Роман Клименко - Windows Vista. Для профессионалов

Сведения о созданных подписках хранятся в ветви реестра НКЕ Y_LOC AL_MACH INE \ SOFTWARE\Microsoft\Windows\CurrentVersion\EventCollector\ Subscriptions. Каждая созданная подписка имеет в этой ветви свой собственный подраздел, название которого соответствует названию подписки. Каждый из этих подразделов хранит одни и те же параметры, большинство из которых изменяются с помощью окна Свойства подписки. Знание этих параметров может пригодиться при автоматическом создании подписок. Кроме того, чтобы создать подписку с помощью окна Свойства подписки, необходимо получить доступ к компьютеру-назначению по сети (если доступ к нему в данный момент отсутствует, то вы не сможете создать подписку). А при создании подписки с помощью реестра не имеет значения, доступен ли удаленный компьютер в данный момент.

• Enabled – этот параметр REG_DWORD-типа определяет, выполняется ли сбор событий на основе подписки в данный момент.

• Conf igurationMode – имеет строковый тип и определяет используемый подпиской режим оптимизации. Он может принимать следующие значения: Normal, Custom, MinBandwidth, MinLatency.

• Query – этот параметр строкового типа указывает запрос. На основе этого запроса определяются события, на которые выполнена данная подписка.

• TransportName – имеет строковый тип и определяет протокол, используемый для транспортировки событий. По умолчанию используется протокол HTTP, однако можно присвоить данному параметру значение HTTPS, чтобы использовался защищенный протокол.

• TransportPort – этот параметр строкового типа определяет порт, используемый для транспортировки событий.

• DeliveryMode, Maxltems, MaxLatencyTime, HeartBeatlnterval – смотрите одноименные параметры подразделов ветви HKEY_LOCAL_MACHINE\ SOFTWARE\Microsoft\Windows\CurrentVersion\EventCollector\ Conf igurationModes, описанные выше.

• CommonUserName – этот параметр строкового типа определяет имя пользователя, от имени которого выполняется подключение к удаленному компьютеру.

• CredentialType – имеет строковый тип и определяет тип аутентификации пользователя на удаленном компьютере. По умолчанию используется значение Default.

Кроме того, существует несколько параметров реестра , влияющих на работу всех подписок. Они содержатся в ветви реестра HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\EventCollector\Globals и имеют ТИП REG_DWORD:

• Retrylnterval – определяет интервал, с которым операционная система будет пытаться получить сведения о возникшем событии, на которое есть подписка;

• RetryCount – указывает максимальное количество повторов на получение сведений о событии.

Работа со стандартными журналами Windows с помощью команды wevtutil.exe

Работать со стандартными журналами Windows можно и с помощью новой программы командой строки операционной системы Windows Vista. Чтобы просмотреть полный перечень возможностей данной команды и их описание, нужно воспользоваться командой wevtutil /?. Мы же на страницах данной книги рассмотрим только основные команды данной программы.

• Wevtutil el – отображает список стандартных журналов операционной системы локального компьютера.

• Wevtutil el /г:<���компьютер> /и:<���пользователь> /р:<���пароль>– выводит список стандартных журналов операционной системы удаленного компьютера, используя для подключения к нему указанное имя пользователя и пароль. Можно также использовать параметр /а: для определения способа аутентификации пользователя на удаленном компьютере. Можно указать следующие значения данного параметра: Default, Negotiate, Kerberos или NTLM.

• Wevtutil gl <���имя стандартного журнала> – отображает настройки стандартного журнала локального или удаленного компьютера. Эта команда выводит следующие настройки журналов: имя, включен или отключен в данный момент, тип, имя создателя, права доступа, путь к файлу, максимальный размер файла, выполняется ли его автоматическая архивация и т. д.

• Wevtutil si <���имя стандартного журнала> <���изменяемый параметр журнала> – позволяет изменить параметры работы определенного журнала. Они изменяются с помощью следующих установок.

– /e: – позволяет включить или отключить запись в данный журнал.

– /i:<���определяет способ изоляции> – позволяет изменить способ изоляции, определяющий сессию, с которой данный журнал разделяет работу. Например, значение данного параметра может быть равно system или application.

– /lfn:<���новое имя журнала> – изменяет имя выбранного журнала.

– /rt: —если значение данного параметра равно false, то новые события будут переписывать собой старые события журнала. В противном случае старый файл журнала будет сохраняться.

– /ab: – позволяет включить или отключить автоматическую архивацию файла журнала. Если автоматическая архивация должна быть включена, то также должно быть включено значение параметра /rt:.

– /ms: <���максимальный размер> – определяет максимальный размер файла журнала в байтах. Минимальное значение данного параметра может быть равно 104 857 6.

– /l: <���уровень> – указывает уровень фильтрации содержимого создаваемого файла журнала.

– /к:<���ключевые слова> – определяет ключевые слова для фильтрации содержимого журнала.

– /са: – справа доступа> – указывает права доступа на регистрацию событий в журнале (в формате SDDL).

– /с: <���путь к файлу XML> – определяет путь к файлу, содержащему новые настройки журнала. Синтаксис данного файла приведен в описании программы, и его можно отобразить, введя команду wevtutil /si /?.

• Wevtutil ер – отображает список провайдеров, которые могут заносить сведения о своей работе в стандартные журналы операционной системы.

• Wevtutil gp <���имя провайдера> – выводит основные сведения о данном провайдере. К списку основных сведений относятся: имя и CLSID-номер провайдера, путь к библиотеке провайдера, ссылка на ресурс сайта Microsoft, описывающий назначение данного провайдера, название журнала, в который провайдер записывает свои сведения, идентификатор записей и т. д.

• Wevtutil epl <���имя стандартного журнала> <���путь к файлу с расширением ELF> – экспортирует содержимое стандартного журнала локального или удаленного компьютера в ELF-файл.

• Wevtutil cl <���имя стандартного журнала> – очищает содержимое указанного стандартного журнала.

Расположение: %systemroot%\system32\eventcreate.ехе.

Никуда не исчезла и стандартная программа командной строки eventcreate.ехе, с помощью которой можно создавать в стандартных журналах операционной системы свои записи. Поскольку эта программа не является чем-то новым, мы просто о ней упомянем.

Основной синтаксис этой программы следующий: eventcreate /t <���тип события> /id – ^идентификатор события> /1 <���название журнала> /d <���описание>. Здесь:

• тип события может принимать следующие стандартные значения: ERROR, WARNING, INFORMATION И SUCCESS;