Microsoft MVP성태의 닷넷 이야기
Windows: 149. 다른 컴퓨터의 윈도우 이벤트 로그를 구독하는 방법 [링크 복사], [링크+제목 복사],
조회: 16194
글쓴 사람
정성태 (techsharer at outlook.com)
홈페이지
첨부 파일
 

다른 컴퓨터의 윈도우 이벤트 로그를 구독하는 방법

다음과 같은 질문이 있군요. ^^

Windows Event log 구독 관련
; https://social.msdn.microsoft.com/Forums/ko-KR/a115488c-bd46-4174-9238-99dcfcf6ab3a/windows-event-log-?forum=vistako

관련해서 검색해 보면 다음의 글과 같이 완전한 방법을 친절하게 설명한 자료가 있습니다.

Active Directory: Configuring Event Log Subscriptions (Forwarding)
; https://sid-500.com/2018/04/23/active-directory-configuring-event-log-subscriptions-forwarding/

(해보진 않았지만, "Active Directory"라고 써 있기는 해도 WORKGROUP 상에서 계정 정보만 적절하게 처리해 준다면 될 듯도 합니다.) 저도 한 번 해봤는데요. 우선, 윈도우 이벤트를 끌어오려는 측 - 즉, 클라이언트 컴퓨터에서는 다음과 같이 실행해서 "Windows Event Collector" NT 서비스를 구성해 주면 됩니다.

// 관리자 권한으로 실행

C:\WINDOWS\system32> wecutil qc
The service startup mode will be changed to Delay-Start. Would you like to proceed ( Y- yes or N- no)?y
Windows Event Collector service was configured successfully.

그다음 이벤트를 제공할 측 - 즉, 서버에서는 "Server Manager Remoting"을 다음의 PowerShell 명령어로 활성화시켜 줍니다.

// 관리자 권한으로 실행

Configure-SMRemoting.exe -ENABLE

실행 후 다음과 같이 명령행으로 확인하거나,

PS C:\WINDOWS\system32> Configure-SMRemoting.exe -GET
Server Manager Remoting is enabled

서버 관리자 MMC 화면에서 다음과 같이 "Enabled"로 되어 있는 것으로 정상 처리 여부를 알 수 있습니다.

window_event_sub_1.png

참고로, Configure-SMRemoting.exe 명령어가 없다면 그냥 NT 서비스 관리자에서 다음의 서비스를 "Automatic"으로 실행시켜도 무방합니다.

Service name: WinRM
Display name: Windows Remote Management (WS-Management)

WinRM 서비스는 이 통신을 위해 TCP 5985 포트를 열고 있기 때문에 netstat로 이를 확인할 수 있습니다.

C:\WINDOWS\system32> netstat -ano | findstr 5985
  TCP    0.0.0.0:5985           0.0.0.0:0              LISTENING       4
  TCP    192.168.0.5:5985       192.168.0.6:18795      ESTABLISHED     4
  TCP    [::]:5985              [::]:0                 LISTENING       4

당연히, 아무 클라이언트나 WinRM에 접속해서 마구 이벤트를 끌어가면 안 될 텐데요, 이를 위해 접속을 허용할 계정이나 컴퓨터를 로컬 컴퓨터의 "Event Log Readers" 그룹에 등록해야 합니다. 만약 AD 관련 PowerShell 구성 요소들이 설치되어 있으면 "Add-ADGroupMember"로 실행해주면 간단한데, 대개의 경우 별도 설치를 필요로 하므로 그냥 "net" 명령어로 추가해도 됩니다.

가령, 이벤트를 끌어가려는 클라이언트의 컴퓨터 이름이 "testpc"이고 Active Directory의 이름이 "testad"라면 다음과 같이 등록합니다.

C:\WINDOWS\system32> net localgroup "Event Log Readers" testad\testpc$ /add
The command completed successfully.

확인은 다음과 같이 할 수 있습니다.

C:\WINDOWS\system32> net localgroup "Event Log Readers"
Alias name     Event Log Readers
Comment        Members of this group can read event logs from local machine

Members

-------------------------------------------------------------------------------
TESTAD\TESTPC$
The command completed successfully.

Add-ADGroupMember로 등록하려면 다음과 같이 PowerShell에서 명령을 내릴 수 있습니다.

PS C:\WINDOWS\system32> Add-ADGroupMember -Identity "Event Log Readers" -Members "testpc$"

사실 저 과정도 명령어로 하지 않고 그냥 다음 화면과 같이 "컴퓨터 관리" MMC에서 직접 "Event Log Readers" 그룹에 추가해도 상관없습니다.

window_event_sub_2.png

여기까지 했으면 모든 구성은 끝이 났습니다. 이제는 이벤트를 끌어가려는 측의 "이벤트 로그" MMC에서 원하는 이벤트를 선택해 구독해 주면 됩니다.




설정이 완료된 후 이벤트가 쌓이지 않는다면 이벤트 구독 설정 항목을 마우스 우 클릭해 ""Runtime Status"로 확인해 보면 오류 이유를 알 수 있습니다. 가령 계정 정보가 맞지 않는다면 "Access is denied"같은 오류를 보게 되는데, 만약 정상적으로 설정했는데도 여전히 오류가 발생한다면 그냥 클라이언트 측의 "NT 서비스" 관리자로 가서 "Windows Event Collector" 서비스를 재시작하면 됩니다. 아무 문제가 없다면 다음과 같은 화면이 나와야 합니다.

window_event_sub_3.png

그런데, 그래도 수집이 안 되는 경우가 있었습니다. 음... 혹시나 해서 이벤트 로그를 제공하는 측의 PC를 재시작했더니... 잘 되는군요. ^^ 뭔가 서비스 재시작이 필요하거나 하는 부분이 있는 것 같은데 일단 그건 다음 세팅할 때 찾아보도록 하고 이번엔 여기까지만 정리합니다.




[이 글에 대해서 여러분들과 의견을 공유하고 싶습니다. 틀리거나 미흡한 부분 또는 의문 사항이 있으시면 언제든 댓글 남겨주십시오.]







[최초 등록일: ]
[최종 수정일: 9/5/2018]

Creative Commons License
이 저작물은 크리에이티브 커먼즈 코리아 저작자표시-비영리-변경금지 2.0 대한민국 라이센스에 따라 이용하실 수 있습니다.
by SeongTae Jeong, mailto:techsharer at outlook.com

비밀번호

댓글 작성자
 



2018-09-05 10시55분
[이태화] 요즘은 elastic의 winlogbeat 를 사용해서 Windows Event 중앙화를 하는 것 같더군요. 중요 이벤트는 어떤 것을 필터링하는지는 모르겠습니다.
[guest]
2018-09-06 01시44분
업계 소식 감사드립니다. ^^ elastic의 생태계 규모가 대단하군요.
정성태

... 91  92  [93]  94  95  96  97  98  99  100  101  102  103  104  105  ...
NoWriterDateCnt.TitleFile(s)
11483정성태4/10/201823119개발 환경 구성: 358. "Let's Encrypt"에서 제공하는 무료 SSL 인증서를 IIS에 적용하는 방법 (2) [1]
11482정성태4/10/201816602VC++: 126. CUDA Core 수를 알아내는 방법
11481정성태4/10/201827468개발 환경 구성: 357. CUDA의 인덱싱 관련 용어 - blockIdx, threadIdx, blockDim, gridDim
11480정성태4/9/201818005.NET Framework: 736. C# - API를 사용해 Azure에 접근하는 방법 [2]파일 다운로드1
11479정성태4/9/201814284.NET Framework: 735. Azure - PowerShell로 Access control(IAM)에 새로운 계정 만드는 방법
11478정성태11/8/201915742디버깅 기술: 115. windbg - 덤프 파일로부터 PID와 환경변수 등의 정보를 구하는 방법 [1]
11477정성태4/8/201813759오류 유형: 460. windbg - sos 명령어 수행 시 c0000006 오류 발생
11476정성태4/8/201814889디버깅 기술: 114. windbg - !threads 출력 결과로부터 닷넷 관리 스레드(System.Threading.Thread) 객체를 구하는 방법
11475정성태3/28/201816762디버깅 기술: 113. windbg - Thread.Suspend 호출 시 응용 프로그램 hang 현상에 대한 덤프 분석
11474정성태3/27/201814960오류 유형: 459. xperf: error: TEST.Event: Invalid flags. (0x3ec).
11473정성태3/22/201819912.NET Framework: 734. C# - Thread.Suspend 호출 시 응용 프로그램 hang 현상파일 다운로드2
11472정성태3/22/201814624개발 환경 구성: 356. GTX 1070, GTX 960, GT 640M의 cudaGetDeviceProperties 출력 결과
11471정성태3/20/201817957VC++: 125. CUDA로 작성한 RGB2RGBA 성능 [1]파일 다운로드1
11470정성태3/20/201819504오류 유형: 458. Visual Studio - CUDA 프로젝트 빌드 시 오류 C1189, expression must have a constant value
11469정성태3/19/201812819오류 유형: 457. error MSB3103: Invalid Resx file. Could not load file or assembly 'System.Windows.Forms, ...' or one of its dependencies.
11468정성태3/19/201812703오류 유형: 456. 닷넷 응용 프로그램 실행 시 0x80131401 예외 발생
11467정성태3/19/201812041오류 유형: 455. Visual Studio Installer - 업데이트 실패
11466정성태3/18/201813525개발 환경 구성: 355. 한 대의 PC에서 2개 이상의 DirectX 게임을 실행하는 방법
11463정성태3/15/201815828.NET Framework: 733. 스레드 간의 read/write 시에도 lock이 필요 없는 경우파일 다운로드1
11462정성태3/14/201817720개발 환경 구성: 354. HTTPS 호출에 대한 TLS 설정 확인하는 방법 [1]
11461정성태3/13/201820765오류 유형: 454. 윈도우 업데이트 설치 오류 - 0x800705b4 [1]
11460정성태3/13/201813986디버깅 기술: 112. windbg - 닷넷 메모리 덤프에서 전역 객체의 내용을 조사하는 방법
11459정성태3/13/201814153오류 유형: 453. Debug Diagnostic Tool에서 mscordacwks.dll을 찾지 못하는 문제
11458정성태2/21/201815411오류 유형: 452. This share requires the obsolete SMB1 protocol, which is unsafe and could expose your system to attack. [1]
11457정성태2/17/201820296.NET Framework: 732. C# - Task.ContinueWith 설명 [1]파일 다운로드1
11456정성태2/17/201825458.NET Framework: 731. C# - await을 Task 타입이 아닌 사용자 정의 타입에 적용하는 방법 [7]파일 다운로드1
... 91  92  [93]  94  95  96  97  98  99  100  101  102  103  104  105  ...