Kiểm tra và khắc phục sự cố bằng các bản ghi sự kiện của window docx

Kiểm tra và khắc phục sự cố bằng các bản ghi sự kiện của window Bài viết này là những gì thực hành tốt nhất để làm việc với các bản ghi sự kiện của Windows, gồm có cách thông dịch các th

Kiểm tra và khắc phục sự cố bằng các bản ghi sự kiện của window

Bài viết này là những gì thực hành tốt nhất để làm việc với các bản ghi sự kiện của Windows, gồm có cách thông dịch các thông báo sự kiện, cách cấu hình các bản ghi sự kiện, cách tìm kiếm - lọc các sự kiện, cách xem các sự kiện trên hệ thống từ xa, cách sử dụng

EventCombMT.exe và các công cụ khác để kiểm tra sự kiện trên đa

hệ thống

Các bản ghi sự kiện trong hệ thống Windows rất hữu dụng cho việc khắc phục sự cố khi có vấn đề nào đó hoặc kiểm tra hiệu suất lẫn hành vi Một bản ghi sự kiện là một file có chứa các sự kiện, các sự kiện được ghi lại

để thông báo cho người dùng một số sự cố có liên quan đến hệ điều hành hoặc các ứng dụng đang chạy trên hệ thống Một sự kiện gồm có các thông tin về kiểu sự cố và ngày, giờ khi nó xuất hiện, máy tính nơi nó xảy

ra và người dùng đã đăng nhập vào thời gian đó, ngoài ra còn có các thông tin khác như event ID, hạng mục sự kiện và nguồn của sự kiện Các

sự kiện cũng có cả các thông tin chi tiết hơn có liên quan đến sự kiện và

có thể một liên kết đến nơi chứa nhiều thông tin hơn Hình 1 dưới đây mô phỏng ví dụ về một sự kiện từ bản ghi sự kiện của máy chủ DNS trên Windows Server 2003 domain controller:

Tìm kiếm thêm thông tin về một sự kiện

Nếu một sự kiện gồm có một liên kết và bạn kích vào nó, một hộp thoại

sẽ được mở và cảnh báo cho bạn rằng thông tin về sự kiện sẽ được gửi đến Microsoft để xem xem chúng có nhiều thông tin có sẵn liên quan đến

sự kiện không:

Việc gửi thông tin sự kiện đến Microsoft

Kích vào Yes để mở Help and Support Center và kiểm tra để xem xem có

bất kỳ thông tin nào nào về sự kiện hay không Hình 3 thể hiện đáp ứng điển hình này:

Bao nhiêu lần bạn bị nản chí bởi thiếu thông tin hữu dụng được cung cấp theo cách này? Trong ví dụ ở trên, các trợ giúp bổ sung được cung cấp là

“this error could be caused by either a high load on the domain

controller or the failure of other domain controller services” có nghĩa: lỗi

này có thể bị gây ra bởi một tải cao trong domain controller hoặc lỗi của

các dịch vụ domain controller khác” và được gợi ý chữa là “restart the DNS Server service” (khởi động lại dịch vụ) và kiểm tra bản ghi sự kiện

xem còn vấn đề gì xảy ra tại cùng thời điểm đó không và có thể điều đó là một đầu mối

Altair Technologies vẫn duy trì được một trang trợ giúp khá hữu dụng có tên gọi là EventID.net, đây chính là nơi người dùng có thể tìm kiến thêm thông tin bổ sung về các sự kiện chưa rõ để có thể giúp bạn làm sáng tỏ được chúng Trang này là một trang cộng đồng, điều đó có nghĩa rằng người dùng gửi comment của họ có liên quan đến các sự kiện để tạo một

cơ sở dữ liệu cộng đồng, sau đó có thể được làm tài liệu và minh chứng cho những người khác Nếu bạn tìm kiếm EventID.net để có thông tin về

sự kiện ở trên (source = DNS, event ID = 4004) thì bạn sẽ thu được kết

quả như hiển thị dưới đây

Tính năng hữu dụng thực sự nằm bên dưới Details, đây chính là nơi bạn

có thể kích vào liên kết “Comments and links for event id 4004 from source DNS” (Các comment và các liên kết cho sự kiện id 4004 từ nguồn

DNS) để xem các comment đã được gửi bởi người dùng khác:

Comment cuối cùng đặc biệt hữu dụng vì nó chỉ thị Microsoft đã biết về tại sao sự kiện này lại xuất hiện và gợi ý nó có thể thường được bỏ qua một cách an toàn Help and Support không bao giờ bảo cho bạn biết điều đó!

Cấu hình các bản ghi sự kiện

Một trong những thứ đầu tiên bạn nên thực hiện sau khi cài đặt một hệ thống Windows mới là việc cấu hình các bản ghi sự kiện Vấn đề này đặc biệt quan trọng đối với các máy chủ, nơi mà các bản ghi sự kiện có thể cung cấp thông tin quan trọng để có thể giúp bạn khắc phục sự cố khi có vấn đề gì đó xảy ra Trước khi chúng ta xem cách cấu hình các bản ghi sự kiện như thế nào, hãy xem xét một số thông tin cơ bản về các bản ghi có sẵn, bảng 1 sẽ cung cấp cho chúng ta các vấn đề đó:

Bản ghi sự

kiện File bản ghi Chức năng

Khả năng

có sẵn

Application

log AppEvent.evt

Ghi các sự kiện như phân biệt các hãng phần mềm với nhau

Tất cả các

hệ thống Windows

Security log SecEvent.evt

Ghi các sự kiện dựa trên cách chính sách kiểm định được cấu hình

Tất cả các

hệ thống Windows

System log SysEvent.evt

Ghi sự kiện cho các thành phần hệ điều hành Windows

Tất cả các

hệ thống Windows

Directory

Service log NTDS.evt

Ghi các sự kiện cho Active Directory

Chỉ có các

bộ điều khiển miền

DNS Server

log DnsEvent.evt

Ghi các sự kiện cho máy chủ DNS và các giải pháp tên

Chỉ các máy chủ DNS

File

Replication

Service log

NtFrs.evt

Ghi các sự kiện cho bản sao bộ điều khiển

Chỉ các bộ điều khiển miền

miền

Bảng 1: Tóm tắt các bản ghi sự kiện của Windows

Mặc định tất cả các bản ghi sự kiện là:

 Được lưu trong thư mục %Windir%\system32\config

 Có kích thước tối đa là 16MB (Windows Server 2003) hoặc 512

KB (Windows 2000/XP)

 Có thể ghi đè các sự kiện đã được lưu hơn 7 ngày trước đó

Trước khi đưa máy chủ Windows mới vào môi trường sản xuất, bạn nên quyết định xem các thiết lập mặc định nào là thích hợp Thao tác tốt nhất cho việc cấu hình các bản ghi sự kiện trên máy chủ được cho dưới đây:

- Tăng kích thước của mỗi bản ghi sự kiện tới tối thiểu là 50MB Điều này là do một sự kiện điển hình có kích thước khoảng 0,5KB, có nghĩa bạn sẽ có thể lưu được đến 100.000 sự kiện trong mỗi bản ghi Lưu ý rằng kích thước được hỗ trợ tối đa của mỗi bản ghi sự kiện là khoảng 300MB Nếu ổ đĩa hệ thống của bạn có không gian không đủ cho các bản ghi sự kiện thì bạn có thể chuyển chúng sang ổ đĩa khác bằng việc edit một khóa nhỏ cho mỗi bản ghi trong phần

HKLM\SYSTEM\CurrentControlSet\Services\Eventlog bằng cách sử dụng

Registry Editor, về vấn đề này bạn có thể tham khảo tại đường dẫn này để

có thêm thông tin chi tiết

- Thay đổi hành vi ghi đè cho bản ghi Security thành Do Not Overwrite Events nếu doanh nghiệp của bạn có môi trường bảo mật cao Theo cách

đó, nếu các bản ghi Security bị đầy thì hệ thống sẽ tắt để bảo đảm rằng không có sự kiện nào trong bản ghi Security bị mất Nếu thực hiện như vậy, hãy bảo đảm rằng bạn cũng cất trữ và sau đó xóa bản ghi Security thường xuyên để tránh tình trạng tắt máy xuất hiện không mong muốn

- Thay đổi hành vi ghi đè cho các sự kiện bản ghi khác thành Overwrite Events As Needed để không có việc ghi đè xuất hiện cho tới khi toàn bộ

bản ghi đầy Cũng như vậy, bạn phải bảo đảm lưu trữ thường xuyên và xóa sạch các bản ghi sự kiện để tránh tình trạng bản ghi bị đầy và mất các

sự kiện vì ghi đè

Nếu bạn có một số các máy tính và đang chạy Active Directory trên mạng thì bạn cũng có thể sử dụng Group Policy để cấu hình các thiết lập bản

ghi sự kiện Các thiết lập này được tìm thấy tại Computer

Configuration/Windows Settings/Security Settings/Event Log trong Group

Policy Object Editor:

Tìm kiếm và lọc các sự kiện

Kéo thanh cuộn ở giao diện Event sẽ cho phép bạn dễ dàng kiểm tra được

các sự kiện gần đây nhất đã được ghi trên hệ thống, vấn đề này nhanh chóng trở thành hết thực tế đối với các hệ thống bận, các hệ thống thống bận thường có các bản ghi sự kiện chứa đến hàng chục MAILBOX Nếu bạn đang tìm kiếm các trường hợp riêng nào đó của một sự kiện, bạn có thể sử dụng các tùy chọn Find và Filter để có thể tìm chúng được nhanh hơn

Ví dụ bạn muốn tìm tất cả các trường hợp của sự kiện Event ID 4004 trong bản ghi DNS Server như được thể hiện trong hình 1 phần trên Để

sử dụng tính năng Find thực hiện việc tìm kiếm này, kích chuột phải vào

bản ghi DNS Server và chọn View > Find, sau đó bạn điền vào trong

Event ID tên bản ghi trong hộp tìm kiếm:

Kích nút Find Next và các trường hợp đầu tiên của sự kiện đó sẽ được

hiển thị trong Event Viewer:

Sau đó kích Find Next để hiển thị các trường hợp tiếp theo của sự kiện

này

Điều khó chịu nhất trong phương pháp này là giao diện tìm kiếm không được xây dựng trực tiếp trong cửa sổ Event Viewer Vì vậy chúng ta hãy thử một phương pháp khác và thay vào đó sử dụng bộ lọc Filter Kích

chuột phải vào bản ghi DNS Server một lần nữa và chọn View > Filter, sau đó điền vào Event ID trong Filter tab của trang DNS Server

Properties

Kích OK và Event Viewer khi đó chỉ có các sự kiện được hiển thị trong

bản ghi DNS Server là của Event ID 4004:

Từ những thông tin này, chúng ta có thể kết luận rằng đây chỉ là một vấn

đề tạm thời đã xảy ra rồi

Xem các sự kiện trên các hệ thống từ xa

Event Viewer cũng cho phép bạn kết nối đến các hệ thống từ xa để xem các bản ghi sự kiện của chúng Thủ tục rất đơn giản: kích chuột phải vào nút gốc (trên) trong cây giao diện điều khiển của Event Viewer và chọn

Connect To Another Computer:

Sau đó đánh vào tên (NetBIOS hoặc FQDN) của máy tính điều khiển xa

hoặc kích vào Browse để tìm nó trong Active Directory Kích OK để kết

nối:

Không thể kết nối! Và thông báo lỗi quả thật khó hiểu Không biết vấn đề

gì đã xảy ra? Thông báo lỗi này chỉ thị một trong các khả năng dưới đây:

• Bạn không được đăng nhập với một tài khoản có quyền quản trị viên cục bộ đối với máy tính điều khiển xa (tài khoản quản trị tên miền cần phải được đưa vào ở đây)

• Dịch vụ Remote Registry không chạy hoặc đã bị vô hiệu hóa trên máy tính điều khiển xa

Sửa tình huống và bạn sẽ có thể kết nối được với máy tính điều khiển xa

để có thể xem được các bản ghi sự kiện của nó

Sử dụng EventCombMT.exe

Có thể bạn đã biết về các công cụ Account Lockout và Management Tools (ALTools.exe) Một trong các công cụ đó là EventCombMT.exe, bạn có thể sử dụng để hợp nhất các bản ghi sự kiện từ nhiều máy tính trong một vị trí đơn để phân tích Để sử dụng công cụ này, bạn kích đúp vào EventCombMT.exe trong thư mục nơi đã cài đặt nó, sau đó chỉ định miền, máy chủ, và kiểu các sự kiện mà bạn muốn tìm Ví dụ, nếu bạn muốn tìm tất cả các sự kiện W32Time trên hai máy chủ (TEST230 và TEST235) trong miền testtwo.local:

Kích Search, khi hoạt động kết thúc, một thư mục sẽ mở ra hiển thị các

file kết quả được tạo ra:

Kích đúp vào một trong 2 file máy chủ hiển thị danh sách được phân định bằng dấu phẩy cho các sự kiện W32Time đối với máy chủ đó:

Sau đó bạn có thể import các file vào Excel để hợp nhất chúng nhằm cho việc phân tích EventCombMT cũng có một số truy vấn được xây dựng kèm mà bạn có thể sử dụng cho các nhiệm vụ chung như việc tìm kiếm các tài khoản đã bị khóa:

Các công cụ kiểm tra sự kiện khác

EventCombMT.exe là một công cụ rất hữu dụng nhưng không thân thiện lắm đối với người dùng vì khó sử dụng Nếu bạn có rất nhiều máy tính

mà muốn kiểm tra các sự kiện của nó, cách tốt nhất bạn nên mua một

công cụ sản phẩm thương mại cho mục đích này Chúng tôi sẽ kết thúc bài này bằng việc đề cập đến hai công cụ như vậy

Microsoft Operations Manager (MOM)

MOM là sản phẩm Windows Server System của Microsoft, sản phẩm này cho phép bạn kiểm tra các sự kiện, tình trạng hệ thống và hiệu suất của máy tính trong mạng của bạn với thời gian thực, hợp nhất các thông tin như vậy trong một kho chứa trung tâm và tạo các báo cáo web đồ họa MOM 2000 hiện đang là được sử dụng rộng rãi mặc dù vậy nó sẽ dần được thay thế bởi MOM 2005, sản phẩm này có giao diện mới hơn và sự bảo mật tốt hơn, một số rule được nâng cao và cải thiện các báo cáo MOM 2005 cũng hỗ trợ nhiều tính năng khác như sự quốc tế hóa và hỗ trợ tác nhân 64bit

GFI LANguard SELM

GFI LANguard Security Event Log Monitor (SELM) là một công cụ của GFI, công cụ này cho phép bạn quản lý bản ghi sự kiện trên các máy tính điều khiển xa, hợp nhất bản ghi sự kiện từ các máy tính đó vào một khu vực riêng, có thể xem và báo cáo cùng với lọc một cách dễ dàng và đơn giản Bạn cũng có thể tạo chính các báo cảnh theo ý thích của mình dựa trên event ID, nội dung và điều kiện sự kiện, chính vì vậy bạn có thể kiểm tra các vấn đề cụ thể trong toàn mạng SELM thậm chí còn cho phép phân tích các chi tiết sự kiện, những thứ mà ở MOM không có Các sản phẩm của GFI quả thật tuyệt vời và có thể là một giải pháp mà bạn nên chọn khi xem xét các công cụ để kiểm tra và khắc phục sự cố bản ghi sự kiện trong toàn mạng

quantrimang