WindowsServer2016系统监控与审计全解析

# Windows Server 2016 系统监控与审计全解析 ## 1. 数据收集器集设置 在 Windows Server 2016 中，设置数据收集器集的最后一步是指定其运行的账户。默认情况下，使用的是本地系统账户，但你可以使用拥有凭证的任何账户来配置数据收集器集。此外，你还可以通过配置数据收集器集属性中的“计划”选项卡来安排其运行时间。 ## 2. 性能计数器警报 性能计数器警报允许你在性能计数器（如可用磁盘空间或内存）低于或超过特定值时配置任务运行。配置步骤如下： 1. 创建一个新的数据收集器集。 2. 选择“手动创建”选项。 3. 选择“性能计数器警报”选项。 4. 添加性能计数器、阈值，并设置当值超过或低于设定值时是否触发警报。 默认情况下，创建的警报触发时仅会在事件日志中添加一条事件。你还可以通过编辑警报属性，在“任务”选项卡中指定计划任务的名称，使警报触发时运行计划任务。 ## 3. 事件查看器 事件查看器可让你访问记录的事件信息。Windows Server 2016 不仅提供应用程序、安全、安装和系统日志，还有单独的应用程序和服务日志。这些日志按角色或应用程序提供信息，而非将所有与应用程序和角色服务相关的事件都汇总到应用程序日志中。在搜索特定角色服务、功能或应用程序相关的事件时，需查看该角色服务、功能或应用程序是否有自己的应用程序日志。 ### 3.1 事件日志过滤器 过滤器和事件日志可让你仅查看具有特定特征的事件。过滤器仅适用于当前事件查看器会话，若经常使用特定过滤器管理事件日志，建议创建自定义视图。过滤器仅适用于单个事件日志，可基于以下属性创建日志过滤器： - **记录时间**：指定过滤器的时间范围。 - **事件级别**：可选择关键、警告、详细、错误和信息等选项。 - **事件源**：选择事件的来源。 - **事件 ID**：基于事件 ID 进行过滤，也可排除特定事件 ID。 - **关键字**：根据事件内容指定关键字。 - **用户**：基于用户限制事件。 - **计算机**：基于计算机限制事件。 创建过滤器的步骤如下： 1. 打开事件查看器并选择要过滤的日志。 2. 确定要过滤的事件属性。 3. 在“操作”窗格中，点击“过滤当前日志”。 4. 在“过滤当前日志”对话框中，指定过滤属性。 ### 3.2 事件日志视图 事件日志视图可让你跨服务器上存储的任何事件日志（包括转发事件日志）创建自定义事件视图。与逐个查看事件日志查找感兴趣的项目不同，你可以创建仅针对特定项目的事件日志视图。默认情况下，事件查看器包含一个名为“管理事件”的自定义视图，该视图显示来自应用程序、安全和系统等重要事件日志的关键、警告和错误事件。 视图与过滤器的区别如下： | 特性 | 视图 | 过滤器 | | --- | --- | --- | | 持久性 | 可在多个事件查看器会话中使用 | 下次打开事件查看器时不可用 | | 包含日志数量 | 可显示来自不同日志的事件 | 仅限于显示一个日志的事件 | | 可导出性 | 可在计算机之间导入和导出 | 不可导出 | 创建事件日志视图的步骤如下： 1. 打开事件查看器。 2. 点击“自定义视图”节点，然后从“操作”菜单中点击“创建自定义视图”。 3. 在“创建自定义视图”对话框中选择视图的属性，包括事件记录时间、事件级别、要提取事件的事件日志、事件源、任务类别、关键字、用户和计算机等。 4. 在“将过滤器保存到自定义视图”对话框中，输入自定义视图的名称和保存位置，然后点击“确定”。 5. 验证新视图是否在事件查看器中作为单独的节点列出。 你可以通过选择事件日志视图并点击“导出自定义视图”来导出自定义事件日志视图，导出的视图可在其他运行 Windows Server 2016 的计算机上导入。 ### 3.3 事件订阅 事件日志转发可集中收集和管理多台计算机的事件。有两种配置方式： - **集中计算机收集**：适用于需要整合少量计算机事件的环境，配置中央计算机从源计算机收集特定事件。 - **源计算机转发**：适用于需要整合大量计算机事件的环境，通过组策略配置源计算机将特定事件转发到收集器计算机。 事件日志转发使用 Windows 远程管理（WinRM）和 Windows 事件收集器（wecsvc），需在作为事件转发器和事件收集器的计算机上启用这些服务。可使用 `winrm quickconfig` 命令配置 WinRM，使用 `wecutil qc` 命令配置 wecsvc。若要从安全事件日志配置订阅，需将收集器计算机的计算机账户添加到源计算机的本地管理员组。 #### 3.3.1 收集器发起的事件订阅配置 1. 在源计算机和收集器计算机上配置 WinRM 和 Windows 事件收集器。 2. 在事件查看器中，在“订阅属性”对话框中配置以下信息： - **订阅名称**：订阅的名称。 - **目标日志**：存储收集事件的日志。 - **订阅类型和源计算机**：选择“收集器发起”，使用“选择计算机”对话框添加收集器从中检索事件的计算机。根据是否需要访问安全日志，收集器必须是每个源计算机上本地管理员组或事件日志读取器组的成员。 - **要收集的事件**：创建自定义视图以指定从每个源计算机检索哪些事件。 #### 3.3.2 源计算机发起的订阅配置 需