First. 8.0 Einführung. Max. Linie. Max. Linie. KAPITEL 8 Ereignisprotokolle. Grafische Benutzerschnittstelle. Kapitel 8

Transkript

1 First Kapitel 8 KAPITEL 8 Ereignisprotokolle 8.0 Einführung Ereignisprotokolle stellen für das Betriebssystem, Dienste und Anwendungen den üblichen Weg dar, wichtige Aktionen (z.b. einen Anwendungsfehler) festzuhalten, Statusmeldungen auszugeben, sicherheitsrelevante Ereignisse nachzuhalten und Bootmeldungen zu protokollieren. In dieser Hinsicht ähneln Ereignisprotokolle stark dem syslog der Unix- und Linux-Plattformen. Sie können extrem nützliche Informationsquellen sein, wenn es bestimmte Fehler zu analysieren gilt, und sind häufig der erste Ort, an dem ich nachsehe, wenn ich ein untersuchen muss. Als vorbeugende Maßnahme sollten Sie die Ereignisprotokolle Ihrer Server im Auge behalten, um e zu erkennen, die zwar im Protokoll festgehalten, von Ihrer Überwachungssoftware aber nicht gemeldet wurden. Grafische Benutzerschnittstelle Es gibt zwei grafische Tools, mit denen Sie vertraut sein müssen, wenn Sie die Meldungen in den Ereignisprotokollen durchsuchen und betrachten wollen. Die Ereignisanzeige (Event Viewer, eventvwr.msc) gibt es seit den Tagen von Windows NT, und sie ist standardmäßig unter Verwaltung zu finden. Es handelt sich um ein einfaches MMC-Snap-In, mit dem Sie die Meldungen in den verfügbaren Ereignisprotokollen betrachten und durchsuchen können. Sie können sich damit sogar die Ereignisprotokolle entfernter Server ansehen, aber je nach Größe des Logs auf dem entfernten Server und der Güte Ihrer Netzwerkverbindung kann das eine schmerzlich langsame Angelegenheit sein. Als Teil des Windows Server 2003 Resource Kits hat Microsoft das Event Comb-Utility (eventcombmt.exe) allgemein verfügbar gemacht. Event Comb ist ein mächtiges Utility, mit dem Sie mehrere Ereignisprotokolle über verschiedene Server hinweg gleichzeitig untersuchen können. Damit ist die Suche nach Ereignis-ID, Quelle, Typ, Protokoll und Ereignisbeschreibung möglich. Event Comb ist eine Multithread-Anwendung, d.h. es kann auf mehrere Server gleichzeitig angesetzt werden, und Sie können die Anzahl der Threads festlegen, die gleichzeitig ausgeführt werden sollen. 227

2 Kommandozeilenschnittstelle Unter Windows 2000 verfügten die vorhandenen Kommandozeilenwerkzeuge für Ereignisprotokolle nur über eine eingeschränkte Funktionalität. Bei Windows Server 2003 wurden neue Tools eingeführt, die viele neue Features besitzen, mit denen Ereignisse gesucht und angelegt sowie Ereignisauslöser (event trigger) konfiguriert werden können. Tabelle 8-1 führt die in diesem Kapitel verwendeten Kommandozeilenwerkzeuge auf. Links Tabelle 8-1: In diesem Kapitel verwendete Kommandozeilen-Tools Tool Windows Server 2003 Windows 2000 Rezepte elogdmp -- Windows 2000 Resource Kit 8.9, 8.10 eventcreate %SystemRoot%\System eventquery.vbs %SystemRoot%\System , 8.9, 8.10 eventtriggers %SystemRoot%\System logevent -- Windows 2000 Resource Kit 8.1 psloglist Sysinternals Sysinternals 8.2 reg %SystemRoot%\System32 Windows 2000 Support Tools 8.3, 8.5, 8.6 wmic %SystemRoot%\System32\wbem , 8.11 Es gibt zwei WMI-Klassen, die ich während des gesamten Kapitels verwende. Die Win32_ NTLogEvent-Klasse repräsentiert individuelle Protokollmeldungen, und Win32_NTEventlogFile repräsentiert die Datei, die diese Meldungen enthält. Diese beiden Klassen bieten den Großteil der Funktionalität, die Sie benötigen, um Ereignisprotokolle zu lesen, zu durchsuchen und zu konfigurieren. Eine Sache fehlt allerdings: Keine Klasse ist in der Lage, Meldungen im Ereignisprotokoll zu erzeugen. In Rezept 8.1 zeige ich Ihnen, wie das mit der WSH-Methode LogEvent funktioniert. 8.1 Ein Ereignis erzeugen Sie möchten ein Ereignis in ein Ereignisprotokoll schreiben. Das kann recht nützlich sein, wenn Sie bestimmte auf einem Server vorgenommene Aktionen dokumentieren wollen. Kommandozeilen-Schnittstelle Der folgende Befehl steht bei Windows Server 2003 zur Verfügung: > eventcreate /T <EventTyp> /ID <EventID> /L <LogName> /SO <EventQuelle> /D "<EventBeschr>" 228 Kapitel 8: Ereignisprotokolle

3 Rechts Der folgende Befehl schreibt ein Event (Ereignis) in das Anwendungs-Ereignisprotokoll und verwendet dabei die Event-ID 999 und die Quelle SysAdmin: > eventcreate /T INFORMATION /ID 999 /L APPLICATION /SO SysAdmin /D "Server-Neustart nach Service Pack-Installation" Das logevent-tool, das im Windows 2000 Resource Kit zur Verfügung steht, kann ebenfalls zur Generierung von Events verwendet werden: > logevent -s <EventTyp> -e <EventID> -r <EventQuelle> "<EventBeschr>" Das folgende Beispiel entspricht dem obigen eventcreate-beispiel, das ein Ereignis in das Anwendungsprotokoll geschrieben hat: > logevent -s I -e 999 -r SysAdmin "Server-Neustart nachservice Pack-Installation" ' Dieser Code schreibt ein Ereignis in das Anwendungs-Ereignisprotokoll. ' SKRIPT-KONFIGURATION strserver = "\\<ServerName>" ' z.b. fs01 strdescr = "<EventBeschr>" ' z.b. Server-Neustart nachservice Pack-Installation ' ENDE DER KONFIGURATION Const EVENT_SUCCESS = 0 Const EVENT_ERROR = 1 Const EVENT_WARNING = 3 Const EVENT_INFO = 4 set objwshshell = Wscript.CreateObject("Wscript.Shell") boolrc = objwshshell.logevent(event_info, strdescr, strserver) if boolrc = TRUE then else end if Diskussion WScript.Echo "Ereignis erfolgreich angelegt." WScript.Echo "Fehler beim Anlegen des Ereignisses." Die meisten Windows-Administratoren verwenden das Ereignisprotokoll als passives Werkzeug, d.h. sie untersuchen die Logs in regelmäßigen Abständen auf der Suche nach Dingen, die ihre Aufmerksamkeit verlangen. Sie können Ereignisprotokolle aber auch aktiver nutzen, indem Sie auf dem Server vorgenommene Aktionen oder Konfigurationsänderungen dokumentieren. Mit den beschriebenen Kommandozeilen-en sind eigene Ereignismeldungen sehr einfach zu realisieren. Sie sollten ein Ereignis für jede signifikante Operation auf dem Server festhalten, z.b. bei der Installation einer neuen Anwendung. Auf diese Weise wird das Ereignisprotokoll zum Änderungsmanagementsystem des armen Mannes. 8.1 Ein Ereignis erzeugen 229

4 Grafische Benutzerschnittstelle Keines der grafischen Tools (z.b. das Ereignisanzeige-Snap-In) erlaubt die Generierung eigener Meldungen im Ereignisprotokoll. Links Kommandozeilen-Schnittstelle Um ein Ereignis auf einer entfernten Maschine anzulegen, übergeben Sie die Option /S, gefolgt vom Hostnamen, an eventcreate, bzw. -m, gefolgt von \\ und dem Hostnamen, bei logevent. Verwenden Sie /U und /P, um ein alternatives Benutzerkonto bzw. Passwort für eventcreate anzugeben (vergleichbare Optionen gibt es für logevent nicht). Mit WSH können Sie ein Ereignis nur im Anwendungsprotokoll generieren. Die WMI EventLog-Klassen unterstützen keine eigenen Ereignisprotokoll-Meldungen. Allerdings können Sie den eventcreate-befehl über die Shell aufrufen, um Ereignisse in anderen Protokollen festzuhalten. Siehe auch MS KB (HOW TO: Create Custom Events) 8.2 Ereignisse ansehen Sie möchten sich die Ereignisse in einem Ereignisprotokoll ansehen. Grafische Benutzerschnittstelle 1. Öffnen Sie die Ereignisanzeige (eventvwr.msc). Um die Verbindung mit einem entfernten Rechner herzustellen, klicken Sie mit der rechten Maustaste das Ereignisanzeige-Icon an und wählen Verbindung zu anderem Computer herstellen. 2. Auf der linken Seite klicken Sie das Ereignisprotokoll an, dessen Ereignisse Sie sich ansehen wollen. 3. Wählen Sie auf der rechten Seite mit einem Doppelklick ein Ereignis aus, das Sie sich ansehen wollen. Kommandozeilen-Schnittstelle Sie können die eventquery.vbs- oder psloglist-befehle nutzen, um sich die Ereignisse in einem Ereignisprotokoll anzusehen. Beide nachfolgenden Beispiele geben die letzten 10 Datensätze des Anwendungs-Ereignisprotokolls aus. Beide Befehle kennen zahlreiche 230 Kapitel 8: Ereignisprotokolle

5 Rechts Optionen, mit denen man sich bestimmte Ereignisse ansehen kann. Weitere Informationen finden Sie in der Befehlssyntax-Hilfe. Beispiel: > eventquery.vbs /s <ServerName> /l <LogName> /R <MaxEvents> > eventquery.vbs /s server01 /l Application /R 10 Mit psloglist: Beispiel: > psloglist \\<ServerName> -n <MaxEvents> <LogName> > psloglist \\server01 -n 10 Application ' Dieser Code gibt die Ereignisse in einem Ereignisprotokoll aus. ' SKRIPT-KONFIGURATION strlog = "<LogName>" ' z.b. Application intnum = <intmax> ' z.b. 10 ( Anzahl auszugebender Ereignisse) strserver = "<ServerName>" ' z.b. fs01 (verwenden Sie "." für den lokalen Server) ' ENDE DER KONFIGURATION ' Diese Konstanten stammen aus WbemFlagEnum const wbemflagreturnimmediately = 16 const wbemflagforwardonly = 32 ' Dieser erste Teil ermittelt, wie viele Ereignisse im Protokoll stehen set objwmi = GetObject("winmgmts:\\" & strserver & "\root\cimv2") set collogs = objwmi.execquery("select * from Win32_NTEventlogFile " & _ "Where Logfilename = '" & strlog & "'",, _ wbemflagreturnimmediately + wbemflagforwardonly) if collogs.count > 1 then WScript.Echo "Fataler Fehler. Anzahl gefunderer Ereignisprotokolle: " & collogs.count WScript.Quit end if for eachobjlog in collogs intlogmax = objlog.numberofrecords next if intlogmax > intnum then intnum = intlogmax - intnum else intnum = intlogmax end if ' Nun lesen wir bis zu intnum Ereignisse ein set colevents = objwmi.execquery("select * from Win32_NTLogEvent " & _ "Where Logfile = '" & strlog & "' and RecordNumber >= " & _ intnum,,wbemflagreturnimmediately + wbemflagforwardonly) for eachobjevent in colevents Wscript.Echo "Datum: " & objevent.timewritten Wscript.Echo "Quelle: " & objevent.sourcename 8.2 Ereignisse ansehen 231

6 Links next Diskussion Wscript.Echo "Kategorie: " & objevent.category Wscript.Echo "Tye: " & objevent.type Wscript.Echo "Ereignis: " & objevent.eventcode Wscript.Echo "Benutzer: " & objevent.user Wscript.Echo "Computer: " & objevent.computername Wscript.Echo "Beschreibung: " & objevent.message WScript.Echo "------" Ein Eintrag im Ereignisprotokoll setzt sich aus verschiedenen Feldern zusammen. Tabelle 8-2 erläutert die einzelnen Felder. Tabelle 8-2: Felder im Ereignisprotokoll Feld Beschreibung Datum Datum, zu dem das Ereignis stattgefunden hat. Beispiel: Uhrzeit Die lokale Zeit, zu der das Ereignis stattgefunden hat. Beispiel: 12:09:23. Typ Information, Warnung oder Fehler. Benutzer Benutzerkonto, unter dem das Ereignis erzeugt wurde (falls zutreffend). Beispiel: AMER\rallen. Computer Computer, auf dem das Ereignis erzeugt wurde. Beispiel: RALLEN-WXP. Quelle Kategorie Anwendung oder Prozess, der das Ereignis generiert hat. Beispiel: Automatische Updates. Klassifiziert Ereignisse innerhalb einer Quelle. Beispiel: Download. Ereignis Nummer, die das Ereignis innerhalb der Quelle und der Kategorie identifiziert. Beispiel: Beschreibung Inhalt der Ereignismeldung. Eine Sache, die es bei der - zu beachten gilt, ist die Verwendung zweier WMI-Konstanten: wbemflagreturnimmediately und wbemflagforwardonly. Wenn Sie standardmäßig die ExecQuery-Methode verwenden, um eine Menge durchzugehen, muss die zugrunde liegende Abfrage erst abgeschlossen sein, bevor der Code die zutreffenden Datensätze durchgeht. Wenn Sie ein großes Ereignisprotokoll bearbeiten, kann das die Performance des Skripts signifikant beeinflussen, während das Skript darauf wartet, dass Tausende von Records zurückgeliefert werden. Wenn Sie wbemflagreturnimmediately + wbemflagforwardonly (also den Wert 48) als dritten Parameter an ExecQuery übergeben, wird die Performance deutlich verbessert. wbemflagreturnimmediately sorgt dafür, dass ExecQuery unmittelbar zurückkehrt, und erlaubt es Ihnen, die passenden Objekte zu verarbeiten, während sie eingehen. wbemflagforwardonly fordert einen Enumerator an, der nicht zurückgesetzt werden kann, was bedeutet, dass WMI die Objekte freigeben kann, nachdem Sie sie gesehen haben. Siehe auch Rezepte 8.10, 8.12 und MSDN: Improving Enumeration Performance 232 Kapitel 8: Ereignisprotokolle

7 Rechts 8.3 Ein neues Ereignisprotokoll anlegen Sie möchten ein eigenes Ereignisprotokoll anlegen. Das kann recht nützlich sein, wenn Sie eine Anwendung nutzen, die eine Reihe von Ereignissen in das Ereignisprotokoll schreibt, und Sie verhindern wollen, dass es einen der Standardlogs vollschreibt. Grafische Benutzerschnittstelle 1. Öffnen Sie den Registrierungs-Editor (regedit.exe). 2. Auf der linken Seite bewegen Sie sich zu HKLM ¾ SYSTEM ¾ CurrentControlSet ¾ Services ¾ Eventlog. 3. Klicken Sie Eventlog mit der rechten Maustaste an, und wählen Sie Neu ¾ Schlüssel. 4. Geben Sie den Namen des neuen Ereignisprotokolls ein, und drücken Sie Enter. Kommandozeilen-Schnittstelle Legen Sie den folgenden Registrierungs-Schlüssel an, und ersetzen Sie dabei <LogName> durch den Namen der neuen Protokolldatei: > reg add \\<ServerName>\HKLM\SYSTEM\CurrentControlSet\Services\Eventlog\<LogName> ' Dieser Code erzeugt ein neues Ereignisprotokoll. ' SKRIPT-KONFIGURATION strnewlog = "<LogName>" ' z.b. MyLog strserver = "<ServerName>" ' z.b. fs01 (verwenden Sie "." für den lokalen Server) ' ENDE DER KONFIGURATION const HKLM = &H strkeypath= "SYSTEM\CurrentControlSet\Services\EventLog\" & strnewlog set objreg = GetObject("winmgmts:\\" & strserver & "\root\default:stdregprov") objreg.createkey HKLM, strkeypath WScript.Echo "Ereignisprotokoll angelegt: " & strnewlog Diskussion Wenn Sie sich die Ereignisse in einem Ereignisprotokoll mit einem Tool wie der Ereignisanzeige ansehen, dann interagieren Sie in Wirklichkeit mit dem Ereignisprotokolldienst. Es ist dieser Dienst, den Anwendungen nutzen, um Ereignisse zu schreiben und abzurufen. Jedes Ereignisprotokoll ist als Subschlüssel unter HKLM\SYSTEM\CurrentControlSet\ Services\Eventlog definiert. Der Name des Subschlüssels ist der Name des Ereignisprotokolls. Der Ereignisprotokolldienst überwacht diesen Schlüssel ständig und achtet darauf, ob neue Subschlüssel angelegt wurden. Wird ein neuer Schlüssel entdeckt, legt er ein neues Ereignisprotokoll an. Sobald ein neuer Schlüssel erkannt wurde, erzeugt der Ereignisprotokolldienst eine Datei unter dem Verzeichnis %SystemRoot%\System32\config, die 8.3 Ein neues Ereignisprotokoll anlegen 233

8 die Ereignisprotokollmeldungen aufnimmt. Wenn Sie den Subschlüssel Test nennen würden, würde der Dateiname Test.evt lauten. Sie können das neue Ereignisprotokoll dann ebenso einrichten wie die Standard-Ereignisprotokolle (Maximalgröße, Beibehaltungszeitraum etc.). Siehe auch Rezept 8.1, MS KB (How to Change the Default Event Viewer Log File Location) und MS KB (HOW TO: Move Event Viewer Log Files to Another Location in Windows 2000) Links 8.4 Die Größe eines Ereignisprotokolls ermitteln Sie möchten die Größe eines Ereignisprotokolls bestimmen. Grafische Benutzerschnittstelle 1. Öffnen Sie die Ereignisanzeige (eventvwr.msc). 2. Auf der rechten Seite klicken Sie das gewünschte Ereignisprotokoll an und wählen die Eigenschaften. 3. Das Größe-Feld enthält die Größe des Ereignisprotokolls in Kilobyte und Byte. Kommandozeilen-Schnittstelle Der folgende Befehl gibt die Dateigröße aller Ereignisprotokolle aus, die an der Standardposition des Dateisystems liegen: > dir %systemroot%\system32\config\*evt ' Dieser Code gibt die Größe des angegebenen Ereignisprotokolls in KB aus ' SKRIPT-KONFIGURATION strlog = "LogName>" ' z.b. Security strserver = "<ServerName>" ' z.b. fs01 (verwenden Sie "." für den lokalen Server) ' ENDE DER KONFIGURATION set objwmi = GetObject("winmgmts:\\" & strserver & "\root\cimv2") set collogs = objwmi.execquery("select * from Win32_NTEventlogFile Where : & _ Logfilename = '" & strlog & "'") if collogs.count > 1 then WScript.Echo "Fatal error. Number of logs found: " & collogs.count WScript.Quit end if for eachobjlog in collogs WScript.Echo strlog & " size: " & objlog.filesize / 1024 & "KB" next 234 Kapitel 8: Ereignisprotokolle

9 Rechts Diskussion Jedes Ereignisprotokoll besitzt eine entsprechende Ereignisprotokolldatei, die die ganzen Ereignisprotokollmeldungen (im Binärformat) enthält. Die Größe des Ereignisprotokolls lässt sich ermitteln, indem man sich die Größe der Ereignisprotokolldatei ansieht. Standardmäßig enthält das Verzeichnis %systemroot%\system32\config\ diese Dateien. Jeder Dateiname entspricht direkt dem Namen des Ereignisprotokolls, das die Datei nutzt, mit der Erweiterung.evt (z.b. Application.evt). 8.5Die Maximalgröße eines Ereignisprotokolls festlegen Sie möchten die maximale Größe des Ereignisprotokolls festlegen. Sie müssen die Größe des Ereignisprotokolls vernünftig dimensionieren, damit es nicht mehr Plattenplatz verbraucht als nötig. Grafische Benutzerschnittstelle 1. Öffnen Sie die Ereignisanzeige (eventvwr.msc). 2. Auf der linken Seite klicken Sie mit der rechten Maustaste das gewünschte Ereignisprotokoll an und wählen die Eigenschaften. 3. Neben Maximale Protokollgröße legen Sie die maximale Größe in Kilobyte fest, bis zu der das Ereignisprotokoll anwachsen kann. 4. Klicken Sie auf OK. Kommandozeilen-Schnittstelle Modifizieren Sie die Registrierung mit dem folgenden Befehl: > reg add \\<ServerName>\HKLM\SYSTEM\CurrentControlSet\Services\Eventlog\<LogName> /t REG_DWORD /v MaxSize /d <GrößeInByte> Ersetzen Sie <LogName> durch den Namen des zu konfigurierenden Ereignisprotokolls und <GrößeInByte> durch die gewünschte Maximalgröße des Protokolls. ' Dieser Code legt die maximale Größe des Ereignisprotokolls fest. ' SKRIPT-KONFIGURATION strlog = "<LogName>" ' z.b. Application intsizebytes = <SizeInBytes> ' z.b * 512 (512KB) strserver = "<ServerName>" ' z.b. fs01 (verwenden Sie "." für den lokalen Server) ' ENDE DER KONFIGURATION Die Maximalgröße eines Ereignisprotokolls festlegen 235

10 Links set objwmi = GetObject("winmgmts:\\" & strserver & "\root\cimv2") set collogs = objwmi.execquery("select * from Win32_NTEventlogFile Where " & _ "Logfilename = '" & strlog & "'") if collogs.count <> 1 then WScript.Echo "Fataler Fehler. Anzahl gefundener Ereignisprotokolle: " & collogs.count WScript.Quit end if for eachobjlog in collogs next objlog.maxfilesize = intsizebytes objlog.put_ Diskussion WScript.Echo strlog & " Maximale Größe: " & intsizebytes Die voreingestellte Maximalgröße eines Ereignisprotokolls liegt bei 512 KByte. Je nachdem, wie beschäftigt Ihr Server ist und wie viele Dienste und Anwendungen laufen, reicht diese Größe möglicherweise nicht aus, um alle Ereignisse festzuhalten. Da Plattenplatz mittlerweile so günstig ist, könnten Sie das obere Maximum auf mehrere Megabyte erhöhen. Schließlich sollte die maximale Größe Ihrer Ereignisprotokolle so groß sein, dass sie alle Ereignisse aufnehmen können, die über den Aufbewahrungszeitraum (siehe Rezept 8.6) festgehalten werden können. Siehe auch Sie können die Maximalgröße der Anwendungs-, System- und Sicherheitsprotokolldateien auch über die Gruppenrichtlinien festlegen.diese Einstellungen finden Sie an der folgenden Position innerhalb eines Gruppenrichtlinienobjekts: Computer Configuration\Windows Settings\Security Settings\ Event Log\. MS KB (How to Change the Default Event Viewer Log File Location) und MS KB (HOW TO: Move Event Viewer Log Files to Another Location in Windows 2000) 8.6 Die Ereignisprotokoll-Aufbewahrungsrichtlinie setzen Sie möchten die Aufbewahrungsrichtlinie für Ereignisse festlegen. Grafische Benutzerschnittstelle 1. Öffnen Sie die Ereignisanzeige (eventvwr.msc). 236 Kapitel 8: Ereignisprotokolle

11 Rechts 2. Auf der linken Seite klicken Sie mit der rechten Maustaste das gewünschte Ereignisprotokoll an und wählen die Eigenschaften. 3. Sie können eine von drei Optionen unter Wenn die maximale Protokollgröße erreicht ist auswählen. 4. Klicken Sie auf OK. Kommandozeilen-Schnittstelle Der folgende Befehl legt die Aufbewahrungsrichtlinie für Ereignisse innerhalb eines bestimmten Ereignisprotokolls fest. Es gibt zwei spezielle Werte für <ZeitInSekunden>: Mit 0 wird das Protokoll ganz nach Bedarf überschrieben, während es mit nie überschrieben wird. > reg add \\<ServerName>\HKLM\SYSTEM\CurrentControlSet\Services\Eventlog\<LogName> /t REG_DWORD /v Retention /d <ZeitInSekunden> ' Dieser Code legt die Anzahl von Tagen fest, die in einem Ereignisprotokoll festgehalten ' werden. ' SKRIPT-KONFIGURATION strlog = "<LogName>" ' z.b. Application intdays = <NumTage> ' z.b. 14 (Anzahl der Tage, die die Ereignisse ' festgehalten werden) strserver = "<ServerName>" ' z.b. fs01 (verwenden Sie "." für den lokalen Server) ' ENDE DER KONFIGURATION set objwmi = GetObject("winmgmts:\\" & strserver & "\root\cimv2") set collogs = objwmi.execquery("select * from Win32_NTEventlogFile Where " & _ if collogs.count <> 1 then end if "Logfilename = '" & strlog & "'") WScript.Echo "Fataler Fehler. Anzahl gefundener Protokolle: " & collogs.count WScript.Quit for eachobjlog in collogs next objlog.overwriteoutdated = intdays objlog.put_ Diskussion WScript.Echo strlog & " Aufbewahrungszeitraum: " & intdays & " Tage." Es gibt drei grundlegende Aufbewahrungsoptionen für Ereignisprotokolle: Ereignisse nach Bedarf überschreiben Sobald die maximale Größe des Ereignisprotokolls erreicht ist, werden die ältesten Ereignisse mit den neuesten Ereignissen überschrieben. Ereignisse überschreiben, die älter als x Tage sind Sobald die maximale Größe des Ereignisprotokolls erreicht ist, werden nur die Ereignisse überschrieben, die älter sind als die festgelegte Anzahl von Tagen. Gibt es 8.6 Die Ereignisprotokoll-Aufbewahrungsrichtlinie setzen 237

12 keine Ereignisse, die älter sind als die festgelegte Anzahl von Tagen, dann wird das Ereignis nicht in das Protokoll geschrieben. Ereignisse nie überschreiben Sobald das Ereignisprotokoll seine maximale Größe erreicht hat, werden keine Ereignisse mehr in das Protokoll geschrieben. Im Fall der beiden letzten Optionen ist es möglich, dass Ereignisse nicht in das Protokoll geschrieben werden, weil das Ereignisprotokoll seine maximale Größe erreicht hat. Bei der letzten Option benötigen Sie einen Prozess, der das Ereignisprotokoll löscht, nachdem Sie die Protokolle archiviert haben. Sobald Sie das sichergestellt haben, müssen Sie die maximale Größe so festlegen, dass ausreichend Platz vorhanden ist. Links Sie können die Aufbewahrungsrichtlinien der Anwendungs-, System- und Sicherheitsprotokolle auch über die Gruppenrichtlinien festlegen.sie finden diese Einstellungen unter der folgenden Position innerhalb eines Gruppenrichtlinienobjekts: Computer Configuration\Windows Settings\Security Settings\Event Log\. Wenn Sie versuchen, die maximale Größe des Ereignisprotokolls mit Hilfe der Gruppenrichtlinien zu verkleinern, dann müssen Sie sich unbedingt MS KB ansehen. Siehe auch Die Rezepte 8.7, 8.11 sowie MS KB (The size of the event log cannot be reduced by using Group Policy) 8.7 Die Ereignisse in einem Ereignisprotokoll löschen Sie möchten alle Ereignisse in einem Ereignisprotokoll löschen. Üblicherweise wollen Sie das nicht tun, bevor Sie das Protokoll gesichert oder archiviert haben. Das Ereignisprotokoll zu löschen, ohne die Ereignisse vorher zu sichern, macht es später sehr schwer, e zu verfolgen und zu beheben. Grafische Benutzerschnittstelle 1. Öffnen Sie die Ereignisanzeige (eventvwr.msc). 2. Auf der linken Seite klicken Sie das gewünschte Ereignisprotokoll an und wählen Alle Ereignisse löschen. 238 Kapitel 8: Ereignisprotokolle

13 Rechts 3. Sie haben nun die Möglichkeit, das Protokoll zu sichern, bevor Sie es löschen. Klicken Sie auf Ja, um es zu sichern, bzw. aufnein, wenn Sie es nicht speichern wollen. Kommandozeilen-Schnittstelle Der folgende Befehl löscht ein Ereignisprotokoll: > wmic /node:"<servername>" nteventlog where "Logfilename = '<LogName>'" Call ClearEventLog Das folgende Beispiel löscht das DNS Server-Protokoll auf dem Server dns01: > wmic /node:"dns01" nteventlog where "Logfilename = 'DNS Server'" Call ClearEventLog Der wmic-befehl kann unter Windows 2000 nicht ausgeführt werden.sie können einen unter Windows 2000 laufenden entfernten Computer zwar ansprechen, aber der Befehl selbst muss auf einem Windows Server oder Windows XP-Rechner ausgeführt werden. ' Der folgende Code löscht alle Ereignisse im festgelegten Ereignisprotokoll. ' SKRIPT-KONFIGURATION strlog = "<LogName>" ' z.b. Application strserver = "<ServerName>" ' z.b. fs01 (verwenden Sie "." für den lokalen Server) ' ENDE DER KONFIGURATION set objwmi = GetObject("winmgmts:\\" & strserver & "\root\cimv2") set collogs = objwmi.execquery("select * from Win32_NTEventlogFile Where " & _ if collogs.count <> 1 then end if "Logfilename = '" & strlog & "'") WScript.Echo "Fataler Fehler. Anzahl gefundener Protokolle: " & collogs.count WScript.Quit for eachobjlog in collogs next Diskussion objlog.cleareventlog WScript.Echo strlog & " gelöscht" Wenn Sie das Sicherheits-Ereignisprotokoll löschen, wird automatisch Ereignis 517 im Sicherheits-Ereignisprotokoll generiert. Dieses Ereignis zeigt an, dass das Protokoll gelöscht wurde, und ist aus Sicht der Überwachung sehr wichtig. Ohne Ereignis 517 hätten Sie keine Vorstellung davon, ob das Sicherheitsprotokoll vorher gelöscht wurde. Bei den anderen Protokollen erfolgt das nicht. Siehe auch MS KB (HOW TO: Clear the Event Logs in Windows 2000) 8.7 Die Ereignisse in einem Ereignisprotokoll löschen 239

14 8.8 Zugriff auf ein Ereignisprotokoll beschränken Sie möchten einschränken, wer sich die Ereignisprotokolle eines Servers ansehen kann. Standardmäßig kann sich bei Windows 2000 jeder die Ereignisprotokolle ansehen (einschließlich des Gastkontos und über Nullverbindungen verbundene Benutzer). Um das einzuschränken, müssen Sie den Registrierungsschlüssel HKEY_LOCAL_MACHINE\SYSTEM\ CurrentControlSet\Services\EventLog\<LogName>\RestrictGuestAccess anlegen, wobei <LogName> für den Namen des gewünschten Ereignisprotokolls steht. Der Wert muss vom Typ REG_DWORD sein und auf 1 gesetzt werden. Damit beschränken Sie den Zugriff auf die Mitglieder der lokalen Administratorengruppe. Sie können das auch über die Gruppenrichtlinien konfigurieren. Dort finden Sie drei Einstellungen, die den Zugriff auf die Anwendungs-, System- und Sicherheitsprotokolle beschränken. Sie finden diese Einstellungen unter Computerkonfiguration\Windows-Einstellungen\Sicherheitseinstellungen\Ereignisprotokoll\. Bei Windows Server 2003 wurde die Art und Weise geändert, wie der Zugriff auf Ereignisprotokolle beschränkt wird. Der Registrierungswert RestrictGuestAccess wird nicht länger verwendet. Er wurde durch den CustomSD-Wert ersetzt (der an der gleichen Stelle liegt), der einen sog. Security Descriptor-String (SDDL) enthält, der genau festlegt, welche Benutzer Zugriff auf das Ereignisprotokoll haben. Während diese Zeilen geschrieben wurden, hat Microsoft leider weder eine grafische noch eine Kommandozeilenschnittstelle zur Verfügung gestellt, die die Details von SDDL vor dem Benutzer versteckt. Das bedeutet, dass Sie zuerst etwas über SDDL lernen müssen, bevor Sie den Zugriff beschränken können. Eine gute Beschreibung, wie man das erreicht, finden Sie in MS KB (HOW TO: Set Event Log Security Locally or by Using Group Policy in Windows Server 2003). Diskussion Es entspricht nicht dem Sicherheitsbewusstsein, dass die Ereignisprotokolle (außer dem Sicherheitsprotokoll) Ihrer Server standardmäßig für jedermann lesbar sind. Die Ereignisprotokolle bestimmter Server, etwa von Domänencontrollern, liefern potenziellen Angreifern wichtige Informationen. Glücklicherweise werden die Sicherheitsprotokolle anders behandelt und sind für Nicht-Administratoren nicht einsehbar. Den Zugriff auf die Ereignisprotokolle einzuschränken ist nicht so einfach, wie Sie vielleicht hoffen. Tatsächlich müssen Sie bei Windows Server 2003 zu diesem Zweck einen SDDL-String konstruieren, was ein wenig kompliziert sein kann. Weitere Informationen finden Sie auf den folgenden Sites: Links 240 Kapitel 8: Ereignisprotokolle

15 Rechts format.asp Siehe auch MS KB (HOW TO: Set Event Log Security Locally or by Using Group Policy in Windows Server 2003) 8.9 Ein Ereignisprotokoll auf einem Server durchsuchen Sie möchten in einem Ereignisprotokoll nach bestimmten Ereignissen suchen. Grafische Benutzerschnittstelle 1. Öffnen Sie die Ereignisanzeige (eventvwr.msc). 2. Auf der linken Seite klicken Sie mit der rechten Maustaste das gewünschte Ereignisprotokoll an und wählen die Eigenschaften. 3. Wählen Sie die Registerkarte Filter. 4. Geben Sie die Suchkriterien ein, und klicken Sie auf OK. Eine Alternative für die Suche in Ereignisprotokollen auf einem einzelnen Host ist das Event Comb-Utility, das in Rezept 8.10 behandelt wird. Kommandozeilen-Schnittstelle Sie können den eventquery.vbs-befehl bei Windows Server 2003 verwenden, um das Ereignisprotokoll eines Servers entfernt abzufragen. Der folgende Befehl gibt die letzten 10 Ereignisse mit der Ereignis-ID 105 auf dem Host fs01 aus: > eventquery.vbs /S fs01 /R 10 /L Application /FI "ID eq 105" Bei Windows 2000 können Sie eine Kombination der Befehle elogdmp und findstr verwenden, um bestimmte Ereignisse aufzuspüren. Der folgende Befehl gibt die Ereignisse im Anwendungsprotokoll aus, die irgendwo (Beschreibung, ID etc.) den String 105 enthalten: > elogdmp server01 Application findstr 105 Natürlich liefert das nicht genau das zurück, was Sie wollen, aber da die elogdmp-ausgaben durch Kommata getrennt sind, können Sie mit den an findstr übergebenen Para- 8.9 Ein Ereignisprotokoll auf einem Server durchsuchen 241

16 metern herumexperimentieren, um genau das zurückzuerhalten, was Sie sich wünschen. Hier ein Beispiel: Links > elogdmp server01 Anwendung findstr ",105," ' Dieser Code sucht nach Ereignissen, die den festgelegten Kriterien entsprechen. ' SKRIPT-KONFIGURATION inteventcode = <EventID> ' Gesuchte Event-ID; z.b. 105 strlog = "<EventLogName>" ' Name des Ereignisprotokolls; z.b. Anwendung intmaxnum = <MaxNumEvents> ' Maximal zurückzuliefernde Anzahl von Ereignissen ' (0 für alle) strserver = "<ServerName>" ' verwenden Sie "." für den lokalen Server ' ENDE DER KONFIGURATION set objwmi = GetObject("winmgmts:\\" & strserver & "\root\cimv2") set colevents = objwmi.execquery("select * from Win32_NTLogEvent " & _ " Where Logfile = '" & strlog & "'" & _ " and EventCode = " & inteventcode) count = 0 for eachobjevent in colevents Wscript.Echo "Datum: " & objevent.timewritten Wscript.Echo "Quelle: " & objevent.sourcename Wscript.Echo "Kategorie: " & objevent.category Wscript.Echo "Typ: " & objevent.type Wscript.Echo "Ereignis: " & objevent.eventcode Wscript.Echo "Benutzer: " & objevent.user Wscript.Echo "Computer: " & objevent.computername Wscript.Echo "Beschreibung: " & objevent.message WScript.Echo "------" WScript.Echo count = count + 1 if intmaxnum > 0 and count >= intmaxnum then WScript.Echo "Abbruch: maximale Anzahl erreicht..." exit for end if next Diskussion Die en dieses Rezepts zeigen, wie man Ereignisse auf einem einzelnen Server sucht. Wenn Sie Ereignisse gleichzeitig auf mehreren Servern suchen wollen, sei auf Rezept 8.10 verwiesen Ereignisprotokolle auf mehreren Servern durchsuchen Sie wollen Ereignisse auf mehreren Computern suchen. 242 Kapitel 8: Ereignisprotokolle

17 Rechts Grafische Benutzerschnittstelle 1. Öffnen Sie das Event Comb-Utility (eventcombmt.exe). Wenn Sie das Tool zum ersten Mal starten, wird eine Simple Instructions-Dialogbox geöffnet, die die folgenden Anweisungen enthält: 2. Stellen Sie sicher, dass die Domain-Box die Domäne anzeigt, die Sie durchsuchen wollen. 3. Klicken Sie mit der rechten Maustaste das Kästchen namens Select to Search/Right Click To Add an. Tragen Sie die Server ein, die Sie durchsuchen wollen, z.b. alle DCs oder einzelne Server. 4. Wählen Sie die Logdateien, die Sie durchsuchen wollen, z.b. System, Anwendung. 5. Wählen Sie den Ereignistyp, nach dem Sie suchen, z.b. Fehler, Warnung. 6. Tragen Sie die Ereignis-IDs, nach denen Sie suchen wollen (z.b. 6005), im Textfeld Event IDs ein. 7. Klicken Sie auf Search, um die Suche zu starten. Kommandozeilen-Schnittstelle Keines der Standard-Kommandozeilen-Utilities unterstützt die Suche in Ereignisprotokollen über mehrere Server hinweg. Sie können allerdings einen for-befehl nutzen, um eine Query über mehrere Server auszuführen. Hier ein paar Beispiele: Für Windows Server 2003: > for /D %i in ("server01","server02") do eventquery.vbs /S %i /R 10 /L Anwendung /FI "ID eq 105" Für Windows Server 2000: > for /D %i in ("server01","server02") do elogdmp %i Anwendung findstr ",105," ' Dieser Code sucht auf mehreren Servern nach Ereignissen, die den festgelegten Kriterien entsprechen ' SKRIPT-KONFIGURATION inteventcode = <EventID> ' Gesuchte Event-ID; z.b. 105 strlog = "<EventLogName>" ' Name des Ereignisprotokolls; z.b. Anwendung intmaxnum = <MaxNumEvents> ' Maximal zurückzuliefernde Anzahl von Ereignissen ' (0 für alle) arrservers = Array("server01","server02") ' ENDE DER KONFIGURATION for eachstrserver in arrservers WScript.Echo vbcrlf & vbcrlf WScript.Echo "Suche auf " & strserver & "..." & vbcrlf set objwmi = GetObject("winmgmts:\\" & strserver & "\root\cimv2") set colevents = objwmi.execquery("select * from Win32_NTLogEvent " & _ " Where Logfile = '" & strlog & "'" & _ " and EventCode = " & inteventcode) 8.10 Ereignisprotokolle auf mehreren Servern durchsuchen 243

18 Links count = 0 for eachobjevent in colevents Wscript.Echo "Datum: " & objevent.timewritten Wscript.Echo "Quelle: " & objevent.sourcename Wscript.Echo "Kategorie: " & objevent.category Wscript.Echo "Typ: " & objevent.type Wscript.Echo "Ereignis: " & objevent.eventcode Wscript.Echo "Benutzer: " & objevent.user Wscript.Echo "Computer: " & objevent.computername Wscript.Echo "Beschreibung: " & objevent.message WScript.Echo "------" WScript.Echo count = count + 1 if intmaxnum > 0 and count >= intmaxnum then WScript.Echo "Abbruch: maximale Anzahl erreicht..." exit for end if next next Diskussion Mit dem Event Comb-Utility steht Ihnen ein extrem nützliches und leistungsfähiges Tool zur Verfügung. Microsoft hatte es ursprünglich für Windows 2000 entwickelt, gab es aber nur an Kunden heraus, bei denen bestimmte e auftraten und die daher die Fähigkeit benötigten, die Ereignisprotokolle mehrerer Server zu durchsuchen. Nach der Veröffentlichung von Windows Server 2003 hat Microsoft es als Teil des Account Lockout-Toolsets ( familyid=7af2e69c-91f3-4e b999adde0b9e) und in den Windows Server 2003 Resource Kit-Tools zugänglich gemacht. Nehmen Sie sich etwas Zeit, um sich mit den Fähigkeiten des Tools vertraut zu machen. Siehe auch MS KB (How to Use the EventcombMT Utility to Search Event Logs for Account Lockouts) 8.11 Ein Ereignisprotokoll archivieren Sie möchten Ihre Ereignisprotokolle archivieren, um sie bei Bedarf später verwenden zu können. Grafische Benutzerschnittstelle 1. Öffnen Sie die Ereignisanzeige (eventvwr.msc). 244 Kapitel 8: Ereignisprotokolle

19 Rechts 2. Auf der linken Seite klicken Sie das gewünschte Ereignisprotokoll mit der rechten Maustaste an und wählen Protokolldatei speichern unter. 3. Bewegen Sie sich an den Ort, an dem Sie die Datei speichern wollen, geben Sie den Dateinamen ein, und klicken Sie auf Speichern. Kommandozeilen-Schnittstelle Mit dem wmic-utility können Sie die BackupEventLog-Methode aufrufen, die in der Win32_ NTEventlogfile-Klasse zur Verfügung steht: > wmic /node:"<servername>" nteventlog where "Logfilename = '<LogName>'" Call BackupEventLog "<DateiPath>" Hier ein Beispiel für die Sicherung des Anwendungs-Ereignisprotokolls: > wmic /node:"fs01" nteventlog where "Logfilename = 'Anwendung'" Call BackupEventLog "E:\ app_back.evt" ' Dieser Code archiviert ein Ereignisprotokoll in der angegebenen Datei. ' SKRIPT-KONFIGURATION strlog = "<LogName>" ' z.b. Anwendung strbackupfile = "<DateiNameUndPfad>" ' z.b. c:\app_back.evt strserver = "<ServerName>" ' z.b. fs01 (verwenden Sie "." für den lokalen ' Server) ' ENDE DER KONFIGURATION set objwmi = GetObject(_ "winmgmts:{impersonationlevel=impersonate,(backup)}!\\" & _ strserver & "\root\cimv2") set collogs = objwmi.execquery("select * from Win32_NTEventlogFile Where " & _ " Logfilename = '" & strlog & "'") if collogs.count <> 1 then WScript.Echo "Fataler Fehler. Anzahl gefundener Ereignisprotokolle: " & collogs.count WScript.Quit end if for eachobjlog in collogs objlog.backupeventlog strbackupfile next Diskussion WScript.Echo strlog & " gesichert in " & strbackupfile Sie sollten die Ereignisprotokolle zumindest auf den wichtigsten Servern archivieren. Wenigstens die Sicherheitsprotokolle sollten gesichert werden, damit Sie bei Bedarf zurückschauen und verdächtige Aktivitäten untersuchen können. Anstatt die Protokolldateien auf dem lokalen Server zu sichern, können Sie auch einen UNC-Pfad auf einen entfernten Fileserver angeben. Wenn die Ereignisprotokolle viel Plattenplatz verbrauchen, könnten Sie ein einfaches Batchskript entwickeln, um die Ereignisprotokolle zu archivieren und zu löschen (siehe Rezept 8.7). Wenn Sie den gesamten Server mit einem Tool wie NTBackup sichern, müssen Sie die Ereignisprotokolle in der Regel nicht separat sichern Ein Ereignisprotokoll archivieren 245

20 8.12 Weitere Informationen zu einem Ereignis ermitteln Sie wünschen sich zusätzliche Informationen über die Ursache oder den Zweck eines Ereignisses. Häufig reichen die in einem Ereignis enthaltenen Informationen nicht aus, um die das Ereignis auslösende Ursache richtig einzuschätzen oder zu untersuchen. Es gibt verschiedene Möglichkeiten, sich zusätzliche Informationen zu einem bestimmten Ereignis zu verschaffen. Wenn Sie sich die Details eines Ereignisses mit der Ereignisanzeige unter Windows Server 2003 ansehen, sehen Sie am unteren Rand einen Link auf eine Beschreibung des Ereignisses. Wenn Sie diesen Link anklicken, öffnet sich das Hilfe- und Supportcenter und fragt dynamisch die Microsoft-Website nach weiteren Informationen zu diesem Ereignis ab. Ich habe das mit einer ganzen Reihe von Ereignissen getestet, und bei den meisten wurden keine zusätzlichen Informationen zurückgeliefert. Ich gehe davon aus, dass sich das mit der Zeit verbessert, wenn Microsoft die Möglichkeit hat, die Site zu aktualisieren. Sie können Informationen zu Ereignissen auch auf der Microsoft Support- Website suchen ( Eine bessere Informationsquelle zu Ereignissen als das Microsoft Hilfe- und Supportcenter ist die EventID-Website ( Dort wurde seit 2001 eine Wissensdatenbank zu Events aufgebaut. Sie finden dort über 2800 Ereignisse in der Datenbank, die von zahllosen Mitwirkenden kommentiert wurden. Eine weitere Möglichkeit besteht darin, die Archive der Newsgruppen zu durchsuchen. Die Leute nehmen gerne Ereignisprotokollmeldungen in Newsgruppen-Postings auf, wenn sie ein bestimmtes lösen wollen. Es ist durchaus möglich, dass jemand eine Frage zu einem Ereignis gestellt hat, an dem Sie interessiert sind. Die beste Quelle für die Suche in Newsgruppen ist die Google Groups-Website ( Links 8.13 Eine Aktion ausführen, wenn ein bestimmtes Ereignis eintritt Sie müssen Windows XP oder Windows Server 2003 verwenden, um Ereignisauslöser (Trigger) nutzen zu können. 246 Kapitel 8: Ereignisprotokolle