Eventos de rota registrados no log de eventos do sistema para o log de eventos personalizado

Question

Eu tenho uma instância do Windows Server 2008 executando alguns serviços específicos que suportam meu aplicativo.

Há eventos no Log do Sistema de Eventos do Windows gerados para meus serviços, mas por outros aplicativos, como o Gerenciador de Controle de Serviços, que gera um evento, no log do sistema, para meu serviço, caso não seja possível iniciar devido a uma senha incorreta . Gostaria de capturar e redirecionar estes para um log personalizado, por ex. MyApplication.Admin, que contém todos os eventos que eu logar dentro do meu serviço. Esse registro personalizado é monitorado por outro software e alerta pessoas específicas com base nos eventos que ele vê. Eu poderia monitorar o sistema e o log personalizado, mas eu preferiria manter os eventos logicamente agrupados no meu log personalizado.

Minha pergunta é se isso é possível através da criação de algum tipo de regra personalizada no log de eventos para copiar eventos específicos do log do sistema para o log MyApplication.Admin ou por outros meios?

    

Answer 1

Se você puder controlar qual eventlog o serviço deve usar, você pode criar seu próprio log e escrever para ele:

PS C:\Windows\system32> New-EventLog -LogName "MyCustomApplicationLog" -Source "MyCustomApplication"
PS C:\Windows\system32> Get-EventLog -List

  Max(K) Retain OverflowAction        Entries Log
  ------ ------ --------------        ------- ---
  20.480      0 OverwriteAsNeeded      15.518 Application
  20.480      0 OverwriteAsNeeded           0 HardwareEvents
     512      7 OverwriteOlder              0 Internet Explorer
  20.480      0 OverwriteAsNeeded           0 Key Management Service
     512      7 OverwriteOlder             13 Lenovo-Lenovo Patch Utility/Admin
     512      7 OverwriteOlder              2 Lenovo-Message Center Plus/Admin
     512      7 OverwriteOlder              0 MyCustomApplicationLog
     128      0 OverwriteAsNeeded          86 OAlerts
  20.480      0 OverwriteAsNeeded      18.768 Security
  20.480      0 OverwriteAsNeeded      54.974 System
  15.360      0 OverwriteAsNeeded       3.136 Windows PowerShell

Acho que você pode fazer isso com um manipulador de eventos wmi. Vou postar um exemplo depois.