Microsoft MVP성태의 닷넷 이야기
글쓴 사람
홈페이지
첨부 파일
 

다른 컴퓨터의 윈도우 이벤트 로그를 구독하는 방법

다음과 같은 질문이 있군요. ^^

Windows Event log 구독 관련
; https://social.msdn.microsoft.com/Forums/ko-KR/a115488c-bd46-4174-9238-99dcfcf6ab3a/windows-event-log-?forum=vistako

관련해서 검색해 보면 다음의 글과 같이 완전한 방법을 친절하게 설명한 자료가 있습니다.

Active Directory: Configuring Event Log Subscriptions (Forwarding)
; https://sid-500.com/2018/04/23/active-directory-configuring-event-log-subscriptions-forwarding/

(해보진 않았지만, "Active Directory"라고 써 있기는 해도 WORKGROUP 상에서 계정 정보만 적절하게 처리해 준다면 될 듯도 합니다.) 저도 한 번 해봤는데요. 우선, 윈도우 이벤트를 끌어오려는 측 - 즉, 클라이언트 컴퓨터에서는 다음과 같이 실행해서 "Windows Event Collector" NT 서비스를 구성해 주면 됩니다.

// 관리자 권한으로 실행

C:\WINDOWS\system32> wecutil qc
The service startup mode will be changed to Delay-Start. Would you like to proceed ( Y- yes or N- no)?y
Windows Event Collector service was configured successfully.

그다음 이벤트를 제공할 측 - 즉, 서버에서는 "Server Manager Remoting"을 다음의 PowerShell 명령어로 활성화시켜 줍니다.

// 관리자 권한으로 실행

Configure-SMRemoting.exe -ENABLE

실행 후 다음과 같이 명령행으로 확인하거나,

PS C:\WINDOWS\system32> Configure-SMRemoting.exe -GET
Server Manager Remoting is enabled

서버 관리자 MMC 화면에서 다음과 같이 "Enabled"로 되어 있는 것으로 정상 처리 여부를 알 수 있습니다.

window_event_sub_1.png

참고로, Configure-SMRemoting.exe 명령어가 없다면 그냥 NT 서비스 관리자에서 다음의 서비스를 "Automatic"으로 실행시켜도 무방합니다.

Service name: WinRM
Display name: Windows Remote Management (WS-Management)

WinRM 서비스는 이 통신을 위해 TCP 5985 포트를 열고 있기 때문에 netstat로 이를 확인할 수 있습니다.

C:\WINDOWS\system32> netstat -ano | findstr 5985
  TCP    0.0.0.0:5985           0.0.0.0:0              LISTENING       4
  TCP    192.168.0.5:5985       192.168.0.6:18795      ESTABLISHED     4
  TCP    [::]:5985              [::]:0                 LISTENING       4

당연히, 아무 클라이언트나 WinRM에 접속해서 마구 이벤트를 끌어가면 안 될 텐데요, 이를 위해 접속을 허용할 계정이나 컴퓨터를 로컬 컴퓨터의 "Event Log Readers" 그룹에 등록해야 합니다. 만약 AD 관련 PowerShell 구성 요소들이 설치되어 있으면 "Add-ADGroupMember"로 실행해주면 간단한데, 대개의 경우 별도 설치를 필요로 하므로 그냥 "net" 명령어로 추가해도 됩니다.

가령, 이벤트를 끌어가려는 클라이언트의 컴퓨터 이름이 "testpc"이고 Active Directory의 이름이 "testad"라면 다음과 같이 등록합니다.

C:\WINDOWS\system32> net localgroup "Event Log Readers" testad\testpc$ /add
The command completed successfully.

확인은 다음과 같이 할 수 있습니다.

C:\WINDOWS\system32> net localgroup "Event Log Readers"
Alias name     Event Log Readers
Comment        Members of this group can read event logs from local machine

Members

-------------------------------------------------------------------------------
TESTAD\TESTPC$
The command completed successfully.

Add-ADGroupMember로 등록하려면 다음과 같이 PowerShell에서 명령을 내릴 수 있습니다.

PS C:\WINDOWS\system32> Add-ADGroupMember -Identity "Event Log Readers" -Members "testpc$"

사실 저 과정도 명령어로 하지 않고 그냥 다음 화면과 같이 "컴퓨터 관리" MMC에서 직접 "Event Log Readers" 그룹에 추가해도 상관없습니다.

window_event_sub_2.png

여기까지 했으면 모든 구성은 끝이 났습니다. 이제는 이벤트를 끌어가려는 측의 "이벤트 로그" MMC에서 원하는 이벤트를 선택해 구독해 주면 됩니다.




설정이 완료된 후 이벤트가 쌓이지 않는다면 이벤트 구독 설정 항목을 마우스 우 클릭해 ""Runtime Status"로 확인해 보면 오류 이유를 알 수 있습니다. 가령 계정 정보가 맞지 않는다면 "Access is denied"같은 오류를 보게 되는데, 만약 정상적으로 설정했는데도 여전히 오류가 발생한다면 그냥 클라이언트 측의 "NT 서비스" 관리자로 가서 "Windows Event Collector" 서비스를 재시작하면 됩니다. 아무 문제가 없다면 다음과 같은 화면이 나와야 합니다.

window_event_sub_3.png

그런데, 그래도 수집이 안 되는 경우가 있었습니다. 음... 혹시나 해서 이벤트 로그를 제공하는 측의 PC를 재시작했더니... 잘 되는군요. ^^ 뭔가 서비스 재시작이 필요하거나 하는 부분이 있는 것 같은데 일단 그건 다음 세팅할 때 찾아보도록 하고 이번엔 여기까지만 정리합니다.




[이 글에 대해서 여러분들과 의견을 공유하고 싶습니다. 틀리거나 미흡한 부분 또는 의문 사항이 있으시면 언제든 댓글 남겨주십시오.]





[최초 등록일: ]
[최종 수정일: 9/5/2018 ]

Creative Commons License
이 저작물은 크리에이티브 커먼즈 코리아 저작자표시-비영리-변경금지 2.0 대한민국 라이센스에 따라 이용하실 수 있습니다.
by SeongTae Jeong, mailto:techsharer@outlook.com

비밀번호

댓글 쓴 사람
 



2018-09-05 10시55분
[이태화] 요즘은 elastic의 winlogbeat 를 사용해서 Windows Event 중앙화를 하는 것 같더군요. 중요 이벤트는 어떤 것을 필터링하는지는 모르겠습니다.
[손님]
2018-09-06 01시44분
업계 소식 감사드립니다. ^^ elastic의 생태계 규모가 대단하군요.
정성태

... [16]  17  18  19  20  21  22  23  24  25  26  27  28  29  30  ...
NoWriterDateCnt.TitleFile(s)
11913정성태5/24/20191349.NET Framework: 838. C# - 숫자형 타입의 bit(2진) 문자열, 16진수 문자열 구하는 방법파일 다운로드1
11912정성태5/23/20191365VS.NET IDE: 137. Visual Studio 2019 버전 16.1부터 리눅스 C/C++ 프로젝트에 추가된 WSL 지원
11911정성태5/23/20191490VS.NET IDE: 136. Visual Studio 2019 - 리눅스 C/C++ 프로젝트에 인텔리센스가 동작하지 않는 경우
11910정성태5/24/20192850Math: 50. C# - MathNet.Numerics의 Matrix(행렬) 연산파일 다운로드1
11909정성태5/25/20192020.NET Framework: 837. C# - PLplot 사용 예제 [1]파일 다운로드1
11908정성태5/22/20191317.NET Framework: 836. C# - Python range 함수 구현파일 다운로드1
11907정성태6/4/20191053오류 유형: 541. msbuild - MSB4024 The imported project file "...targets" could not be loaded
11906정성태5/21/2019894.NET Framework: 835. .NET Core/C# - 리눅스 syslog에 로그 남기는 방법
11905정성태5/21/20191292.NET Framework: 834. C# - 폴더 경로 문자열에서 "..", "." 표기를 고려한 최종 문자열을 얻는 방법 - 두 번째 이야기
11904정성태5/21/20192677.NET Framework: 833. C# - Open Hardware Monitor를 이용한 CPU 온도 정보파일 다운로드1
11903정성태5/21/20191461오류 유형: 540. .NET Core - System.PlatformNotSupportedException: The named version of this synchronization primitive is not supported on this platform.
11902정성태5/21/2019971오류 유형: 539. mstest 실행 시 "The directory name is invalid." 오류 발생
11901정성태5/21/20191650오류 유형: 538. msbuild 오류 - Could not find a part of the path '%LOCALAPPDATA%\Temp\2\.NETFramework,Version=v4.0.AssemblyAttributes.cs'
11900정성태3/12/20201555오류 유형: 537. "sfc /scannow" 실행 중 시스템이 부팅되는 현상
11899정성태5/17/20191654Linux: 9. Linux에서 윈도우의 OutputDebugString 대신 사용할 수 있는 syslog [1]
11898정성태5/20/20191738VC++: 130. C++ string의 c_str과 data 함수의 차이점 [3]
11897정성태5/16/20193192오류 유형: 536. Visual Studio - "Developer Pack"을 설치했는데도 "대상 프레임워크" 목록에 나오지 않는 경우 [1]
11896정성태5/15/20192446개발 환경 구성: 440. C#, C++ - double의 Infinity, NaN 표현 방식파일 다운로드1
11895정성태5/12/20191647.NET Framework: 832. ML.NET Model Builder - 회귀(Regression), 다중 분류(Multi-class classification) 예제파일 다운로드1
11894정성태5/12/20192283VS.NET IDE: 135. Visual Studio - ML.NET Model Builder 소개 [1]
11893정성태5/10/20191764오류 유형: 535. C# 6.0 이상의 문법을 컴파일 시 오류가 발생한다면?
11892정성태5/10/20191170웹: 38. HTTP Cookie의 expires 시간 형식(RFC7231)
11891정성태5/9/20191491.NET Framework: 831. (번역글) .NET Internals Cookbook Part 12 - Memory structure, attributes, handles
11890정성태5/8/20191171개발 환경 구성: 439. "Visual Studio Enterprise is required to execute the test." 메시지와 관련된 코드 기록
11889정성태5/8/20191315개발 환경 구성: 438. mstest, QTAgent의 로그 파일 설정 방법
11888정성태5/8/20192717.NET Framework: 830. C# - 비동기 호출을 취소하는 CancellationToken의 간단한 예제 코드파일 다운로드1
... [16]  17  18  19  20  21  22  23  24  25  26  27  28  29  30  ...