如何学习阅读 Windows Server 事件查看器并了解哪些事件是正常的，哪些是潜在问题的迹象？

Question

我在工作中一直在管理 Windows Server 2003 机器，但我是一名软件开发人员。（请不要说“雇用系统管理员”，这个问题的重点是我自己的学习）。

服务器管理员如何了解在事件查看器中查找的内容？有时会出现一些我不明白的奇怪的事情，很多时候会有一些我总是忽略的东西，因为它们总是在那里。

是否有一些资源可以训练我了解 Windows Server 事件查看器日志的正常行为以及哪些事情可能会带来灾难？

或者也许有一些第三方工具可以破译它们并提出建议？不过，我更喜欢学习路线。

Answer 1

事件日志是操作系统、其组件和系统上安装的任何软件抛出的任何消息或错误的交换所。所以我们不能完全覆盖它的所有潜在内容，因为它可以包含无限的潜在内容，它们都需要单独处理。

分析事件日志的一种方法是：

1. 过滤掉信息警报，以便您只看到警告和错误。
2. 依次研究每一个并尝试解决每个问题。谷歌是实现这一目标的一种完全合法的方式。如果您能够解决一个错误，使其不再发生，那太好了，该案例已关闭。进入下一个。
3. 如果您无法解决错误，请尝试确定它是良性问题还是真正的问题。如果这是一个真正的问题，请将其升级。如果不是，请将其添加到您的“已知错误”记录（或心理“忽略此”池）并继续下一个错误。

这就是它的全部内容。安全事件日志审计有点不同，但应用程序和系统通常可以用上述方法很好地涵盖。

您可以设置监控/警报包来查看事件日志并提醒您。有两种典型的方法：

1. 配置工具以监视特定条目并对其发出警报
2. 配置该工具以忽略已知的良性条目并对其他所有内容发出警报

每种方法都有其优势。但要记住的一件关键事情是，监控工具仅与其配置一样有用，并且没有“灵丹妙药”可以让您很好地融合“足够安静”和“保证每一次提醒您是时候出现真正的问题了。” 不幸的是，这需要持续平衡。