![Syslog - 从 Win2k 机器捕获事件日志](https://linux22.com/image/521152/Syslog%20-%20%E4%BB%8E%20Win2k%20%E6%9C%BA%E5%99%A8%E6%8D%95%E8%8E%B7%E4%BA%8B%E4%BB%B6%E6%97%A5%E5%BF%97.png)
我在 SuperUser 中问了这个问题,但是没有得到太多的答复,因此我将其发布在这里,看看是否有人可以提供帮助。
我们有一个中央系统日志服务器,我们希望它能捕获来自 Windows 主机的事件日志事件。我们特别感兴趣的是记录服务启动/停止事件。我们在这些 Windows 主机上安装了“Eventlog to Syslog”,并且所有功能在 XP 主机上都能很好地运行(事件来自服务控制管理器)。但是,我们在 Win2k 主机上遇到了问题。出于某种原因,服务启动/停止事件不会记录在 Win2k 主机的事件日志中。我让另一家公司的另一个朋友在 Win2k 主机上进行测试,他确实收到了启动/停止事件。我到处寻找我需要启用的本地审计策略,但运气不佳。有人有什么想法吗?
提前致谢。
答案1
尝试使用 syslogAgent (http://syslogserver.com/syslogagent.html) 不需要任何特殊配置(我还没有尝试过 eventlog 所以我不知道)。
如果再次失败,则您的审计守护进程可能已停用。否则,问题出在 eventlog 的配置上。(也许它会帮助你http://www.windowsecurity.com/articles/Windows-Active-Directory-Auditing.html)
答案2
我最初的怀疑是您的 W2K 服务器上的 COM+ 或 SENS 服务之类的服务被禁用或损坏。我不确定这两者是否会导致您的问题,但它们是一个很好的起点。如果您在受影响的系统上仍然收到登录\注销事件,那么这不太可能是原因,因为如果这些服务中的任何一个出现问题,这些服务将被禁用。可能值得研究“标准”列表Windows 2000 服务查看是否有任何重要的东西被禁用或无法启动。
您可以使用SysInternals 进程监视器尝试找出启动/停止某些服务时失败的所有内容。在这种情况下,它可能无法提供帮助,但如果存在错误或访问权限问题阻止记录事件,则 Process Monitor 应该会在您每次启动/停止服务时报告该问题。
另一种可能有效的方法是启用对服务的审核,即使您无法弄清楚如何让停止\启动事件本身生成事件。如果您对服务本身使用实际的服务帐户,那么您应该能够捕获与启动\停止相关服务相关的帐户登录\注销事件。此 Technet 链接如果您想尝试一下,应该可以帮助您入门。