Einen Ereignisprotokoll-Check konfigurieren

Benachrichtigungen erhalten, wenn Windows-Ereignisprotokoll-Fehler einen Schwellenwert überschreiten

Ereignisprotokoll-Check-Editor auf NORTHWIND-FS01 mit hervorgehobenem Bestätigungs-Button "Check hinzufügen"

Ein Ereignisprotokoll-Check durchsucht das Windows-Ereignisprotokoll nach Fehler- und kritischen Einträgen. Anstatt die Ereignisprotokolle auf jedem Gerät manuell zu prüfen, legst du einen Schwellenwert fest und octoja informiert dich, wenn etwas Aufmerksamkeit erfordert.

Voraussetzungen

  • Du benötigst die Berechtigung Monitoring-Check-Verwaltung.
  • Das Zielgerät muss unter Windows laufen und einen verbundenen Agent haben.

Schritte

  1. Gehe zu Geräte und öffne das Gerät.
  2. Klicke auf den Tab Checks → Check hinzufügen → Ereignisprotokoll.
  3. Konfiguriere den Check. Rückblickzeitraum, Maximale Ereignisdetails, Filter-Scanlimit pro Protokoll und die beiden Schwellenwert-Zähler liegen hinter Erweiterte Optionen anzeigen — klappe sie auf, um sie zu sehen:
FeldEmpfohlener WertBedeutung
EreignisprotokolleSystem, ApplicationWelche Ereignisprotokolle durchsucht werden
MindestschweregradKritisch + Fehler (Standard)Welche Schweregrade gezählt werden. Wähle Nur Kritisch, Kritisch + Fehler, Kritisch + Fehler + Warnung, Bis Information oder Alle Stufen (einschließlich Ausführlich)
Rückblickzeitraum (Minuten)60Wie weit vom aktuellen Zeitpunkt zurück gesucht wird
Maximale Ereignisdetails50Obergrenze, wie viele passende Einträge das Ergebnis anzeigt; ohne Include-Regeln oder Nachrichtenfilter begrenzt sie auch, wie viele Ereignisse pro Lauf aus jedem Protokoll gelesen werden
Filter-Scanlimit pro Protokoll1000Wie viele Ereigniskandidaten pro Protokoll geprüft werden, wenn Include-Regeln oder Nachrichtenfilter verwendet werden
Warnschwelle (Ereignisanzahl)5Anzahl passender Ereignisse, die eine Warnung auslösen
Kritische Schwelle (Ereignisanzahl)20Anzahl passender Ereignisse, die ein kritisches Ergebnis auslösen
  1. Optional kannst du den Check weiter eingrenzen. Nur passende Ereignisse einschließen zählt ausschließlich die Ereignisse, die deinen Regeln entsprechen, Bestimmte Ereignisse ausschließen verwirft einzelne Ereignisse und Quellen ausschließen filtert bekannte laute Ereignisquellen heraus, die harmlose Fehler erzeugen. Jede Regel in den beiden Ereignislisten nimmt eine Ereignis-ID, eine Quelle und einen Text Nachricht enthält — fülle mindestens ein Feld aus, und jedes ausgefüllte Feld muss übereinstimmen. Mit Hinzufügen fügst du eine Regel hinzu.
  2. Optional kannst du die Logik mit Erwartete Ereignisse (warnen wenn nicht vorhanden) umkehren: Der Check warnt, wenn ein Ereignis, das vorhanden sein sollte, im Rückblickzeitraum fehlt — zum Beispiel ein tägliches Backup, das ein Erfolgsereignis protokolliert. Gib für einen zuverlässigen Treffer eine Quelle und/oder Ereignis-ID an und wähle den Rückblickzeitraum so, dass er das erwartete Intervall abdeckt (zum Beispiel 1440 Minuten für einen täglichen Job). Jede Regel nimmt außerdem eine Mindestanzahl (Standard 1) — der Check warnt, sofern das Ereignis im Rückblickzeitraum nicht mindestens so oft auftritt — und einen Schweregrad wenn nicht vorhanden, entweder Warnung (Standard) oder Kritisch.
  3. Klicke auf Check hinzufügen.

Was der Check meldet

Das Check-Ergebnis enthält die Gesamtzahl der passenden Ereignisse, die neuesten Einträge (bis zu Maximale Ereignisdetails, Standard 50), jeweils mit Ereignisquelle, Ereignis-ID, Protokollname und Zeitstempel. So erkennst du Muster — zum Beispiel eine einzelne Quelle, die das Protokoll mit wiederholten Fehlern überflutet.

Tipps

  • Beginne mit den Protokollen System und Application. Diese decken die häufigsten Probleme ab (Dienstausfälle, Treiberfehler, Anwendungsabstürze). Füge spezielle Protokolle wie Security nur bei Bedarf hinzu.
  • Der Rückblickzeitraum sollte dem Check-Intervall entsprechen oder es überschreiten. Läuft der Check alle 60 Minuten bei einem Rückblick von 60 Minuten, werden keine Ereignisse zwischen den Läufen verpasst.
  • Nutze Quellen ausschließen für Ereignisquellen, die häufige, harmlose Fehler erzeugen. Typische Beispiele: ESENT und DistributedCOM.
  • Dieser Check ist nur für Windows verfügbar. Für Linux und macOS nutze stattdessen den Systemlog-Check, der syslog/journald überwacht.

Nach dem ersten Check-Intervall siehst du das Ergebnis im Checks-Tab des Geräts.

Siehe auch: Ereignisprotokoll-Check-Referenz