使用Evtsys把Windows日誌轉換為SYSLOG

我們知道，無論是Unix、Linux、FreeBSD、Ubuntu，還是路由器、交換器，都會產生大量的日誌，而這些，一般會以syslog的形式存在。調試過防火牆、入侵檢測、安全審計等產品的朋友應該對SYSLOG熟悉，如果您還不瞭解SYSLOG，請登入百度或Google查詢。

很多時候，我們需要對日誌進行集中化管理，如各種作業系統、網路裝置、安全裝置，甚至應用系統、業務系統等，但是不知道你注意看上文了沒：Windows的應用、安全、系統日誌怎麼辦？

Windows作業系統本身是可以產生很多日誌的，如每次插拔隨身碟、服務的重啟等，都會產生日誌，這些資訊會記錄在作業系統中，如果我們想集中管理，怎麼辦？Windows作業系統本身並不支援把日誌發送到SYSLOG伺服器去，但是我們就沒辦法了？當然不是，否則遊俠也不會寫本文了。嘿嘿

還好，我們有Evtsys。什麼是Evtsys呢？看下文介紹，當然為了照顧英文不好的朋友，遊俠會進行簡單說明。

----------Start----------

eventlog-to-syslog

Eventlog to Syslog Service for Windows (2k, XP, 2k3, 2k8+)

Evtsys支援從Windows2000一直到Windows2008的系統，還是很廣泛的！

Eventlog to Syslog Service for Windows

This program is written in C and provides a method of sending Windows Eventlog events to a syslog server. It works with the new Windows Events service found in Vista and Server 2008 and can be compiled for both 32 and 64-bit environments. Designed to keep up with very busy servers, it is fast, light, and efficient. The program is designed to run as a windows service.

Evtsys是用C寫的程式，提供發送Windows日誌到syslog伺服器的一種方式。它支援Windows Vista和Server 2008，並且編譯後支援32和64位環境。它被設計用於高負載的伺服器，Evtsys快速、輕量、高效率。並可以作為Windows服務存在。

It is an adaption of Curtis Smith's Eventlog to Syslog service found at https://engineering.purdue.edu/ECN/Resources/Documents/UNIX/evtsys/

這是一個Curtis Smith的Eventlog to Syslog service程式的改編版本。

----------End----------

如果你想下載Evtsys，請登入 http://code.google.com/p/eventlog-to-syslog/ 查看並擷取最新更新。值得稱道的是，程式僅僅有幾十KB大小！

下載Evtsys後，將其複製到系統目錄，XP下是Windows\system32目錄。然後在CMD下執行：

evtsys.exe -i -h 192.168.1.101 -p 514

這個是標準格式，亦可精簡為：

evtsys -i -h 192.168.1.101

參數說明：

i是安裝成Window服務；

h是syslog伺服器位址；

p是syslog伺服器的接收埠。

預設下，連接埠可以省略，預設是514.

啟動Evtsys服務，命令是：

net start evtsys

查看Windows的“服務”，發現在原本Event Log服務下面增加了一個“Eventlog to Syslog”，並且已經啟動。

簡單否？我們來測試下結果：

用SyslogGather.exe進行測試（軟體下載：http://www.youxia.org/2011/04/SyslogGather.html）

我的電腦地址是192.168.1.101，我安裝Evtsys的時候設定syslog的地址是192.168.1.101，然後開啟SyslogGather.exe，重啟某個服務，發現有日誌顯示：

到此，我們成功的在Windows下配置了Event Log到Syslog的轉換。

預告：

在接下來的一段時間內，遊俠將介紹如何統一管理各類裝置、應用、系統產生的SYSLOG。敬請關注！