SE の雑記

SQL Server の情報をメインに Microsoft 製品の勉強内容を日々投稿

イベントログのサブスクリプションによるログ転送をデフォルトのイベントログ以外に実施する

leave a comment

Windows では、イベントログのサブスクリプション機能により、複数のサーバーのイベントログをプッシュまたは、プルで収集することが可能です。

初期状態では「転送されたイベントログ」(Forwarded Events」に転送が行われるようになっています。

image

イベントログの転送先は変更することができるため、「転送されたイベントログ」以外を指定することもできるのですが、「New-EventLog」等で作成したイベントログに対しては転送するk十ができず、イベントログのサブスクリプションの「宛先ログ」から選択することはできません。

カスタムイベントログに転送する方法ですが、イベントログを作成する方法に手順があり、「Creating Custom Windows Event Forwarding Logs」という MS のブログで以前は公開されていたのですが、現在は参照できなくなってしまっているようですので、その方法を残しておきたいと思います。

カスタムイベントログに転送するためには、イベントログを Windows SDK の、Manifest Generator によって作成できるマニフェストを用いて作成する必要があります。

Windows 10 SDK の最新版をインストールしても、Manifest Generator が含まれていないようです。

そのため、今回は、Windows 10 Creators Update の SDK である「Windows 10 SDK (ver. 10.0.15063.468) and Microsoft Emulator for Windows 10 mobile (ver. 15254.1)」をインストールしています。

「Windows SDK for Desktop amd64 Apps」をインストールすることで、「C:\Program Files (x86)\Windows Kits\10\bin\10.0.15063.0\x64」に「ecmangen.exe」が配置されます。

image

それでは、実際にカスタムイベントログを作成してみたいと思います。

  1. 「Event Section」を右クリックし、「New」→「Provider」をクリックします。
    image
  2. プロバイダー情報として必要となる情報を入力し「save」をクリックします。
    • Name : Cust Event
      • プロバイダーの名前が、イベントログの「アプリケーションとサービス ログ」の配下に作成されるディレクトリ名となるようです。
    • Synbol : CustEvent
    • GUI : 「New」 で生成
    • Resources : C:\Windows\system32\CustomEvent.dll
    • c:\Windows\system32\CustomEvent.dll
  3. 「.man」ファイルを任意のファイルに保存します。
  4. プロバイダーの登録が終わったら、次に「チャネル」を追加するため、「New」→「Channel」をクリックします。
    image
  5. プロバイダーの情報を登録します。
    今回は次のようなチャネルを登録しています。
    このチャネルが実際のイベントログの名称となるようです。
    image
  6. 保存 (Save) をクリックし、マニフェストファイルの保存を行います。
    今回は、「C:\CustEvent」に保存しています。

マニフェストファイルが作成できたら、次のコマンドを実行します。

cd c:\CustEvent
"C:\Program Files (x86)\Windows Kits\10\bin\10.0.15063.0\x64\mc.exe" "c:\CustEvent\CustomEvent.man"
"C:\Program Files (x86)\Windows Kits\10\bin\10.0.15063.0\x64\mc.exe" -css CustomEvent "c:\CustEvent\CustomEvent.man"
"C:\Program Files (x86)\Windows Kits\10\bin\10.0.15063.0\x64\rc.exe" "C:\CustEvent\CustomEvent.rc"
"C:\Windows\Microsoft.NET\Framework64\v4.0.30319\csc.exe" /win32res:"C:\CustEvent\CustomEvent.res" /unsafe /target:library /out:"c:\CustEvent\CustomEvent.dll" "C:\CustEvent\CustomEvent.cs"

コマンドを実行することで、DLL ファイルが生成されますので、生成された DLL と man ファイルをイベントログを追加するサーバー (サブスクリプションによりイベントログを受け取るサーバー) にコピーします。

image

コピーが完了したら、両ファイルを「C:\Windows\System32」に配置してから、次のコマンドを実行します。

wevtutil im c:\Windows\system32\CustomEvent.man

削除の場合は以下のコマンド
wevtutil um c:\Windows\system32\CustomEvent.man

 

これで登録は完了です。

新しく起動したイベントログの表示が次のように、自分で作成したイベントログが登録されている状態となっているはずです。

image

この方法で作成したイベントログであれば、次のように、サブスクリプションの転送先として選択することができます。

image

 

実際にメッセージを集約するイベントログとしても使用することができました。

image

この先に何かしらの監視システムがいる場合、「転送されたイベントログ」 (Forwarded Events) 以外は、検知に使用できないというケースもありますが、イベントログのサブスクリプションによりログを受け取る際に一つの方法として、この方法を覚えておくと利便性が向上することがあるのではないでしょうか。

Written by masayuki.ozawa

4月 7th, 2019 at 9:32 pm

Posted in Windows Server

Tagged with

Leave a Reply

*