Log Analytics aracısı ile Windows olay günlüğü veri kaynaklarını toplama

Birçok uygulama Windows olay günlüğüne yazdığından Windows olay günlükleri, Windows sanal makinelerinde Log Analytics aracıları için en yaygın veri kaynaklarından biridir. Sistem ve Uygulama gibi standart günlüklerden ve izlemeniz gereken uygulamalar tarafından oluşturulan özel günlüklerden olayları toplayabilirsiniz.

Önemli

Eski Log Analytics aracısı Ağustos 2024'e kadar kullanımdan kaldırılacaktır. Bu tarihten sonra Microsoft artık Log Analytics aracısı için destek sunmayacaktır. Veri alımına devam etmek için 2024'ün Ağustos ayından önce Azure İzleyici aracısına geçiş yapın.

Windows olay günlüklerini yapılandırma

Log Analytics çalışma alanının Eski aracılar yönetim menüsünden Windows olay günlüklerini yapılandırın.

Azure İzleyici yalnızca ayarlarda belirtilen Windows olay günlüklerinden olayları toplar. Günlüğün adını girip öğesini seçerek +olay günlüğü ekleyebilirsiniz. Her günlük için yalnızca seçilen önem derecelerine sahip olaylar toplanır. Toplamak istediğiniz günlük için önem derecelerini denetleyin. Olayları filtrelemek için başka ölçüt sağlayamazsınız.

Bir olay günlüğünün adını girdiğinizde, Azure İzleyici ortak olay günlüğü adları için öneriler sağlar. Eklemek istediğiniz günlük listede görünmüyorsa, günlüğün tam adını girerek bunu yine de ekleyebilirsiniz. Olay görüntüleyicisini kullanarak günlüğün tam adını bulabilirsiniz. Olay görüntüleyicisinde günlüğün Özellikler sayfasını açın ve Dizeyi Tam Ad alanından kopyalayın.

Önemli

Log Analytics aracısını kullanarak çalışma alanından güvenlik olaylarının koleksiyonunu yapılandıramazsınız. Güvenlik olaylarını toplamak için Bulut için Microsoft Defender veya Microsoft Sentinel kullanmanız gerekir. Azure İzleyici aracısı, güvenlik olaylarını toplamak için de kullanılabilir.

Windows olay günlüğündeki kritik olaylar, Azure İzleyici Günlüklerinde "Hata" önem derecesine sahip olur.

Veri toplama

Azure İzleyici, olay oluşturulurken izlenen bir olay günlüğünden seçilen önem derecesiyle eşleşen her olayı toplar. Aracı, topladığı her olay günlüğündeki yerini kaydeder. Aracı bir süre çevrimdışı kalırsa, aracı çevrimdışıyken bu olaylar oluşturulmuş olsa bile son kaldığı yerden olayları toplar. Aracı çevrimdışıyken olay günlüğü toplanmamış olayların üzerine yazılırsa bu olayların toplanmaması olasıdır.

Not

Azure İzleyici, SQL Server tarafından kaynak MSSQLSERVER'dan oluşturulan ve Klasik anahtar sözcüklerini veya Başarıyı Denetle ve anahtar sözcük 0xa0000000000000 içeren olay kimliği 18453 olan denetim olaylarını toplamaz.

Windows olay kayıtları özellikleri

Windows olay kayıtlarının bir olay türü vardır ve aşağıdaki tabloda özellikleri vardır:

Özellik	Açıklama
Bilgisayar	Olayın toplandığı bilgisayarın adı.
EventCategory	Olayın kategorisi.
EventData	Ham biçimdeki tüm olay verileri.
EventID	Olayın sayısı.
EventLevel	Olayın önem derecesi sayısal biçimdedir.
EventLevelName	Olayın metin biçimindeki önem derecesi.
EventLog	Olayın toplandığı olay günlüğünün adı.
ParameterXml	XML biçiminde olay parametresi değerleri.
ManagementGroupName	System Center Operations Manager aracıları için yönetim grubunun adı. Diğer aracılar için bu değer olur AOI-<workspace ID>.
RenderedDescription	Parametre değerleriyle olay açıklaması.
Kaynak	Olayın kaynağı.
SourceSystem	Olayın toplandığı aracı türü. OpsManager – Doğrudan bağlantı veya Operations Manager tarafından yönetilen Windows aracısı. Linux – Tüm Linux aracıları. AzureStorage – Azure Tanılama.
TimeGenerated	Olayın Windows'ta oluşturulduğu tarih ve saat.
UserName	Olayı günlüğe kaydeden hesabın kullanıcı adı.

Windows olaylarıyla günlük sorguları

Aşağıdaki tabloda, Windows olay kayıtlarını alan günlük sorgularının farklı örnekleri verilmiştir.

Sorgu	Açıklama
Etkinlik	Tüm Windows olayları.
Olay | where EventLevelName == "Error"	Hata önem derecesine sahip tüm Windows olayları.
Olay | kaynağa göre count() özetleme	Kaynağa göre Windows olaylarının sayısı.
Olay | where EventLevelName == "Error" | kaynağa göre count() özetleme	Kaynağa göre Windows hata olaylarının sayısı.

Sonraki adımlar

• Log Analytics'i analiz için diğer veri kaynaklarını toplayacak şekilde yapılandırın.
• Veri kaynaklarından ve çözümlerden toplanan verileri analiz etmek için günlük sorguları hakkında bilgi edinin.
• Windows aracılarınızdan performans sayaçları koleksiyonunu yapılandırın.