L’essentiel de la supervision du réseau, 2e partie

Avez-vous besoin d’un outil qui supervise les journaux d’événements Windows et vous signale (par courrier électronique ou pager) la présence d’événements correspondant à certains critères ? Pour mettre en place un mécanisme d’alerte personnalisé, je vous conseille d’utiliser VBScript et WMI (Windows Management Instrumentation). Dans « UseWMI to Monitor Your Web Site for Changes » (www.itpro.fr Club abonnés), je fournis un exemple de script qui surveille des événements spécifiques et envoie un message électronique à une adresse désignée chaque fois que des événements correspondants se produisent. Le script ne consomme aucun cycle de CPU pendant qu’il attend le prochain événement correspondant et vous pouvez facilement modifier la requête WMI qui détermine quel événement le script traite, et vous le signale. Les requêtes WMI utilisent une commande SQL Select semblable à celles à partir desquelles les requêtes Microsoft Access sont construites. La difficulté est de déterminer quels événements devraient générer une alerte. En effet, il est facile d’inonder le pager ou la boîte de réception avec un flot d’alertes, pas toutes intéressantes.

Pour commencer à créer les critères d’alertes, utilisez un outil de reporting qui collectera les informations nécessaires dans les journaux d’événements. En la matière, rien ne vaut Log Parser de Microsoft. Il vous permet d’appliquer des requêtes au journal d’événements en utilisant une instruction Select, semblable à une requête WMI mais mieux adaptée aux requêtes adressées à un journal existant. J’ai écrit plusieurs articles sur Log Parser, qui incluent de nombreux exemples de requêtes qu’il vous sera facile d’adapter à vos besoins. L’objectif est d’écrire une ou plusieurs requêtes pour chaque type de journal d’événements (Application, Security, System, par exemple). Un filtrage permet d’ignorer les événements sans intérêt et de présenter les événements importants. Je vous conseille d’appliquer les requêtes aux journaux de sécurité pour les event ID les plus courants et les plus importants, que montre le tableau 1. (Vous pouvez aussi obtenir un tableau de référence rapide gratuit sur mon site Ultimate Windows Security à http://www.ultimatewindowssecurity.com.) Une telle requête ressemblerait à ceci :

Logparser "select TimeGenerated,EventID,Message
from \\mtg1\security
where EventID
in (675;676; 681;642;624;644;617;632;660;636)"