远程收集事件日志

Question

在您看来，从网络中的多台Windows计算机远程收集事件日志的最佳方法是什么？

我需要远程收集日志事件，并且我有几种方法(WMI、EventLog类等)。但我不知道什么是最好的方法。

你能帮帮我吗?

谢谢

Answer 1

编辑：您是否正在将远程事件日志访问编程到应用程序中？也许你可以详细说明一下。如果是，你是用什么语言编程的，等等。

请查看OSSEC，它可能与Logstash和ElasticSearch协同工作。

或者您可以查看Wevutil，将事件日志数据拉到管理工作站，然后将其推送到数据库中。

还有来自sysinternals的PsLogList，您也可以使用它来提取事件日志数据，然后将其推送到数据库。

Answer 2

在我看来，最好的方法是配置redis、rabbitMQ或ZeroMQ (支持良好的插件)，并将所有日志发送到队列服务器，logstash indexer将从队列服务器获取所有日志并对其进行处理。

通过这种方式，您的所有日志都将存储在中央服务器上，您也可以使用我上面提到的消息传递系统将其保存下来。您现有的所有系统都将是相同的，除了一个简单的客户端推送到消息队列之外，不需要额外的包。

http://logstash.net/docs/1.4.0/