標準コンシューマーを使用したイベントの監視と対応

[アーティクル]
07/03/2023

インストールされている標準コンシューマークラスを使用して、オペレーティングシステムのイベントに基づいてアクションを実行できます。標準コンシューマーは、既に登録されている単純なクラスであり、永続コンシューマークラスを定義します。各標準コンシューマーは、イベント通知を受信した後に特定のアクションを実行します。たとえば、ActiveScriptEventConsumer のインスタンスを定義することで、コンピューターの空きディスク領域が指定したサイズと異なる場合にスクリプトを実行できます。

WMI は、オペレーティングシステムに依存する既定の名前空間に標準コンシューマーをコンパイルします。次に例を示します。

Windows Server 2003 では、既定ですべての標準コンシューマーが "Root\Subscription" 名前空間にコンパイルされます。

注意

各 WMI クラスに固有の既定の名前空間とオペレーティングシステムについては、各クラスのトピックの解説と要件に関するセクションを参照してください。

次の表では、WMI 標準コンシューマーをリストして説明しています。

標準コンシューマー	説明
ActiveScriptEventConsumer	イベント通知を受信したときにスクリプトを実行します。詳細については、「イベントに基づくスクリプトの実行」を参照してください。
LogFileEventConsumer	イベント通知を受信したときに、カスタマイズされた文字列をテキストログファイルに書き込みます。詳細については、「イベントに基づくログファイルへの書き込み」を参照してください。
NTEventLogEventConsumer	特定のメッセージをアプリケーションイベントログに記録します。詳細については、「イベントに基づく NT イベントログへのログ記録」を参照してください。
SMTPEventConsumer	イベントが配信されるたびに SMTP を使用して電子メールメッセージを送信します。詳細については、「イベントに基づく電子メールの送信」を参照してください。
CommandLineEventConsumer	イベントがローカルシステムに配信されたときにプロセスを起動します。許可されていないユーザーが実行可能ファイルを別の実行可能ファイルに置き換えられないようにするには、実行可能ファイルをセキュリティ保護された場所に置くか、強力なアクセス制御リスト (ACL) で保護する必要があります。詳細については、「イベントに基づくコマンドラインからのプログラムの実行」を参照してください。

以下の手順は、標準コンシューマーを使用してイベントを監視および応答する方法について説明しています。この手順は、マネージドオブジェクトフォーマット (MOF) ファイル、スクリプト、またはアプリケーションについても同じです。

標準コンシューマーを使用してイベントを監視および応答する方法

MOF プリプロセッサコマンド #pragma namespace を使用して、MOF ファイルで名前空間を指定します。スクリプトまたはアプリケーションで、WMI に接続するコードで名前空間を指定します。

次の MOF コード例は、root\subscription 名前空間を指定する方法を示しています。
```
#pragma namespace ("\\\\.\\root\\subscription")
```
ほとんどの "内部イベント" は、root\cimv2 名前空間のクラスインスタンスへの変更に関連しています。ただし、RegistryKeyChangeEvent などのレジストリイベントは、システムレジストリプロバイダーによって root\default 名前空間で発生します。

コンシューマーは、イベントの __EventFilter クエリの EventNamespace プロパティで名前空間を指定することで、他の名前空間にあるイベントクラスを含めることができます。 __InstanceOperationEvent などの "内部イベント" クラスは、すべての名前空間で使用できます。
標準コンシューマークラスのインスタンスを作成して設定します。

このインスタンスは Name プロパティに一意の値を持つことができます。同じ名前を再利用することで、既存のコンシューマーを更新できます。

InsertionStringTemplates には、EventType で指定したイベントに挿入するテキストが含まれます。リテラル文字列を使用することも、プロパティを直接参照することもできます。詳細については、「標準文字列テンプレートの使用」および「イベントクエリの SELECT ステートメント」を参照してください。

関連テキストなしで挿入文字列をサポートするイベントログの既存のソースを使用します。

次の MOF コード例は、WSH の既存のソースと EventID 値 8 を使用する方法を示しています。
```
instance of NTEventLogEventConsumer as $Consumer
{
    Name = "RunKeyEventlogConsumer";
    SourceName = "WSH";               
    EventID = 8;
    // Warning                              
    EventType = 2;
    // One string supplies the entire message          
    NumberOfInsertionStrings = 1;             
    // the %Hive% and %KeyPath% are properties of
    // the RegistryKeyChangeEvent instance 
    InsertionStringTemplates = 
        {"The key %Hive%\\%RootPath% has been modified."
        "Check if the change is intentional"};
};
```
__EventFilter のインスタンスを作成し、イベントのクエリを定義します。

次の例では、フィルターによって、スタートアッププログラムが登録されているレジストリキーを監視します。許可されていないプログラムがキーの下に自身を登録することができ、コンピューターの起動時に起動されるようになるため、このレジストリキーを監視することが重要な場合があります。
```
instance of __EventFilter as $Filter
{
Name = "RunKeyFilter";
QueryLanguage = "WQL"; 
Query = "Select * from RegistryTreeChangeEvent"
    " where (Hive = \"HKEY_LOCAL_MACHINE\" and "
    "RootPath = \"Software\\\\Microsoft\\\\Windows"
    "\\\\CurrentVersion\\\\Run\")";

// RegistryTreeChangeEvents only fire in root\default namespace
EventNamespace = "root\\default";                       
};
```
監視するイベントを特定し、イベントクエリを作成します。

使用する内部イベントまたは外部イベントがあるかどうかを確認できます。たとえば、レジストリプロバイダーの RegistryTreeChangeEvent クラスを使用して、システムレジストリへの変更を監視します。

監視する必要があるイベントを記述するクラスが存在しない場合は、独自のイベントプロバイダーを作成し、新しい外部イベントクラスを定義する必要があります。詳細については、「イベントプロバイダーの作成」を参照してください。

MOF ファイルでは、フィルターおよびコンシューマーの "エイリアス" を定義できます。これにより、インスタンスパスを簡単に記述できるようになります。

次の例は、フィルターおよびコンシューマーの "エイリアス" を定義する方法を示しています。
```
instance of __EventFilter as $FILTER
instance of LogFileEventConsumer as $CONSUMER
```
__FilterToConsumerBinding のインスタンスを作成して、フィルターとコンシューマークラスを関連付けます。このインスタンスは、指定したフィルターに一致するイベントが発生したときに、コンシューマーによって指定されたアクションが発生する必要があることを決定します。 __EventFilter、__EventConsumer、および __FilterToConsumerBinding は、CreatorSID プロパティに同じ個別のセキュリティ識別子 (SID) を持つ必要があります。詳細については、「論理コンシューマーを使用してイベントフィルターをバインドする」を参照してください。

次の例は、オブジェクトパスでインスタンスを識別する方法、またはエイリアスをオブジェクトパスの短縮表記として使用する方法を示しています。
```
instance of __EventFilter as $FILTER
instance of NTEventLogEventConsumer as $CONSUMER
```
次の例では、エイリアスを使用してフィルターをコンシューマーにバインドします。
```
instance of __FilterToConsumerBinding
{
    Filter = $FILTER;
    Consumer = $CONSUMER;

};
```
1 つのフィルターを複数のコンシューマーにバインドできます。これは、一致するイベントが発生したときに、いくつかのアクションを実行する必要があることを示します。または、1 つのコンシューマーを複数のフィルターにバインドできます。これは、いずれかのフィルターに一致するイベントが発生したときにアクションを実行する必要があることを示します。

コンシューマーとイベントの条件に基づいて、次のアクションが実行されます。
- 永続コンシューマーの 1 つに問題が発生した場合、イベントを要求した他のコンシューマーが通知を受け取ります。
- イベントがドロップされると、WMI は __EventDroppedEvent を発生させます。
- このイベントにサブスクライブすると、ドロップされたイベントが返され、__EventConsumer への参照は問題が発生したコンシューマーを表します。
- コンシューマーに問題が発生した場合、WMI は __ConsumerFailureEvent を発生させます。これには、ErrorCode、ErrorDescription、および ErrorObject の各プロパティに詳細情報が含まれている場合があります。
詳細については、「論理コンシューマーを使用してイベントフィルターをバインドする」を参照してください。

例

次の例は、NTEventLogEventConsumer のインスタンスの MOF を示しています。この MOF をコンパイルした後、レジストリパス HKEY_LOCAL_MACHINE\ Software\Microsoft\Windows\CurrentVersion\Run の値を作成、削除、または変更しようとすると、アプリケーションイベントログのソース "WSH" の下にエントリが記録されます。

#pragma namespace ("\\\\.\\root\\subscription")
 
instance of __EventFilter as $Filter
{
    Name = "RunKeyFilter";
    QueryLanguage = "WQL";
    Query = "Select * from RegistryTreeChangeEvent"
            " where (Hive = \"HKEY_LOCAL_MACHINE\" and "
            "KeyPath = \"Software\\\\Microsoft\\\\Windows"
            "\\\\CurrentVersion\\\\Run\")";

    // RegistryTreeChangeEvents only fire
    // in root\default namespace
    EventNamespace = "root\\default";   
};
 
instance of NTEventLogEventConsumer as $Consumer
{
    Name = "RunKeyEventlogConsumer";
    SourceName = "WSH";               
    EventID = 8;
    EventType = 2;                            // Warning
    Category = 0;
    NumberOfInsertionStrings = 1;

    // the %Hive% and %KeyPath% are properties
    // of the RegistryKeyChangeEvent instance 
    InsertionStringTemplates = {"The key %Hive%\\%RootPath% "
        "has been modified. Check if the change is intentional"};
};
 

// Bind the filter to the consumer
instance of __FilterToConsumerBinding
{
    Filter = $Filter;
    Consumer = $Consumer;
};

安全にイベントを受信する

次の方法で共有

標準コンシューマーを使用したイベントの監視と対応

例

フィードバック

その他のリソース

次の方法で共有

標準コンシューマーを使用したイベントの監視と対応

例

関連トピック

フィードバック

その他のリソース