集中监控Windows事件日志

平时工作中，都会在每台终端上配置审核策略后，这样一旦发生问题，

就可以通过终端上的事件查看器，可以掌握终端上发生的很多操作行为，

对于定位问题和分析问题原因很有帮助。

可是这有一个问题，终端数目很多，而且都在用户的使用中，并不方便

到具体终端上检查问题，这样就需要类似于交换机和路由器等网络设备

一样，通过syslog将日志发送到网络上的日志服务器上，维护人员就能

够很方便的在自己的终端上登录日志服务器工作，而不需要到用户终端

上查看，对提高工作效率非常有用。

怎么实现呢？很简单，就几步。

1. 首先从网上下载所需要的软件，

evtsys 几十kb的小软件，可以将windows事件转化为syslog消息，发送出来。

一个syslog服务器，如果已经建了，就不需要在安装了。

2.安装evtsys

evtsys使用命令行方式安装为windows的一个服务

将evtsys 的可执行程序和动态库都拷贝到windows的system32目录下，然后执行

命令

evtsys –i –h syslog服务器的地址

默认使用udp 514端口

如果为提高安全性，需要更改，在命令行后面再跟上-p 自定义的端口

3.在服务中，启动eventlog to syslog服务。

4.在syslog服务器上，就收到来自终端的windows事件了

但是不忙，我们发现中文都显示成了乱码，怎么办？

对于一些比较好的syslog服务器，提供了配置文字编码的选项

以kiwi syslog server为例，在setup配置中，将udp协议输入的文字编码修改为

utf-8，乱码就没有了，显示正常的中文。

但一些相对比较简单的syslog服务器，例如SyslogGather，我并没有找到配置的

位置，没能解决乱码的问题。