Ep. 38: Monitoraggio del registro eventi di Windows e dei file di registro personalizzati con Checkmk

Per caricare questo video di YouTube è necessario accettare i cookie pubblicitari.

[0:00:00]	Oggi iniziamo a monitorare i registri eventi e i file di registro personalizzati su Windows.
[0:00:13]	Benvenuti sul canale Checkmk. Oggi vediamo come monitorare il registro eventi di Windows e i file di registro personalizzati.
[0:00:20]	Monitorare il registro eventi di Windows è abbastanza facile, perché l'agente di Windows raccoglie tutti i registri eventi predefiniti di Windows e li invia al server Checkmk.
[0:00:31]	Ma vi mostrerò come gestirli correttamente o come indirizzarli nella giusta direzione per poterli monitorare.
[0:00:40]	Inoltre, daremo una rapida occhiata a come monitorare i file di log personalizzati che non si trovano all'interno della console eventi di Windows. Diamo quindi un'occhiata a come possiamo configurare tutto questo.
[0:00:50]	In questo momento stiamo guardando un tipico server Windows che è stato equipaggiato con l'agente Checkmk e possiamo già vedere alcuni servizi di log.
[0:01:00]	Si tratta di servizi predefiniti. Per impostazione predefinita, l'agente raccoglie una serie di messaggi dal registro eventi di Windows e li segnala a Checkmk.
[0:01:09]	Ad esempio, qui vediamo il Registro di sicurezza, che contiene già 99 messaggi critici, e c'è un sacco di roba in corso. Non ho idea di cosa stia succedendo, ma ci sono molte informazioni.
[0:01:21]	Questo è il modo predefinito in cui Checkmk gestisce i file di log di Windows, ma non è un modo piacevole di lavorare con questi file perché la maggior parte delle volte i messaggi sono irrilevanti.
[0:01:30]	Perché in Windows molti messaggi sono registrati come critici o di avvertimento, a differenza di altri sistemi operativi.
[0:01:37]	Quindi, si desidera filtrare queste informazioni in una certa misura. Come potete vedere, siamo già a 108 messaggi critici, quindi o c'è qualcosa o non c'è niente.
[0:01:50]	Quello che consigliamo in generale è di indirizzare tutti i messaggi di log dal registro eventi di Windows che riceviamo alla console eventi.
[0:01:58]	C'è un video dedicato a questo argomento, che troverete nella descrizione.
[0:02:04]	Questo vi permette di avere tutti i messaggi di login un unico posto e di filtrare in modo molto efficiente i messaggi, in modo da assicurarvi di ricevere solo quelli che sono rilevanti per voi e che volete vedere.
[0:02:15]	Per farlo, andiamo nel menu Impostazioni e cerchiamo il termine 'forward'. E qui troviamo la regola che dice Inoltro della console eventi di Logwatch.
[0:02:28]	Quindi, vado lì e aggiungo una regola. E devo solo dire Inoltra i messaggi alla console eventi.
[0:02:35]	I valori predefiniti vanno bene, non dobbiamo modificare nulla nella prima fase. Quindi, salverò questa regola.
[0:02:43]	Ora, se vado nell'host di Windows alla scoperta dei servizi, scoprirò che i servizi di log che abbiamo visto prima sono spariti e abbiamo un nuovo servizio chiamato Log Forwarding, che ci dice già che ha inoltrato sette messaggi dal registro di sicurezza.
[0:03:05]	Nella prima fase, questo semplifica semplicemente il monitoraggio dei log, perché abbiamo un solo servizio che in realtà è solo informativo e ci dice quanti messaggi di log sono stati inoltrati.
[0:03:18]	Ora abilitiamolo. A partire da questa attivazione, tutti i messaggi recuperati dall'agente saranno inoltrati alla console eventi.
[0:03:28]	Come si può vedere, ci sono già alcuni eventi nella console degli eventi perché, in preparazione di questo video, ho già attivato il set di regole che abbiamo appena abilitato.
[0:03:36]	Come si può vedere, ci sono molte cose in corso, ma per impostazione predefinita, nessun messaggio sarà visibile nella console degli eventi o, per meglio dire, nessun evento sarà visibile nella console degli eventi, perché è necessario creare una regola per questo.
[0:03:54]	Per questo esempio, ho creato una regola che cattura tutti i messaggi e li rappresenta qui. Non ci soffermeremo su questo aspetto in modo dettagliato, perché viene trattato in un video specifico, ma questo è il modo in cui vengono gestiti i messaggi di evento di Windows per impostazione predefinita.
[0:04:08]	Ora vogliamo anche vedere come monitorare i file di registro personalizzati, perché non tutte le applicazioni registrano in un registro eventi di Windows.
[0:04:17]	Diamo quindi un'occhiata a questa regola. Andiamo di nuovo al menu Impostazione e cerchiamo i file di registro.
[0:04:27]	Troviamo una regola dell'agente chiamata File di log di testo. Se aggiungiamo questa regola, ci sono diverse opzioni.
[0:04:37]	Il minimo indispensabile è configurare una sezione di file di log e fornire il percorso di un file di log.
[0:04:44]	Cerco qualcosa, non ho idea di cosa sia registrato qui, ma è un file di log personalizzato che non è disponibile nella console degli eventi. Questo è tutto ciò che serve per iniziare.
[0:04:55]	Ci sono molte opzioni che si possono esplorare, ma per impostazione predefinita ci atteniamo alle impostazioni per poter recuperare i file.
[0:05:03]	Dopo aver attivato le modifiche, è necessario creare gli agenti e aggiornare l'agente sul sistema Windows.
[0:05:20]	Questo è quanto. Ora, dopo aver installato il pacchetto agente aggiornato sull'host Windows, esso invierà i messaggi da questo file di registro personalizzato al server Checkmk.
[0:05:29]	Ma non c'è alcun cambiamento nei servizi di quell'host, perché se diamo un'altra occhiata, la regola che abbiamo abilitato prima e che inoltra tutti i messaggi al registro eventi, alla console eventi, appare come questo servizio di inoltro log.
[0:05:44]	Ed è davvero tutto qui. I messaggi passeranno attraverso il servizio, alla console eventi.
[0:05:48]	E, come già detto, si ha la possibilità di filtrare gli eventi e vedere tutto ciò che serve.
[0:05:56]	Avete visto che il monitoraggio del registro eventi e dei file di registro personalizzati su Windows è abbastanza facile. Si tratta di poche regole, molto semplici da implementare.
[0:06:03]	La parte veramente interessante inizia dopo aver recuperato i messaggi, perché bisogna capire cosa sta succedendo e vedere, a seconda del caso d'uso, cosa si vuole vedere nella console degli eventi.
[0:06:16]	Con questo si conclude il video di oggi. Grazie mille per la visione. Assicuratevi di abbonarvi al canale. Ci vediamo presto.