Зверева О.М. Операционные системы. Часть 3: Операционная система Windows 2000 Professional. Дополнительные возможности администрирования и мониторинга системы

Подождите немного. Документ загружается.

• Журнал приложений (Application Log) - фиксирует события, зарегист-

рированные приложениями. Например, текстовый редактор может за-

регистрировать в данном журнале ошибку при открытии файла.

• Журнал системы (System Log) – записывает события, которые реги-

стрируются системными компонентами Windows 2000. Например, в

системный журнал записываются такие события, как сбой в процессе

загрузки драйвера или другого системного компонента

при запуске

системы.

• Журнал безопасности (Security Log) - содержит записи, связанные с

системой безопасности. С помощью этого журнала можно отслежи-

вать изменения в системе безопасности и идентифицировать бреши в

защите. В данном журнале можно регистрировать попытки входа в

систему. Для просмотра журнала необходимо иметь права админист-

ратора. По умолчанию регистрация событий в

журнале безопасности

отключена.

Помимо стандартных, на компьютере могут быть и другие

журналы, создаваемые различными службами. Работа с такими

журналами ничем не отличается от процедур просмотра стандартных

журналов.

Журнал системы безопасности может просматривать только

пользователь с правами системного администратора. По умолчанию

регистрация событий в данном журнале отключена. Для запуска

регистрации необходимо установить

политику аудита.

Типы событий

В журналах регистрируются следующие типы событий:

• Ошибка (Error) - событие регистрируется в случае возникновения

серьезного события (такого, как потеря данных или функциональных

возможностей). Событие данного типа будет зарегистрировано, если

невозможно загрузить какой-либо из сервисов в ходе запуска систе-

мы.

• Предупреждение (Warning) - событие не является серьезным,

но мо-

жет привести к возникновению проблем в будущем. Например, если

недостаточно дискового пространства, то будет зарегистрировано

предупреждение.

• Уведомление (Information) - значимое событие, которое свидетельст-

вует об успешном завершении операции приложением, драйвером или

сервисом. Такое событие может, например, зарегистрировать успешно

загрузившийся сетевой драйвер.

• Аудит успехов (Success Audit) – событие, связанное с безопасностью

системы. Примером такого события является успешная попытка реги-

страции пользователя в системе.

• Аудит отказов (Failure Audit) – событие связано с безопасностью сис-

темы. Например, такое событие будет зарегистрировано, если попыт-

ка доступа пользователя к

некоторой папке, к которой ему запрещен

доступ, закончилась неудачей.

Параметры событий

Информация о событиях содержит следующие параметры:

Тип (Type) Тип события

Дата (Date) Дата генерации события

Время (Time) Время регистрации события

Источник (Source) Источник (имя программы, системного

компонента или компонента приложения),

который привел к регистрации события

Категория (Category) Классификация события по источнику,

вызвавшему его появление

Событие (Event ID) Идентификатор события

Пользователь (User) Имя учетной записи пользователя, от имени

которого производились действия,

вызвавшие генерацию события

Компьютер (Computer) Компьютер, на котором зарегистрировано

событие

Для просмотра дополнительной информации о событии выберите

в меню Действие (Action) пункт Свойства (Рroperties) (либо щелкните

правой кнопкой мыши на названии события и выберите пункт Свойства в

открывшемся контекстном

меню). Будет открьгго окно, показанное на

рис. .5. На панели Описание (Description) приведена общая информация о

событии. На панели Данные (Data) отображаются двоичные данные,

которые могут быть представлены как Байты (Вуtes) или как Слова

(Words). Эти данные могут быть интерпретированы опытным

программистом или техническим специалистом службы поддержки,

знакомым с исходным кодом приложения.

Просмотр журналов

Сортировка событий

Для определения порядка сортировки событий в журнале

щелкните заголовок того столбца, по которому следует отсортировать

события. Для отмены

установленного порядка сортировки щелкните

данный заголовок еще раз. Порядок сортировки по времени регистрации

события можно установить с помощью меню Вид. Возможны два режима

Рис. 5. Дополнительная информация о событии

сортировки: от старых к новым (Оldest First) или от новых к старым

(Newest First – опция по умолчанию). При архивировании журнала

порядок сортировки не сохраняется.

Обновление журналов

Выберите в окне оснастки на панели обзора журнал, который

требуется обновить. Затем в меню Действие укажите пункт Обновить

(Refresh).

Следует учитывать, что команда Обновить недоступна для

архивированных журналов, поскольку данные файлы уже не могут быть

обновлены.

Примечание. Когда вы открываете журнал, оснастка отображает

текущую информацию журнала. Во время просмотра журнала

информация не обновляется, если не делать это принудительно, по

команде Обновить. Если журнал не отображается в текущем окне, то

информация автоматически обновляется.

Поиск событий

Для поиска события

в журнале в меню Вид выберите команду

Найти (Find). В открывшемся окне можно установить следующие

параметры поиска: по типу события (Туре), по источнику события

(Source), по категории (Category), коду события (Еvent ID), пользователю

(User), компьютеру (Соmputer) или описанию (Description). Для начала

поиска нажмите кнопку Найти далее (Find Next). Для восстановления

критериев поиска по умолчанию нажмите кнопку

Восстановить по

умолчанию (Clear).

Создание нового вида журнала

Вы можете создать дополнительный вид какого-либо журнала,

позволяющий просматривать, скажем, события с определенными

параметрами. Для этого:

Откройте необходимый журнал и в меню Действие выберите пункт Соз-

дать вид журнала (New Log View).

Вызовите для нового журнала контекстное меню и выберите команду Пе-

реименовать (Rename).

Задайте

нужный вид журнала (столбцы, фильтр, способ сортировки).

Просмотр событий на другом компьютере

Для просмотра событий на другом компьютере следует добавить допол-

нительный экземпляр оснастки Просмотр событий:

1. Запустите консоль ММС.

2. В меню Консоль выберите пункт Добавить/Удалить оснастку.

3. Перейдите на вкладку Изолированная оснастка и нажмите

кнопку Добавить.

4. Выберите пункт Просмотр событий.

5. Нажмите кнопку другим компьютером (Another computer) и

введите имя удаленного компьютера.

6. Нажмите кнопку Готово.

Фильтрация событий

Для фильтрации событий в журнале выберите в меню Вид

пункт

Фильтр (Filter). Ниже приведено описание опций фильтрации в журнале:

Уведомления

(Information)

Значимые события, которые описывают

успешные операции, выполненные серви-

сами. Например, сообщение об успешно

запущенном сервисе

Предупреждения

(Warning))

Событие не мешает работе системы, но

может привести к появлению проблем в

будущем. Запись такого типа может быть

зарегистрирована в случае недостатка сво

бодного места на диске

Ошибки

(Error)

Регистрация такого события свидетельству-

ет о появлении серьезных проблем. Напри-

мер, такое событие может быть зарегистри-

ровано, если не удалось запустить один из

сервисов или системных компонентов

Аудит успехов

(Success Audit)

События, связанные с безопасностью сис-

темы. Запись этого типа указывает на ус-

пешную попытку выполнения

действий,

связанных с системой безопасности

Аудит отказов

(Failure Audit)

События, связанные с безопасностью сис-

темы. Указывает на неудачу при выполне-

нии действий, связанных с системой безо-

пасности

Источник события

(Event Source)

Источник, вызвавший появление события.

источником может быть приложение или

системный компонент

Категория

(Category)

Категория события, которая установлена в

источнике события

Код события

(Event ID)

Идентификатор

события

Пользователь

(User)

Имя учетной записи пользователя, от име-

ни которого проводились действия, вы-

звавшие регистрацию события в журнале

Компьютер

(Computer)

Имя компьютера, на котором произошло

событие

С (From) Просмотр событий, которые произошли

после указанной даты и времени. По умол-

чанию дата и время устанавливаются рав-

ными дате и времени регистрации первого

события

в журнале

По (To) Просмотр событий, которые произошли до

указанной даты и времени включительно.

По умолчанию дата и время устанавлива-

ются равными дате и времени регистрации

последнего события

Для возврата к опциям, установленным по умолчанию, нажмите

кнопку Восстановить умолчания (Restore Defaults). Для отмены

фильтрации в меню Вид выберите пункт Все записи (All Records).

Настройка

параметров журналов

Установка опций регистрации событий в журнале

Выбор команды Свойства меню Действие позволяет открыть

окно свойств журнала (рис. 6). В этом окне можно установить параметры

регистрации событий.

В поле Выводимое имя (Display Name) отображается текущее

отображаемое название журнала, которое можно изменить. Поле Имя

журнала (Log name) содержит путь к файлу журнала на диске

компьютера.

Переключатель По достижении максимального размера

журнала (When maximum log size is reached) служит для настройки

способа ведения журнала регистрации событий:

• Выберите положение Затирать старые события по необходимости

(Overwrite events as needed), если вы не собираетесь архивировать

данный журнал.

• Если архивирование журнала производится с определенными интер-

валами, то выберите положение Затирать события старее дней

(Overwrite events older than) и укажите длительность интервала

(в

днях). При этом следует установить размер журнала (значение счет-

чика Максимальный размер журнала (Maximum log size)) достаточ-

ным для того, чтобы размер журнала в течение указанного периода не

превысил установленное значение.

• Если вы хотите сохранить в журнале все зарегистрированные собы-

тия, то выберите положение Не затирать события (очистка журнала

вручную) (Do not overwrite events (с1ear log manually)). При этом вам

будет необходимо вручную удалять события из

журнала. Следует

иметь в виду, что когда размер журнала достигнет максимального ус-

тановленного значения, новые события будут отбрасываться.

В случае необходимости восстановления параметров по

умолчанию нажмите кнопку Восстановить умолчания (Default). Для

удаления событий из журнала, нажмите кнопку Очистить журнал (С1еаг

Log).

После установки всех параметров нажмите кнопку ОК.

Рис. 6. Окно для установки параметров регистрации событий

Архивирование журналов

Для архивирования журнала:

1. На панели структуры выберите журнал, который вы будете архиви-

ровать В меню Действие выберите команду Сохранить файл жур-

нала как (Save Log File as).

2. В открывшемся окне в поле Имя файла (File Name) введите имя

файла, в котором будет заархивирован журнал.

3. В поле Тип файла (Save as type) выберите формат

файла.

Примечание. При архивировании журнала целиком сохраняется

все его содержание, независимо от опций фильтрации. Журналы, которые

сохраняются как файлы с расширением evt, сохраняют двоичные данные

для всех событий. Журналы, которые сохраняются как текстовые файлы с

расширениями txt или сsv, не содержат двоичных данных.

Для того чтобы открыть заархивированный журнал:

1. В меню

Действие выберите пункт Открыть файл журнала (Open

Log File).

2. В окне обзора перейдите в нужный каталог, выберите Тип файла и

Тип журнала.

3. В поле Имя файла можно вручную ввести имя открываемого файла.

4. В поле Выводимое имя введите имя журнала, которое будет ото-

бражено в окне консоли.

5. Нажмите кнопку ОК

В оснастке Просмотр событий можно просматривать

архивированный журнал только в том случае, если он сохранен в формате

файла журнала ЕVT.

Оснастка Производительность (Performance)

Для запуска оснастки Производительность откройте на панели

управления папку Администрирование и выберите значок Системный

монитор. Другой способ запуска – с помощью команды Пуск |

Программы | Администрирование | Системный монитор.

Оснастка Производительность на самом деле представляет собой

два инструмента:

• Собственно системный монитор – System Monitor Control, реализо-

ванный в виде элемента управления ActiveX.

• Оповещения и журналы производительности (Performance Logs and

Alerts) – автономная оснастка для просмотра файлов журналов произ-

водительности.

System Monitor

С помощью System Monitor вы можете измерять

производительность вашего компьютера или других компьютеров в сети:

• собирать

и просматривать данные текущей производительности сис-

темы на локальном компьютере или на нескольких удаленных компь-

ютерах;

• просматривать текущие данные или данные, собранные ранее с по-

мощью оснастки Оповещения и журналы производительности;

• представлять данные в виде графика, гистограммы или отчета, кото-

рые можно вывести на печать;

• внедрять возможности System Monitor в

Microsoft Word или другие

приложения пакета Microsoft Office помощью автоматизации OLE;

• создавать НТМL-страницы для просмотра производительности;

• создавать конфигурации мониторинга, допускающие повторное ис-

пользование, которые можно инсталлировать на других компьютерах

с помощью Microsoft Management Console.

Объекты и счетчики производительности

Система Windows 2000 получает информацию о

производительности от компонентов компьютера. Системные компоненты

в ходе своей работы генерируют данные о

производительности. Такие

компоненты называются объектами производительности.

В операционной системе имеется ряд объектов

производительности, обычно соответствующих главным аппаратным

компонентам, таким как память, процессоры и т. д. Приложения могут

также инсталлировать свои объекты производительности.

Каждый объект производительности предоставляет счетчики,

которые собирают данные производительности. Например, счетчик Обмен

страниц/сек (Page/sec) объекта Память (Меmory) отслеживает степень

кэширования страниц.

Ниже перечислены объекты, которые наиболее часто

используются для отслеживания работы системных компонентов:

• кэш (Cache);

• логический диск (Local Disk1);

• объекты (Objects);

• память (Memory);

• поток (Thread);

Рис. 7. Диалоговое окно, в котором можно выбрать счетчики и объ-

екты для мониторинга