XML 格式 (*.xml) 純文字 ( 以 Tab 分隔 ) ( *.txt ) CSV ( 以逗號分隔 ) ( *.csv ) / 63

如何新增記錄檔所有的事件記錄檔都註冊在系統機碼中 : HKLMystemurrentControlSetervicesventLog Const NO_VALUE = Empty Const regEventLog = "HKLMystemurrentControlSetervicesventLog" Const newLog = "Script" Set WshShell = WScript.CreateObject("WScript.Shell") WshShell.RegWrite regEventLog + "amp;quot; + newLog, NO_VALUE

如何新增事件到記錄檔 #1 Const EVENT_SUCCESS = 0 Set objShell = Wscript.CreateObject("Wscript.Shell") objShell.LogEvent EVENT_SUCCESS, " 世紀帝國啟動成功 !" Type Value 0 SUCCESS 1 ERROR 2 WARNING 4 INFORMATION 8 AUDIT_SUCCESS 16 AUDIT_FAILURE

如何新增事件到記錄檔 #2 使用 eventcreate.exe 命令列工具 eventcreate [/S system [/U username [/P [password] ] ] ] /ID eventid [/L logname] [/SO srcname] /T type /D description type: SUCCESS 、 ERROR 、 WARNING 、 INFORMATION id: 1 – 1000 Set WshShell = WScript.CreateObject("WScript.Shell") strCommand = "eventcreate /T Error /ID 100 /L Scripts /D " _ & Chr(34) & "Test event." & Chr(34) WshShell.Run strcommand

demo 使用 WMI 新增事件記錄檔與事件

/ 63 工作站伺服器 SQL 事件收集主機集中收集與管理事件安全性記錄安全性記錄即時入侵分析系統後續分析即時傳訊系統如何備份記錄檔到資料庫 WMI + ADO

demo 如何備份記錄檔到資料庫

結論全新的 XML 事件處理架構方便事件搜尋與跨防火牆傳送事件與工作排程整合支援交易處理

在何处取得 TechNet 相關資訊？訂閱 TechNet 資訊技術人快訊 http://www.microsoft.com/taiwan/technet/flash/ 訂閱 TechNet Plus http://www.microsoft.com/taiwan/technet/ 參加 TechNet 的活動 http://www.microsoft.com/taiwan/technet/ 下載 TechNet 研討會簡報與錄影檔 http://www.microsoft.com/taiwan/technet/webcast/

狠狠撸

0514 Windows Server 2008 事件管理機制

More Related Content

0514 Windows Server 2008 事件管理機制

Editor's Notes