Ereignisprotokoll

Der Check Ereignisprotokoll durchsucht das Windows-Ereignisprotokoll nach Einträgen ab einem bestimmten Schweregrad und löst einen Alarm aus, wenn die Anzahl einen Schwellenwert erreicht oder überschreitet. Anstatt die Ereignisprotokolle auf jedem Gerät manuell zu prüfen, legst du einen Schwellenwert fest und octoja informiert dich, wenn etwas Aufmerksamkeit erfordert. Der Check ist nur für Windows verfügbar und läuft standardmäßig alle 15 Minuten. Für Linux und macOS nutze stattdessen den Systemlog-Check, der syslog/journald überwacht.

Voraussetzungen

• Du benötigst die Berechtigung Monitoring-Check-Verwaltung.
• Das Zielgerät muss unter Windows laufen und einen verbundenen Agent haben.

Schritte

1. Gehe zu Geräte und öffne das Gerät.
2. Klicke auf den Tab Checks → Check hinzufügen → Ereignisprotokoll.
3. Wähle die Ereignisprotokolle und den Mindestschweregrad. Rückblickzeitraum, Maximale Ereignisdetails, Filter-Scanlimit pro Protokoll und die beiden Schwellenwert-Zähler liegen hinter Erweiterte Optionen anzeigen — klappe sie auf, um sie zu sehen.
4. Optional kannst du den Check weiter eingrenzen. Nur passende Ereignisse einschließen zählt ausschließlich die Ereignisse, die deinen Regeln entsprechen, Bestimmte Ereignisse ausschließen verwirft einzelne Ereignisse und Quellen ausschließen filtert bekannte laute Ereignisquellen heraus, die harmlose Fehler erzeugen. Mit Hinzufügen fügst du eine Regel hinzu.
5. Optional kannst du die Logik mit Erwartete Ereignisse (warnen wenn nicht vorhanden) umkehren: Der Check warnt, wenn ein Ereignis, das vorhanden sein sollte, im Rückblickzeitraum fehlt.
6. Klicke auf Check hinzufügen.

Nach dem ersten Check-Intervall siehst du das Ergebnis im Tab Checks des Geräts.

Einstellungen

Das Intervall ist eine Einstellung auf Check-Ebene und nicht Teil der Konfiguration pro Zuweisung. Setze den Rückblickzeitraum gleich oder größer als das Check-Intervall, um Lücken zwischen den Läufen zu vermeiden; mit dem Standard-Rückblick von 60 Minuten werden bei einem Intervall von 15 Minuten keine Ereignisse verpasst.

Schweregrade

Nur Kritisch, Kritisch + Fehler und Kritisch + Fehler + Warnung zählen ausschließlich die Stufen 1 bis 3, informative Einträge bleiben also aus den Summen heraus. Bis Information erfasst zusätzlich Ereignisse, die Windows ohne Stufe protokolliert und die die Ereignisanzeige als Information darstellt. Alle Stufen (einschließlich Ausführlich) hebt die Begrenzung ganz auf, sodass auch herstellerdefinierte Stufen über 5 mitgezählt werden.

Ergebnisse

Der Check meldet eine Warnung oder ein kritisches Ergebnis, sobald die Anzahl passender Ereignisse die Warnschwelle (Ereignisanzahl) bzw. die Kritische Schwelle (Ereignisanzahl) erreicht oder überschreitet. Fehlt ein erwartetes Ereignis, meldet er den in der Regel gewählten Schweregrad wenn nicht vorhanden.

Das Ergebnis enthält:

• Gesamtzahl der passenden Ereignisse über die ausgewählten Protokolle hinweg. Mit Include-Regeln oder Ausschlüssen nach Nachrichtentext wird die vollständige gefilterte Anzahl gemeldet, je Protokoll bis zum Filter-Scanlimit pro Protokoll; andernfalls ist die Anzahl auf Maximale Ereignisdetails begrenzt
• Die neuesten passenden Einträge (bis zu Maximale Ereignisdetails, Standard 50), jeweils mit Quelle, Ereignis-ID, Protokollname, Nachricht und Zeitstempel. So erkennst du Muster — zum Beispiel eine einzelne Quelle, die das Protokoll mit wiederholten Fehlern überflutet
• Ein Ergebnis je Regel für erwartete Ereignisse: wie viele Treffer gefunden wurden, die geforderte Mindestanzahl und ob die Regel erfüllt ist
• Liste der angeforderten Protokolle, die nicht gelesen werden konnten

Ein OK bestätigt nicht, dass alle angeforderten Protokolle lesbar waren: Lesefehler werden unter Übersprungene Protokolle aufgeführt, beeinflussen aber nicht direkt den Gesamtstatus. Dieser ergibt sich aus den erfassten Ereignissen und den Regeln für erwartete Ereignisse. Prüfe bei übersprungenen Protokollen deren Namen und die Leserechte des Agent-Dienstes, bevor du das Ergebnis als vollständige Prüfung wertest.

Die Begrenzung auf standardmäßig 50 angezeigte Ereignisse hält die Ergebnisgröße handhabbar. Für detailliertere Analyse öffne die Ereignisanzeige in der Toolbox des Geräts — oder frage das Ereignisprotokoll über das Remote-Terminal ab.

Tipps

• Beginne mit den Protokollen System und Application. Diese decken die häufigsten Probleme ab (Dienstausfälle, Treiberfehler, Anwendungsabstürze). Füge spezielle Protokolle wie Security nur bei Bedarf hinzu.
• Nutze Quellen ausschließen für Ereignisquellen, die häufige, harmlose Fehler erzeugen. Typische Beispiele: ESENT und DistributedCOM.

FAQ

Kann ich DFS-Replikationsprobleme ohne Remote-WMI-Zugriff überwachen?

Ja, über das lokale Ereignisprotokoll auf jedem beteiligten Server. Trage als Protokoll DFS Replication ein — auch auf deutschem Windows — und wähle die benötigten Schweregrade. Mit Einschlussregeln kannst du auf relevante Ereignis-IDs eingrenzen. Prüfe die Regeln anhand vorhandener Ereignisse und wähle passende Zählschwellen und einen ausreichend langen Rückblick.

Das überwacht protokollierte Störungen, nicht die Anzahl ausstehender Dateien. Es ersetzt keinen DFSR-Backlog-Zähler und beweist bei einem leeren Ergebnis nicht, dass die Replikation gesund ist. Vergib nicht pauschal Administratorrechte an Computerkonten, nur um einen verweigerten Remote-Backlog-Zugriff zu umgehen.