Контролируем события с помощью EventSentry

СЕРГЕЙ ЯРЕМЧУК, фрилансер. Автор более 800 статей и шести книг. С «СА» с первого номера. Интересы: сетевые технологии, защита информации, свободные ОС

Контролируем события с помощью EventSentry

Администрирование большого количества компьютеров никогда не являлось простой задачей, так как необходимо отслеживать и оперативно реагировать на происходящие события. В качестве датчиков можно использовать жалобы пользователей, собственные скрипты или специализированные утилиты, написанные сторонними разработчиками.

Каждый из указанных способов имеет свои достоинства и недостатки. Жалобы пользователей возникают, как правило, неожиданно, а от авральных работ не всегда получаешь удовольствие. На написание скриптов требуется время и опыт. Значит, будем использовать утилиту, созданную другими людьми. Преемник EventwatchNT утилита EventSentry от netikus ltd. позволяет полностью автоматизировать сбор информации о состоянии компьютеров, работающих под управлением систем на базе Windows NT/2000/XP и Windows Server 2003, а также контролировать работу сервисов в сети. Утилита проста в установке, понятна в настройке и ко всему прочему обладает удобным интерфейсом.

Возможности EventSentry

Система контроля, построенная с применением EventSentry, состоит из нескольких компонентов: агенты просмотра журналов, системы и сервисов, консоль управления (рис. 1) и веб-отчеты. Запускаемые в системе в виде сервисов агенты, собирают информацию о событиях, основываясь на системе фильтров, которые настраиваются пользователем при помощи консоли управления. При наступлении отслеживаемого события или при превышении установленного барьера генерируется целевой сигнал. Целевой сигнал предназначен для оповещения, здесь можно выбрать несколько вариантов. Например, отсылка почтового сообщения на указанный адрес. При этом сообщение может быть в обычном текстовом формате, (X)HTML и так называемом MINI, подходящем для пейджеров и мобильных телефонов. Также информация о событии может быть занесена в текстовый файл, здесь доступны также три формата: текстовый, csv и (X)HTML. Событие может быть занесено через ODBC в базу данных, отослано на удаленный syslog-сервер, SNMP, параллельный порт или выдано в сеть как net send-сообщение. Кроме того, можно проиграть звук, вывести сообщение на локальном компьютере или выполнить произвольную команду пользователя. Все эти настройки производятся во вкладке Notifications (Targets) после указания всех параметров, вывод целевого сигнала обычно можно сразу же протестировать нажатием кнопки Test.

Рисунок 1. Внешний вид консоли управления EventSentry

Параметры систем контролируют два агента: Event Log Agent Control и Heartbeat Agent Control, каждый из них отвечает за свой участок работы. При помощи Event Log Agent Control EventSentry отслеживает параметры локального компьютера, а Heartbeat Agent Control предназначен для работы с удаленными системами. Агенты позволяют собрать информацию о многих основных параметрах. Например, об активности процесса со времени его запуска до момента остановки. Все собранные данные (id процесса, id родительского процесса, путь, имя исполняемого файла, имя пользователя, домен, время) сохраняются, и при необходимости всегда можно просмотреть историю, узнать, кто, когда и с какой частотой запускал программу. Чтобы не нарушать корпоративные правила, при трассировке процесса не собирается информация о том, какой документ был открыт, также не отслеживаются аргументы командной строки. Можно контролировать работу всех процессов («Track all processes except those listed below»), исключить трассировку отдельных процессов или, наоборот, указать только на те процессы, которые нуждаются в отслеживании. Практически аналогичные по настройке фильтры позволяют контролировать регистрацию и выход пользователей из системы. Но это еще не все. Начиная с версии 2.30, EventSentry получил возможность контролировать некоторые системные параметры. Например, при помощи «Service Monitoring» администратор может узнать, когда и кем были добавлены, удалены или изменили свои параметры сервисы и драйвера. Сигнал поступит также и в том случае, когда в реестр или в каталог «Автозагрузка» будет добавлена новая программа, а также если сервис, установленный в автозапуск, по каким либо причинам не запустился. Вкладка «Disk Space» позволяет выставить параметры наблюдения за свободным местом на разделах жесткого диска. Здесь указываются логические разделы жесткого диска, подлежащие наблюдению, процент или объем, при заполнении которого будет выдано предупреждающее сообщение, а также интервал между проверками.

Идеальным дополнением к проверке журналов и системных параметров является контроль за состоянием компьютеров и сетевых сервисов. Для этого используются ICMP-запросы и проверка работы TCP-портов, а также отклик EventSentry-агентов, работающих на удаленных компьютерах. Кроме прочего EventSentry эмулирует syslog сервер, что вместе с наблюдением за сетевыми сервисами может использоваться не только для контроля работы Windows-систем, но и доступности сервисов, UNIX и Cisco-систем. И, наконец, использовав внешний датчик, подключаемый к USB- или COM-порту, можно контролировать температуру и влажность в помещении. Если указанные параметры выйдут за пределы нормы, администратор получит предупреждение.

Всю собранную информацию можно просмотреть при помощи системы отчетов, доступных через GUI-интерфейс, либо ASP- или PHP-страницы, через IIS или Apache. Отчеты разбиты по группам (Security, System, Aplication и другие), можно выбрать просмотр всех событий либо отсортировать по типу (Error, Warning, Information, Audit Failure/Success).

Учитывая, что файлы журналов имеют привычку разрастаться, при помощи консоли управления можно выставить параметры их архивирования. Для их установки заходим во вкладку «System Health  Backup Event Logs», нажимаем «+» в «Shelude» и заполняем параметры: вид журнала (системный, приложения и пр.), день и время операции, имя файла. Для удаления старого файла ставим галочку в пункте «Clear Event Log». Для подстраховки, в том случае если журнал заполнится раньше, выставляем отправку предупреждения в «Full Event Log Detection».

Типичная схема контроля при помощи EventSentry показана на рис. 2. Агенты собирают информацию и отсылают по назначению для дальнейшего анализа и принятия решений. При помощи одной консоли управления можно настроить и контролировать работу не только локальных, но и удаленных систем. Для этого нужны права администратора, и на удаленном компьютере должна быть запущена служба «Удаленный реестр» (REMOTE REGISTRY). Причем установку системы контроля можно производить как локально, так и удаленно. Если нет необходимости в наличии консоли управления на клиентских компьютерах, то при установке ее можно убрать из списка устанавливаемых компонентов. Хорошо продумана возможность добавления новых компьютеров в список контроля. Для этого щелкаем правой кнопкой мыши на заголовке Computers и в контекстном меню выбираем пункт «Add Computer/IP-адрес» для добавления одного компьютера или «Import Computers» для импортирования списка компьютеров. Во втором случае указать на файл, в котором указан список компьютеров, выбрать компьютеры рабочей группы или Active Directory. Дальнейшую настройку параметров сетевого контроля отдельных компьютеров, а также установленных на них агентов можно производить по щелчку на имени компьютера либо из контекстного меню. Отсюда же можно управлять обновлениями агентов. Щелчок левой кнопкой по пункту «Computers» выдаст результат последней проверки. Выбор «View History» позволит просмотреть историю запросов.

Рисунок 2. Типичная схема контроля параметров компьютера

На момент написания статьи были доступны две версии продукта EventSentry и EventSentry Light. Вторая распространяется как freeware, но имеет ограничения на количество контролируемых сервисов и параметров: не более одного параметра в каждом пункте контроля, и всего два вида оповещения – e-mail и сообщение на рабочий стол также недоступны веб-отчеты. Но в принципе контролировать общую работоспособность систем в сети даже с такими ограничениями вполне возможно. Полная версия без регистрации будет работоспособна в течение 45 дней.

После установки, в ходе которой можно ввести адрес SMTP-сервера (основного и резервного), порт, почтовый адрес, куда будут отсылаться сообщения, данные для SMTP-аутентификации (если нужно), можно приступать к настройке агентов и фильтров. Все настройки сохраняются в ключе реестра HKEY_LOCAL_MACHINE etikus.netEventSentry, который при необходимости можно экспортировать и импортировать как через менеджер управления, так и regedit.

Заключение

Таким образом, применение EventSentry существенно может сэкономить время и силы администратору, позволяя контролировать состояние систем и сервисов, проводить аудит безопасности и вовремя реагировать на возникающие проблемы.

Ссылка:

1. Сайт программы EventSentry – http://www.netikus.net.