Cautand prin Event Viewer – EventCombMT

Dintotdeauna cautatul prin Windows Event Logs a fost o problema. Cred ca daca ar fi renuntat la formatul ala binar ar fi fost mult mai simplu. Lucrurile au evoluat totusi incepand cu Vista/2008 dar parca nu suficient. inca e nevoie sa ne bazam pe solutii thirdparty sau sa apelam la scripturi. De fapt pe partea de scripting s-a avansat atat de mult incat nimeni nu se mai gandeste sa dezvolte tool-uri GUI.

Dar sa luam exemplul in care nu am in sistem centralizat de colectare al logurilor si trebuie sa caut ceva in cateva sute de servere? O sa-mi ia ceva timp nu? Sau nu o sa-mi ia deloc pentru ca o sa zic ca asa ceva e imposibil de realizat.

Prin scripting ar merge insa o sa va invit pe voi sa faceti asta in powershell. Eu in continuare in caz de situatii disperate folosesc un tool din Resource Kit (2000/2003) numit EventCombMT. Daca nu l-ati folosit pana in ziua de azi exista si o explicatie – descrierea de aici (Check replication?).

Iata si cum arata interfata:

Eventcombmt poate selecta toate DC-urile din domeniu si poate efectua cautari pe mai multe servere in paralel (da, este multithreading) pana la 100. Vine si cu cateva criterii de cautara predefinite, cea mai utila fiind cea pentru account lockouts:

Mai sunt si alte optiuni, unele nedocumentate:

 

Throttle CPU il “infraneaza” putin si limiteaza folosirea procesorului la maxim. In cateva cazuri masina de pe care l-am rulat statea numai in 100% CPU Usage.

Cu tot cu cache SIDs activat mi s-a parut destul de lent atunci cand cauti prin Security Logs (eh, am cautat si prin cateva milioane de inregistrari) dar de fiecare data si-a facut treaba.

Pentru fiecare server interogat genereaza un fisier text care arata cam asa:

6008,ERROR,EventLog,Tue Sep 15 01:53:24 2009,No User,The previous system shutdown at 12:05:03 AM on ?9/?15/?2009 was unexpected. 
The longest gap between all scanned records occurred at Tue Sep 15 02:36:06 2009 and was 14 days, 9 hours, 39 minutes, 48 seconds.
c:\temp\DC1-System_LOG.txt contains 1 parsed events.

In exemplul de mai sus am cautat evenimente de tip Error in logul System.

Data viitoare o sa facem asta cu scripturi.

PS: Functioneaza si pe Windows 2008/2008R2

2 Responses to “Cautand prin Event Viewer – EventCombMT”