Shromažďování zdrojů dat protokolu událostí Windows pomocí agenta Log Analytics
Protokoly událostí Windows jsou jedním z nejběžnějších zdrojů dat pro agenty Log Analytics na virtuálních počítačích s Windows, protože mnoho aplikací zapisuje do protokolu událostí Windows. Události můžete shromažďovat ze standardních protokolů, jako je systém a aplikace, a všechny vlastní protokoly vytvořené aplikacemi, které potřebujete monitorovat.
Důležité
Starší verze agenta Log Analytics je od 31. srpna 2024 zastaralá. Microsoft už nebude poskytovat žádnou podporu agenta Log Analytics. Pokud používáte agenta Log Analytics k ingestování dat do služby Azure Monitor, proveďte migraci na agenta Služby Azure Monitor.
Konfigurace protokolů událostí Windows
Nakonfigurujte protokoly událostí Systému Windows z nabídky pro správu starších verzí agentů pro pracovní prostor služby Log Analytics.
Azure Monitor shromažďuje události pouze z protokolů událostí Windows, které jsou zadané v nastavení. Protokol událostí můžete přidat zadáním názvu protokolu a výběrem +. Pro každý protokol se shromažďují pouze události s vybranými závažnostmi. Zkontrolujte závažnosti konkrétního protokolu, který chcete shromáždit. Pro filtrování událostí nemůžete zadat žádná další kritéria.
Když zadáte název protokolu událostí, Azure Monitor nabízí návrhy běžných názvů protokolů událostí. Pokud se protokol, který chcete přidat, nezobrazuje v seznamu, můžete ho přidat zadáním celého názvu protokolu. Úplný název protokolu najdete v prohlížeči událostí. V prohlížeči událostí otevřete stránku Vlastnosti protokolu a zkopírujte řetězec z pole Celé jméno .
Důležité
Kolekci událostí zabezpečení z pracovního prostoru nemůžete nakonfigurovat pomocí agenta Log Analytics. Ke shromažďování událostí zabezpečení musíte použít Microsoft Defender for Cloud nebo Microsoft Sentinel . Agenta Azure Monitoru je možné použít také ke shromažďování událostí zabezpečení.
Kritické události z protokolu událostí Windows budou mít v protokolech služby Azure Monitor závažnost Chyby.
Shromažďování dat
Azure Monitor shromažďuje každou událost, která odpovídá vybrané závažnosti z monitorovaného protokolu událostí při vytváření události. Agent zaznamenává své místo v každém protokolu událostí, ze kterého shromažďuje. Pokud agent po nějakou dobu přejde do offline režimu, shromažďuje události z místa, kde naposledy skončil, i když se tyto události vytvořily, když byl agent offline. Tyto události se neshromažďují, pokud se protokol událostí zabalí s nepřepsanými událostmi, když je agent offline.
Poznámka:
Azure Monitor neshromažďuje události auditu vytvořené SQL Serverem ze zdrojového SERVERU MSSQLSERVER s ID události 18453, která obsahuje klíčová slova Classic nebo Audit Success a klíčové slovo 0xa0000000000000.
Události Windows zaznamenávají vlastnosti
Záznamy událostí Systému Windows mají typ události a mají vlastnosti v následující tabulce:
| Vlastnost | Popis |
|---|---|
| Počítač | Název počítače, ze kterého byla událost shromážděna. |
| EventCategory | Kategorie události. |
| EventData | Všechna data událostí v nezpracované podobě. |
| EventID | Číslo události. |
| EventLevel | Závažnost události v číselné podobě |
| EventLevelName | Závažnost události v textovém formuláři |
| EventLog | Název protokolu událostí, ze kterého byla událost shromážděna. |
| ParameterXml | Hodnoty parametrů události ve formátu XML |
| ManagementGroupName | Název skupiny pro správu pro agenty nástroje System Center Operations Manager U jiných agentů je AOI-<workspace ID>tato hodnota . |
| RenderedDescription | Popis události s hodnotami parametrů |
| Zdroj | Zdroj události. |
| SourceSystem | Typ agenta, ze které byla událost shromážděna. OpsManager – agent Windows, spravovaný přímým připojením nebo Operations Managerem. Linux – všichni agenti Linuxu. AzureStorage – Azure Diagnostics. |
| TimeGenerated | Datum a čas vytvoření události ve Windows |
| UserName | Uživatelské jméno účtu, který událost protokoloval. |
Dotazy protokolu s událostmi Windows
Následující tabulka obsahuje různé příklady dotazů protokolu, které načítají záznamy událostí Systému Windows.
| Dotaz | Popis |
|---|---|
| Událost | Všechny události Windows. |
| Událost | where EventLevelName == "Error" | Všechny události Windows se závažností chyby. |
| Událost | summarize count() by Source | Počet událostí Windows podle zdroje |
| Událost | where EventLevelName == "Error" | summarize count() by Source | Počet chybových událostí Windows podle zdroje |
Další kroky
- Nakonfigurujte Log Analytics tak, aby shromažďovali další zdroje dat pro účely analýzy.
- Seznamte se s dotazy na protokoly , které analyzují data shromážděná ze zdrojů dat a řešení.
- Nakonfigurujte kolekci čítačů výkonu z agentů Windows.