Monitorando logs de eventos do Windows

Os logs de eventos são usados para monitorar os servidores Windows na sua rede. Eles ajudam a acompanhar os eventos de programas, segurança e sistema que ocorrem em dispositivos Windows. Por exemplo, você pode identificar problemas de desempenho, como falha de processo, ou eventos de segurança, como tentativas de login não autorizadas.

Como monitorar logs de eventos em um dispositivo

No computador Windows, existe um Visualizador de Eventos padrão que ajuda você a ver os eventos naquela máquina. Porém, verificar os eventos manualmente por esse método não é viável se você quiser monitorar uma rede corporativa. O OpManager oferece suporte ao monitoramento de logs de eventos e ajuda você a identificar facilmente eventos críticos com a ajuda de alertas.

Pré-requisito: o OpManager usa WMI para buscar os detalhes desses logs em um dispositivo Windows.

Portanto, certifique-se de fornecer as credenciais de login de um usuário com privilégios administrativos para acessar o dispositivo final. (Se você for um usuário não administrador (acesse este artigo da base de conhecimento para saber mais). Para monitorar eventos do Windows, você precisa associar os monitores de log de eventos ao dispositivo.

Depois de se certificar de que possui as permissões necessárias, siga as etapas abaixo:

Navegue até Inventário -> Dispositivos e clique em um dispositivo.
Clique em Monitores -> Monitores de EventLog -> Adicionar monitor.
Selecione os logs de eventos que serão monitorados no dispositivo.
Clique em Associar para adicionar os monitores selecionados ao dispositivo.

Monitorando logs de eventos do Windows no OpManager: lista de monitores de log de eventos

Observação: A caixa de seleção Intervalo de monitoramento deve estar habilitada. Se estiver desabilitada, todos os monitores de log de eventos associados ao dispositivo serão desativados e não funcionarão, embora estejam associados ao dispositivo.

Criando um monitor de log de eventos

Para criar um monitor de log de eventos, siga as etapas abaixo:

Acesse Configurações > Monitoramento > Regras de log de eventos
Nesta página, você pode ver as regras padrão suportadas pelo OpManager. Elas são categorizadas em Applications, Security, System, DNS Server, File Replication Service e Directory Service.

Para adicionar uma nova regra, clique em Adicionar.
Observação: Os campos obrigatórios são apenas as entradas do Nome da regra. Os detalhes inseridos nos outros campos são usados para filtrar o evento. Por exemplo, quando você informa a origem e o ID do evento, todos os eventos com o ID informado e a partir da origem especificada serão monitorados. Em outro caso, se você informar apenas a categoria, como erro, todos os eventos com a categoria erro serão monitorados.

Selecione o nome do arquivo de log (Log File Name).
Digite um Nome de regra exclusivo.
Insira o ID do evento a ser monitorado. Este é o identificador exclusivo dos logs de eventos.
Insira a Origem do evento. Esta é a origem que registra o evento; pode ser um aplicativo ou um subcomponente de um aplicativo. Por exemplo: DesktopCentral, Microsoft Windows security.
Insira a Categoria do evento. Cada origem de evento define suas próprias categorias, como erro de gravação de dados, erro de leitura de dados e assim por diante, e o evento se encaixa em uma delas.
Digite o nome do Usuário para filtrar o log de eventos com base no usuário que estava logado quando o evento ocorreu.
Escolha os Tipos de evento para filtrar os logs de eventos com base em seu tipo. Normalmente será um entre Erro, Aviso, Informação, Sucesso de auditoria de segurança e Falha de auditoria de segurança.

Texto de correspondência da descrição: Insira a cadeia de caracteres a ser comparada com a mensagem do log. Isso filtrará os eventos que contêm essa cadeia de caracteres na mensagem do log.

Você também pode usar Expressões regulares (RegEx) para especificar o critério de correspondência para esse campo. Por exemplo, considere uma descrição de Eventlog que diz "Check whether any firewall is blocking". Abaixo estão alguns exemplos de como você pode formar padrões de RegEx para essa mensagem:

Condição	Lógica usada	Padrão RegEx	RegEx real
Contém "Check" e "any"	E (AND)	(?=.XXX)(?=.YYY)	(?=.Check)(?=.any)
Contém "blocking" ou "firewall"	OU (OR)	(XXX)\|(YYY)	(blocking)\|(firewall)
Não contém "firewall"	NÃO (NOT)	^(?!.XXX).$	^(?!.firewall).$

Gerar alarme se o evento for acionado: Por padrão, o OpManager gera um alarme se o evento ocorrer. No entanto, você pode configurar o número de vezes consecutivas em que o evento pode ocorrer dentro de um determinado número de segundos para que um alarme seja gerado.
Escolha uma severidade para o alarme gerado no OpManager para esse evento. Por exemplo, para eventos de segurança você pode atribuir a severidade Crítico. Os níveis de severidade disponíveis são Critical, Trouble, Attention, Clear e Ignore event. (A opção ignorar evento é usada para evitar a geração de um alerta para um evento)

Clique em OK para salvar a regra de log de eventos.

Os detalhes como Origem, Categoria e ID do evento estarão disponíveis no Visualizador de Eventos do seu servidor.

Monitorando logs de eventos do Windows no OpManager: exemplo do Visualizador de Eventos

A imagem acima mostra um exemplo de evento de segurança. A partir do Visualizador de Eventos você pode obter os detalhes necessários, especificá-los no OpManager e monitorar o evento.

Monitorando logs de eventos personalizados

Você também pode monitorar logs de eventos em uma categoria personalizada. Alguns aplicativos registram eventos em uma nova categoria diferente das categorias padrão System/Applications/Security. Agora você pode configurar regras no OpManager para analisar os eventos nessas categorias personalizadas e acionar alertas correspondentes no OpManager. Veja as etapas:

Acesse Configurações > Monitoramento > Regras de log de eventos
Clique em Adicionar log de evento personalizado
Selecione um dispositivo na lista suspensa no qual você pode consultar as categorias de eventos.
Forneça os detalhes de WMI, Nome de usuário e Senha do dispositivo.
Listar logs criados nos últimos Configure o período para listar os logs e clique em Consultar dispositivo
Os logs personalizados no dispositivo selecionado serão listados. Selecione um log em Arquivos de log descobertos e clique em OK

Monitorando logs de eventos do Windows no OpManager: monitoramento de logs de eventos personalizados

Como configurar monitores de log de eventos em massa para vários dispositivos

Associar monitores de log de eventos a vários dispositivos é simples no OpManager com a opção Assistente de configuração rápida (Quick Configuration Wizard).

Navegue até Configurações > Configuração > Assistente de configuração rápida.
Clique em Regras de log de eventos.
Selecione o arquivo de log, por exemplo, Application, Security. Escolha o evento que você deseja monitorar no menu suspenso Regra (Rule) e associe a regra.
Selecione os dispositivos na coluna Todos os dispositivos e mova-os para a coluna Dispositivos selecionados.
Clique em Salvar. Os monitores serão associados a todos os dispositivos selecionados na sua rede.

Monitorando logs de eventos do Windows no OpManager: assistente de configuração rápida para logs de eventos

Automatizar a associação de regras de log de eventos a dispositivos

Aplicar regras de log de eventos a vários dispositivos é mais fácil usando o QCW; no entanto, se você descobre novos dispositivos com frequência para monitoramento, adicionar monitores de log de eventos a novos dispositivos pode se tornar uma tarefa trabalhosa.

Você pode automatizar o processo de associação de regras de log de eventos usando o mecanismo de regras de descoberta (Discovery rule engine). Usando essa opção, você pode criar sua própria regra para associar regras de log de eventos a dispositivos específicos, como servidores Windows.

A regra de log de eventos será aplicada a servidores Windows sempre que forem descobertos no OpManager.

Monitorando logs de eventos do Windows no OpManager: automatizar associação de regras de log de eventos a dispositivos

Receber notificações instantâneas sobre eventos críticos

Você pode configurar o recebimento de notificações para eventos importantes do Windows por vários canais, como SMS/e-mail, usando o recurso Perfil de notificação. Ao selecionar o critério para receber notificações, marque a opção de gerar alarmes pela regra de log de eventos para gerar alarmes relacionados a eventos por vários canais.