排列三字谜

常見Windows日志轉SYSLOG工具使用

2015-03-06 14:11:48來源:游俠安全網作者:張百川(網路游俠)

隨著信息技術的高速發展,網絡中的設備越來越多,漸漸的我們發現依賴傳統手段去一臺臺分析設備(路由器、交換機、防火墻、服務器、數據庫、中間件等)的日志已經嚴重影響了我們的工作效率,并無法對業務系統的可用性提供保障。

隨著信息技術的高速發展,網絡中的設備越來越多,漸漸的我們發現依賴傳統手段去一臺臺分析設備(路由器、交換機、防火墻、服務器、數據庫、中間件等)的日志已經嚴重影響了我們的工作效率,并無法對業務系統的可用性提供保障。總是在問題出現之后才充當救火員的角色。所以,是時候對運維日志進行集中管理了。

如第一段文字所說,運維日志有很多種,今天我們先說如何進行Windows日志的發送,畢竟這個畢竟容易下手……游俠會在近期撰寫服務端的一些文字。

Windows操作系統本身是可以產生很多日志的,如每次插拔U盤、服務的重啟等,都會產生日志,這些信息會記錄在操作系統中,但Windows不像交換機、Linux那樣自帶syslog,而Windows系統自身的日志又不支持轉發,所以要想收集Windows日志,必須安裝Agent。用其將Windows的系統日志、安全日志、應用日志等轉換為syslog然后轉發給我們的服務器端。

OK,現在我們說幾款常見的Windows日志轉SYSLOG工具,游俠選擇了開源或免費的工具,所以……放心的用吧!

1.evtsys

1.1.說明

Evtsys是用C寫的程序,提供發送Windows日志到syslog服務器的一種方式。它支持Windows Vista和Server 2008,支持32和64位環境。evtsys被設計用于高負載的服務器,Evtsys快速、輕量、高效率。并可以作為Windows服務存在。

1.2.下載

http://code.google.com/p/eventlog-to-syslog/downloads/list

1.3.配置

Evtsys的安裝本來是要拷貝文件、cmd輸入命令的,但是還是比較麻煩,游俠這里用批處理解決!Evtsys有兩個版本,安裝目錄不同,這里分開說明:

1.3.1. 32位系統evtsys安裝

copy evtsys.exe c:windowssystem32

copy evtsys.dll c:windowssystem32

cd c:windowssystem32

evtsys.exe -i -h 192.168.1.41 -p 514

net start evtsys

1.3.2. 64位系統evtsys安裝

copy evtsys.exe c:windowsSysWOW64

copy evtsys.dll c:windowsSysWOW64

cd c:windowsSysWOW64

evtsys.exe -i -h 192.168.1.41 -p 514

net start evtsys

我們可以看到32位系統下是把文件復制到c:windowssystem32目錄,而在64位系統下是復制到c:windowsSysWOW64目錄。中間的192.168.1.41是syslog服務器的IP地址,這個要根據實際需求調整,否則收不到的哦!514是端口號,也一定別寫錯!

當然,evtsys還有一些高級用法,如過濾日志等,請閱讀其自帶的說明。

2.Snare

2.1.說明

SNARE for Windows是一款讓你很容易的把Windows(NT/2000/XP/2003等,亦支持64位系統)事件日志實時轉發到SYSLOG服務器的程序,并且無論是32位還是64位系統,只有一個安裝包,也可以配置靜默安裝模式,當然這個需要您自己去看文檔了。

SNARE支持安全日志、應用日志、系統日志,同時支持DNS、文件復制服務、活動目錄(Active Directory)日志等。

2.2.下載

http://sourceforge.net/projects/snare/files/Snare%20for%20Windows/

2.3.配置

下載下來的文件是SnareForWindows-4.x.x.x-MultiArch.exe這樣的,基本上只需要Next就可以安裝完畢。然后開始菜單中InterSect Alliance下面有三個子項:

Disable Remote Access to Snare for Windows:禁止Snare的遠程管理

Restore Remote Access to Snare for Windows:恢復Snare的遠程管理

Snare for Windows:程序配置界面,選擇后在瀏覽器打開http://localhost:6161/地址,然后選擇左側菜單的Network Configuration選項:

其中的192.168.1.41是你syslog服務器的IP地址,514是服務器的端口號,其它的照上圖去配置就OK了。然后……你就會發現你的SYSLOG服務器就可以收到Windows服務器的日志了!很方便。

3.NTsyslog

3.1.說明

NTsyslog是一款Free軟件,這里你認為是自由軟件也好、免費軟件也好,都對!

NTsyslog作為一項服務存在于Windows NT操作系統。它把所有的系統、安全、應用事件格式化成一行,然后發送到syslog服務器。

3.2.下載

http://sourceforge.net/projects/ntsyslog/files/Installer/NTSyslog%201.15%20%28full%29/

3.3.配置

安裝不說了,一路Next即可!裝完之后在桌面有個NTSyslogCtrl-Tool圖標,點擊運行。

點“syslog Daemons”寫入syslog服務器的地址:

點擊Start Service開始服務就可以收到syslog了!

相關閱讀:[游俠原創:Windows日志轉SYSLOG工具——nxlog]

本文游俠給大家介紹的是幾款將Windows日志轉換為syslog的工具,可能有些讀者會問:有什么作用?游俠會在接下來的文章中繼續講解,這些日志怎么用的問題。

放個圖出來……

20150305202747

關鍵詞:SYSLOG

贊助商鏈接:

排列三字谜