Verwalten von Ereignisprotokollen mit EventComb MT

Warum schwer, wenn es auch einfach geht? Jeder kennt das Problem, die Eventlogs der Server zu überwachen oder zu überprüfen. Wer den Einsatz eines professionellen Werkzeugs wie MOM 2005 scheut, kann zumindest die „nackte“ Überwachung von Ereignisprotokollen günstiger erhalten. Microsoft hat ein kostenfreies Tool dafür, mit dem man alle Server (auch DCs) abfragen kann. Es heißt EventComb MT – Downloadlink:
http://www.microsoft.com/downloads/details.aspx?displaylang=en&familyid=7af2e69c-91f3-4e63-8629-b999adde0b9e
Um das Tool benutzen zu können, muss man Administratorenrechte besitzen, oder das Recht zum Auslesen der Eventlogs muss delegiert worden sein. Es werden Windows Windows 2000, Windows XP und Server 2003 unterstützt.

EventComb MT bietet eine einfache und gut strukturierte GUI:

Im Feld Domain wird die lokale Domäne automatisch angezeigt. Will man andere Domänen erfassen, dann kann man die erkannte Domäne einfach überschreiben.

Hinzufügen der zu scannenden Server: Mit einem Rechtsklick öffnet sich das Auswahlmenü:

• Add a Single Server: Manuelles Hinzufügen von Workstations oder Servern
• Add DCs in Domain: Automatisches Hinzufügen aller Domain Controller
• Add DCs in a Site: Automatisches Hinzufügen aller Domain Controller des Standortes
• Add all GCs: Automatisches Hinzufügen aller Domain Controller, die GC sind
• All Server from Browse: Manuelles Hinzufügen aller Server, die per NetBIOS gefunden werden
• Add Servers from File: Auslesen einer Textdatei mit allen Servernamen
• Add Comp from Dom: Automatisches Hinzufügen aller PCs und Memberserver

Nach der Auswahl werden die entsprechenden Server angezeigt. Man kann mehrere Server gleichzeitig durchsuchen lassen.

Man kann einzelne oder mehrere Logdateien gleichzeitig durchsuchen.

Bei der Auswahl der Ereignisse ist auch Mehrfachauswahl möglich.

Im Feld Evend IDs kann man gezielt nach einer ID suchen oder mehrere durch Kommata getrennte IDs suchen. Will man einen Bereich (z. B. 600-700) durchsuchen, dann trägt man diese in die beiden hinteren Felder ein.

Im Bereich Sources kann man die Ursprungsquelle definieren. Standardeinstellung ist: All Sources. Durch das Dropdown-Feld kann man die Quelle einschränken.

Im Menüpunkt: Searches – Built in Searches sind die wichtigsten Events vorkonfiguriert.
Mit Search wird die Analyse gestartet, und das Ergebnis wird in dem Output Directory als EventCompMT.txt Datei gespeichert. Je nach Menge der Server und Größe der Logdateien kann die Analyse einige Minuten dauern.

Mit dem EventComb MT Tool bekommt man ein mächtiges Hilfsmittel an die Hand, das einem die tägliche Arbeit sehr erleichtert.