Часть2. Мониторинг серверов. Мониторинг сетевых устройств. Просмотр событий

Одно из самых часто используемых и наиболее важных средств мониторинга системы — это регистрация различных событий в журналах операционной системы Windows. Регистрацию событий в системе Windows осуществляет служба "Журнал событий" (Event Log). В любой системе семейства Windows всегда присутствуют 3 журнала:

• журнал "Система" (System) — события, записанные в журнал компонентами операционной системы (например, сбой в запуске службы при перезагрузке); расположение журнала по умолчанию — в папке "%SystemRoot%\system32\config\SysEvent.Evt";

• журнал "Безопасность" (Security) — регистрация событий, относящихся к системе безопасности (например, попытки регистрации пользователей, изменения в политиках безопасности, попытки доступа к различным ресурсам); набор событий, регистрируемых в журнале "Безопасность", настраивается локальной или групповыми политиками; расположение по умолчанию — "%SystemRoot%\system 32\сопfig\SecEvent.Evt";

• журнал "Приложение" (Application) — события, порожденные различными приложениями (например, сбой MS SQL при доступе к базе данных); набор событий, регистрируемых в журнале "Приложения", определяется разработчиками приложений; расположение по умолчанию — "%SystemRoot%\system32\config\AppEvent.Evt".

При установке в системе каких-либо компонент могут появиться журналы, регистрирующие события, относящиеся к работе данных компонент.

При установке службы DNS появляется журнал "DNS-сервер" (DNS Server), регистрирующий события, связанные с работой службы DNS (расположение по умолчанию — "%SystemRoot%\system32\config\DNSEvent.Evt").

При создании контроллера домена в системе появляются журналы:

• журнал "Служба каталогов" (Directory Service) — события, порожденные службой каталогов Active Directory;. расположение по умолчанию — "%SystemRoot%\system32\config\NTDS.Evt";

• журнал "Служба репликации файлов" (File Replication Service) — события, связанные с репликацией файлов (в первую очередь файлы в папке SYSVOL и файлы в сетевых папках, управляемых рапределенной файловой системой DFS); расположение по умолчанию — "%SystemRoot%\system32\config\NtFrs.Evt".

Работа с журналами

Открыть системные журналы можно следующими способами:

• открыть консоль "Computer Management" и в разделе "System Tools" открыть оснастку "Event Viewer";

• открыть отдельную консоль "Event Viewer" в разделе "Administrative Tools" Главного меню системы Windows.

В левой части консоли будет список имеющихся на данном компьютере журналов, в правой части — список событий для выбранного журнала.

В большинстве журналов события бывают трех видов:

• Уведомление (Information)— информация о событии, связанным с успешным действием (например, успешный запуск или останов службы, успешное завершение операции какой-либо службы);

• Предупреждение (Warning) — информация о событиях, которые в будущем могут вызвать проблемы в работе системы;

• Ошибка (Eror)— сообщение об ошибке (например, сбой при запуске службы).

В журнале "Security" — 2 типа событий:

• Аудит успехов (Success Audit) — событие, связанное с успешным выполнением действия, связанного с системой безопасности (например, успешный вход в систему или успешный доступ к сетевому ресурсу);

• Аудит отказов (Failure Audit) — событие, связанное со сбоем в выполнении действия, связанного с системой безопасности (например, отказ в аутентификации пользователя при входе в систему по причине ввода неверного пароля, блокировка учетной записи после нескольких неудачных попыток входа в систему, отказ в доступе к сетевому ресурсу).

В столбцах журнала, кроме типа события, содержатся следующие данные:

• Дата и время регистрации события;

• Источник — приложение, служба или системная компонента, записавшие событие в журнал;

• Категория — категория события, иногда используемая для его более подробного описания;

• Событие — код события;

• Пользователь — учетная запись пользователя, действовавшая в момент события;

• Компьютер — имя компьютера, на котором произошло событие.

Если открыть какое-либо событие, то можно получить более детальную информацию о нем:

• Описание (Description) — текстовое описание события;

• Данные (Data) — любые данные, сгенерированные событием, или связанный с ним код ошибки.

Настройка параметров журналов событий

Размер и способ ведения журналов событий можно настраивать. Для настройки параметров надо щелкнуть правой кнопкой на нужном журнале событий и выбрать в контекстном меню команду Свойства.

По умолчанию размер большинства журналов системы Windows 2003 — 16 МБ (для журнала безопасности — 128 МБ, в предыдущих версиях системы стандартный размер журнала — 512 КБ). При заполнении журнала старые события будут стираться. Администратор может изменить как размер журнала, так и способ управления записями при достижении максимального размера журнала (например, автоматически затирать события старше какого-то определенного количества дней или вообще не затирать старые события, в этом случае новые события в журнале регистрироваться не будут).

Содержимое журналов можно очищать вручную — щелкнуть правой кнопкой мыши на журнале, выбрать в меню команду "Clear All Events". Система предложит сохранить стираемые события в отдельном файле, нужно выбрать требуемый вариант, и журнал будет очищен. При этом сохранять стираемые записи можно в трех разных вариантах: двоичном (с расширением файла ".evt", такой файл можно будет просматривать только программой "Event Viewer"), или текстовых (с расширением файла ".txt" —со знаком табуляции в качестве разделителя столбцов, а также с расширением файла ".csv" — с запятой в качестве разделителя). Сохранять содержимое журналов можно и без стирания старых записей. Открыть сохраненные записи можно через меню "Action" консоли "Event Viewer", выбрав пункт "Open log file".

Просмотр журналов (фильтрация событий)

В каждом из журналов накапливается большое количество событий, в которых трудно иногда найти нужные события. Заметим вначале, что щелчок мышью на заголовке любого столбца в консоли (оснастке) "Event Viewer" позволяет отсортировать события по убыванию или возрастанию значений данного столбца. Для более точного отбора искомых событий служат средства фильтрации в "Event Viewer". Если открыть свойства какого-либо журнала, то в открывшейся панели, кроме закладки "General", имеется также закладка "Filter", позволяющая установить правила для отбора событий.

Можно установить правила отбора:

• по типу событий — уведомления, предупреждения, ошибки, аудит успехов, аудит отказов;

• по источнику (например, компоненты системы Alerter, Browser, DCOM, DHCP, disk, eventlog, Server, System и др.);

• по категории (например, Диск, Оболочка, Принтеры, Сеть, Службы, Устройства и др.);

• по известному коду события;

• по имени пользователя;

• по имени компьютера;

• задать период времени — с какого по какой момент времени отобрать события.

На рис. изображен фильтр, отбирающий события с кодом 6005 с 1 PM 01.03.2010 до 1 PM 29.03.2010. Результат применения фильтра - с помощью данного фильтра были отобраны события, регистрирующие процесс запуска системной службы "Журнал событий.

Вернуться к полному просмотру всех событий можно, выбрав в меню "View" команду "All Records".

Аудит

Настройка политик аудита — важный фактор обеспечения безопасности и целостности системы. Каждая компьютерная система в сети должна быть настроена для протоколирования определенных событий, относящихся к системе безопасности. Политики аудита определяют, какие именно события в области безопасности системы должны регистрироваться в журнале "Security".

Процесс аудита безопасности настраивается с помощью групповых политик (напомним, что групповые политики можно определять для сайта, домена или организационного подразделения, а также для отдельной рабочей станции или сервера). Параметры аудита безопасности находятся в разделе "Security Settings — Local Policies — Audit Policy" любого объекта групповых политик.

На рис. изображены стандартные политики аудита для организационного подразделения "Контроллеры домена".

Рассмотрим параметры этого раздела:

• Аудит событий входа в систему регистрирует события, связанные с регистрацией пользователя в домене;

• Аудит управления учетными записями регистрирует управление учетными записями посредством консоли "Active Directory – Users and Computers" (события генерируются каждый раз, когда учетные записи пользователя, компьютера или группы создаются, изменяются или удаляются).

• Аудит доступа к службе каталогов регистрирует доступ к Active Directory;

• Аудит входа в систему регистрирует события, связанные с регистрацией пользователя на данном компьютере, окончанием сеанса работы и удаленными соединениями с сетевыми системами;

• Аудит доступа к объектам регистрирует попытки доступа пользователей к различным объектам — файлам, папкам, принтерам и объектам Active Directory;

• Аудит изменения политики регистрирует изменения разрешений доступа пользователей, аудита и доверительных отношений;

• Аудит использования привилегий регистрирует применение разрешений доступа и привилегий пользователя (например, использование прав резервного копирования файлов и каталогов);

• Аудит отслеживания процессов регистрирует системные процессы и ресурсы, используемые процессами;

• Аудит системных событий регистрирует запуск, выключение и перезагрузку системы, а также действия, влияющие на безопасность системы или на журнал безопасности;