Отправляет email-рассылки с помощью сервиса Sendsay

Секреты Windows: статьи о реестре, rundll32.exe, программах

Рассылка закрыта

При закрытии подписчики были переданы в рассылку "Всё о работе в Интернет" на которую и рекомендуем вам подписаться.

Вы можете найти рассылки сходной тематики в Каталоге рассылок.

←   Апрель 2009   →
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
Автор
Клименко Роман aka parad0x

Статистика

3.339 подписчиков
-4 за неделю
←   Все выпуски   →

Секреты Windows: статьи о реестре, rundll32.exe, программах


Глава 4. Консоль управления Microsoft. Event Viewer - окончание
Дата: 5 апреля 2009, воскресенье

У вас тоже есть сайт? Мы можем поговорить о сотрудничестве между нашими сайтами. Давайте вместе подумаем, как сделать наши сайты лучше. Предлагайте свои варианты сотрудничества. А может вы программист и хотите написать программу? Какую-нибудь программу, для которой очень подошла бы одна из наших баз данных? Пишите о своих предложениях и сути программы, которую вы хотите создать.

В первую очередь под сотрудничеством понимается использование наших баз данных в ваших проектах. Например, вы хотите создать программу «редактор реестра», а у нас как раз есть база с описанием более 5000 ветвей и параметров реестра (http://onestyle.com.ua/o.php?p=149). Так почему бы вам не внедрить возможность непосредственно в вашем редакторе реестра просматривать описание параметров реестра, взятое из нашей базы данных? И т.д. Список всех баз данных можно найти внизу страницы http://onestyle.com.ua/csite.php.

Также мы готовы рассмотреть другие варианты сотрудничества:

  • Размещение рекламы программы/сайта в рассылке, на сайте, в справочниках (http://onestyle.com.ua/down.php?tag=3) либо платно либо в обмен на размещение рекламы нашего сайта и рассылки в интерфейсе вашей программы.
  • Мы можем написать и разместить на нашем сайте статью о работе с программой или вашим сайтом. Данную статью также можно отправить на публикацию в журнал «Мой компьютер». Эту статью вы можете впоследствии разместить на других сайтах. Оплата за статью также либо деньгами либо по бартеру =)

В общем, пишите нам: onestyle [СОБАЧКА] list [ТОЧКА] ru

В конец записи

Раздел Subscriptions

С помощью данного раздела можно подписаться на события (под событием понимается создание записи от определенной службы или компонента операционной системы в системном журнале удаленного компьютера), возникающие на удаленных компьютерах. Когда событие, на которое вы подписались, произойдет, будет создана соответствующая запись в журнале ForwardedEvents (по умолчанию, но журнал можно изменить).

Чтобы подписаться на событие, нужно в контекстном меню раздела Subscriptions выбрать команду ADD SUBSCRIPTION…. После этого отобразится диалог, представленный на рисунке 4.14.


Рис. 4.14. Диалог создания подписки на события

Он содержит следующие элементы.

  • SUBSCRIPTION NAME. Определяет название подписки. Можете указать любое.
  • DESCRIPTION.Определяет описание подписки.
  • DESTINATION LOG. Данный выпадающий список позволяет указать журнал, в который будут помещаться записи о возникающих событиях, которые указаны в данной подписке. По умолчанию используется стандартный журнал ForwardedEvents. Однако вы можете выбрать любой другой не системный журнал.
  • SOURCE COMPUTER(S). Данное поле содержит список компьютеров, на которых будет отслеживаться возникновение определенных событий. С помощью кнопки ADD можно добавить в список компьютеров новый компьютер. С помощью кнопки DELETE можно удалить определенный компьютер из списка компьютеров. С помощью кнопки TEST можно послать запрос WinRM, чтобы проверить корректность работы необходимых служб.
  • SELECT EVENTS. Данный выпадающий список позволяет создать новый фильтр либо воспользоваться уже существующим. Если вы выберите элемент EDIT… данного выпадающего списка, тогда будет отображен уже знакомый нам диалог создания фильтра. Именно на основе данного фильтра будут определяться записи журналов удаленного компьютера, которые будут отображаться в журнале ForwardedEvents локального компьютера.
  • ADVANCED…. После нажатия данной кнопки перед вами отобразится диалог, с помощью которого можно изменить учетную запись, от имени которой будет выполняться подписка на события, а также порт, по которому будет установлено соединение с удаленным компьютером, и один из режимов оптимизации использования пропускной способности сети.

    Существует несколько режимов оптимизации: Custom, Minimize Bandwidth, Minimize Latency и Normal. Друг от друга они отличаются значениями четырех параметров реестра, которые расположены, соответственно, в подразделах Custom, MinBandwidth, MinLatency и Normal ветви HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\EventCollector\ConfigurationModes. Вот эти параметры реестра.

    • DeliveryMode. Данный параметр имеет строковый тип и может принимать значения push (используется режимами оптимизации Minimize Bandwidth и Minimize Latency) или pull (используется режимами оптимизации Custom и Normal). Он определяет способ доставки событий (кто именно инициирует процесс доставки сведений о событии).
    • HeartBeatInterval. Данный параметр имеет тип REG_DWORD и определяет интервал проверки возникновения событий. Значение данного параметра равно 3600000, 21600000, 3600000, и 900000, соответственно, для режимов оптимизации, Custom, Minimize Bandwidth, Minimize Latency и Normal.
    • MaxItems. Данный параметр имеет тип REG_DWORD. Он определяет максимальное количество событий в коллекции. Для режима оптимизации Normal значение данного параметра равно 5, а для остальных режимов оптимизации — 20.
    • MaxLatencyTime. Данный параметр имеет тип REG_DWORD и определяет максимальное время ожидания возникновения событий. Значение данного параметра равно 900000, 21600000, 30000, и 900000, соответственно, для режимов оптимизации, Custom, Minimize Bandwidth, Minimize Latency и Normal.

Сведения о созданных подписках хранятся в ветви реестра HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\EventCollector\Subscriptions. Каждая созданная подписка имеет в этой ветви свой собственный подраздел, название которого соответствует названию подписки. Каждый из этих подразделов содержит в себе одни и те же параметры реестра, большинство из которых изменяются при помощи диалога SUBSCRIPTION PROPERTIES. Знание этих параметров может пригодиться при автоматическом создании подписок. Кроме того, чтобы создать подписку при помощи диалога SUBSCRIPTION PROPERTIES, необходимо получить доступ к компьютеру-назначению по сети (если доступ к нему в данный момент отсутствует, тогда вы не сможете создать подписку). А при создании подписки с помощью реестра не имеет значения, доступен ли удаленный компьютер в данный момент.

  • Enabled. Данный параметр REG_DWORD типа определяет, выполняется ли сбор событий на основе подписки в данный момент.
  • ConfigurationMode. Данный параметр строкового типа определяет используемый подпиской режим оптимизации и может принимать следующие значения: Normal, Custom, MinBandwidth, MinLatency.
  • Query. Данный параметр строкового типа определяет запрос, на основе которого определяются события, на которые выполнена данная подписка.
  • TransportName. Данный параметр строкового типа определяет протокол, используемый для транспортировки событий. По умолчанию используется протокол HTTP, однако можно присвоить данному параметру значение HTTPS, чтобы использовался защищенный протокол.
  • TransportPort. Данный параметр строкового типа определяет порт, используемый для транспортировки событий.
  • DeliveryMode. Смотреть одноименный параметр подразделов ветви HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\EventCollector\ConfigurationModes, описанный выше.
  • MaxItems. Смотреть одноименный параметр подразделов ветви HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\EventCollector\ConfigurationModes, описанный выше.
  • MaxLatencyTime. Смотреть одноименный параметр подразделов ветви HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\EventCollector\ConfigurationModes, описанный выше.
  • HeartBeatInterval. Смотреть одноименный параметр подразделов ветви HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\EventCollector\ConfigurationModes, описанный выше.
  • CommonUserName. Данный параметр строкового типа определяет имя пользователя, от имени которого выполняется подключение к удаленному компьютеру.
  • CredentialType. Данный параметр строкового типа определяет тип аутентификации пользователя на удаленном компьютере. По умолчанию используется значение Default данного параметра.

Кроме того, существует несколько параметров реестра, влияющих на работу всех подписок. Они содержатся в ветви реестра HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\EventCollector\Globals и имеют тип REG_DWORD.

  • RetryInterval. Определяет интервал, с которым операционная система будет пытаться получить сведения о возникшем событии, на которое есть подписка.
  • RetryCount. Определяет максимальное количество повторов на получение сведений о событии.

Работа со стандартными журналами Windows при помощи команды wevtutil.exe

Также работать со стандартными журналами Windows можно при помощи новой программы командой строки операционной системы Windows Vista. Чтобы просмотреть полный перечень возможностей данной команды и их описание, нужно воспользоваться командой wevtutil /?. Мы же с вами на страницах данной книги рассмотрим только основные команды данной программы.

  • Wevtutil el. Отображает список стандартных журналов операционной системы локального компьютера.
  • Wevtutil el /r:«компьютер» /u:«пользователь» /p:«пароль». Отображает список стандартных журналов операционной системы удаленного компьютера, используя для подключения к нему указанное имя пользователя и пароль. Также можно использовать опцию /a: для определения способа аутентификации пользователя на удаленном компьютере. Можно указать следующие значения данной опции: Default, Negotiate, Kerberos или NTLM.
  • Wevtutil gl «имя стандартного журнала». Отображает настройки стандартного журнала локального или удаленного компьютера. Данная команда отображает следующие настройки журналов: имя, включен или отключен в данный момент, тип, имя создателя, права доступа, путь к файлу, максимальный размер файла, выполняется ли его автоматическая архивация и т.д.
  • Wevtutil sl «имя стандартного журнала» «изменяемый параметр журнала». Позволяет изменить параметры работы определенного журнала. Параметры изменяются при помощи следующих опций.
    • /e:«true или false». Позволяет включить или отключить запись в данный журнал.
    • /i:«определяет способ изоляции». Позволяет изменить способ изоляции, который определяет сессию, с которой разделяет работу данный журнал. Например, значение данной опции может быть равно system или application.
    • /lfn:«новое имя журнала». Изменяет имя выбранного журнала.
    • /rt:«true или false». Если значение данного параметра равно false, тогда новые события будут переписывать собой старые события журнала. В противном случае старый файл журнала будет сохраняться.
    • /ab:«true или false». Позволяет включить или отключить автоматическую архивацию файла журнала. Если автоматическая архивация должна быть включена, тогда также должно быть включено значение опции /rt:.
    • /ms:«максимальный размер». Определяет максимальный размер файла журнала в байтах. Минимальное значение данного параметра может быть равно 1048576.
    • /l:«уровень». Определяет уровень фильтрации содержимого создаваемого лог-файла.
    • /k:«ключевые слова». Определяет ключевые слова для фильтрации содержимого журнала.
    • /ca:«права доступа». Определяет права доступа на регистрацию событий в журнале (в формате SDDL).
    • /c:«путь к файлу xml». Определяет путь к файлу, содержащему новые настройки журнала. Синтаксис данного файла приведен в описании программы и его можно отобразить, введя команду wevtutil /sl /?.
  • Wevtutil ep. Отображает список провайдеров, которые могут заносить сведения о своей работе в стандартные журналы операционной системы.
  • Wevtutil gp «имя провайдера». Отображает основные сведения о данном провайдере. К списку основных сведений относятся: имя и CLSID-номер провайдера, путь к библиотеке провайдера, ссылка на ресурс сайта Microsoft, описывающий назначение данного провайдера, название журнала, в который провайдер записывает свои сведения, идентификатор записей и т.д.
  • Wevtutil epl «имя стандартного журнала» «путь к файлу с расширением .elf». Экспортирует содержимое стандартного журнала локального или удаленного компьютера в elf-файл.
  • Wevtutil cl «имя стандартного журнала». Очищает содержимое указанного стандартного журнала.

Программа eventcreate.exe

Расположение: %systemroot%\system32\eventcreate.exe.

Никуда не исчезла и стандартная программа командной строки eventcreate.exe, с помощью которой можно создавать в стандартных журналах операционной системы свои записи. Поскольку эта программа не является чем-то новым, мы просто о ней упомянем.

Основной синтаксис этой программы следующий: eventcreate /t «тип события» /id «идентификатор события» /l «название журнала» /d «описание». Где.

  • Тип события может принимать следующие стандартные значения: ERROR, WARNING, INFORMATION и SUCCESS.
  • Идентификатор должен быть числом от 1 до 1000.
  • Название журнала может принимать только следующие значения: Application, System или название любого другого журнала из раздела Applications and Services Logs оснастки EVENT VIEWER.

Продолжение следует
Рейтинг: 0 
Оцените: 1 2 3 4 5
moemesto.ru bobrdobr.ru - добавить в социальные закладки
В начало записи
Оригинал статьи: http://www.onestyle.com.ua/txt.php?u=477
В избранное