Microsoft MVP성태의 닷넷 이야기
글쓴 사람
정성태 (techsharer at outlook.com)
홈페이지
첨부 파일
 

다른 컴퓨터의 윈도우 이벤트 로그를 구독하는 방법

다음과 같은 질문이 있군요. ^^

Windows Event log 구독 관련
; https://social.msdn.microsoft.com/Forums/ko-KR/a115488c-bd46-4174-9238-99dcfcf6ab3a/windows-event-log-?forum=vistako

관련해서 검색해 보면 다음의 글과 같이 완전한 방법을 친절하게 설명한 자료가 있습니다.

Active Directory: Configuring Event Log Subscriptions (Forwarding)
; https://sid-500.com/2018/04/23/active-directory-configuring-event-log-subscriptions-forwarding/

(해보진 않았지만, "Active Directory"라고 써 있기는 해도 WORKGROUP 상에서 계정 정보만 적절하게 처리해 준다면 될 듯도 합니다.) 저도 한 번 해봤는데요. 우선, 윈도우 이벤트를 끌어오려는 측 - 즉, 클라이언트 컴퓨터에서는 다음과 같이 실행해서 "Windows Event Collector" NT 서비스를 구성해 주면 됩니다.

// 관리자 권한으로 실행

C:\WINDOWS\system32> wecutil qc
The service startup mode will be changed to Delay-Start. Would you like to proceed ( Y- yes or N- no)?y
Windows Event Collector service was configured successfully.

그다음 이벤트를 제공할 측 - 즉, 서버에서는 "Server Manager Remoting"을 다음의 PowerShell 명령어로 활성화시켜 줍니다.

// 관리자 권한으로 실행

Configure-SMRemoting.exe -ENABLE

실행 후 다음과 같이 명령행으로 확인하거나,

PS C:\WINDOWS\system32> Configure-SMRemoting.exe -GET
Server Manager Remoting is enabled

서버 관리자 MMC 화면에서 다음과 같이 "Enabled"로 되어 있는 것으로 정상 처리 여부를 알 수 있습니다.

window_event_sub_1.png

참고로, Configure-SMRemoting.exe 명령어가 없다면 그냥 NT 서비스 관리자에서 다음의 서비스를 "Automatic"으로 실행시켜도 무방합니다.

Service name: WinRM
Display name: Windows Remote Management (WS-Management)

WinRM 서비스는 이 통신을 위해 TCP 5985 포트를 열고 있기 때문에 netstat로 이를 확인할 수 있습니다.

C:\WINDOWS\system32> netstat -ano | findstr 5985
  TCP    0.0.0.0:5985           0.0.0.0:0              LISTENING       4
  TCP    192.168.0.5:5985       192.168.0.6:18795      ESTABLISHED     4
  TCP    [::]:5985              [::]:0                 LISTENING       4

당연히, 아무 클라이언트나 WinRM에 접속해서 마구 이벤트를 끌어가면 안 될 텐데요, 이를 위해 접속을 허용할 계정이나 컴퓨터를 로컬 컴퓨터의 "Event Log Readers" 그룹에 등록해야 합니다. 만약 AD 관련 PowerShell 구성 요소들이 설치되어 있으면 "Add-ADGroupMember"로 실행해주면 간단한데, 대개의 경우 별도 설치를 필요로 하므로 그냥 "net" 명령어로 추가해도 됩니다.

가령, 이벤트를 끌어가려는 클라이언트의 컴퓨터 이름이 "testpc"이고 Active Directory의 이름이 "testad"라면 다음과 같이 등록합니다.

C:\WINDOWS\system32> net localgroup "Event Log Readers" testad\testpc$ /add
The command completed successfully.

확인은 다음과 같이 할 수 있습니다.

C:\WINDOWS\system32> net localgroup "Event Log Readers"
Alias name     Event Log Readers
Comment        Members of this group can read event logs from local machine

Members

-------------------------------------------------------------------------------
TESTAD\TESTPC$
The command completed successfully.

Add-ADGroupMember로 등록하려면 다음과 같이 PowerShell에서 명령을 내릴 수 있습니다.

PS C:\WINDOWS\system32> Add-ADGroupMember -Identity "Event Log Readers" -Members "testpc$"

사실 저 과정도 명령어로 하지 않고 그냥 다음 화면과 같이 "컴퓨터 관리" MMC에서 직접 "Event Log Readers" 그룹에 추가해도 상관없습니다.

window_event_sub_2.png

여기까지 했으면 모든 구성은 끝이 났습니다. 이제는 이벤트를 끌어가려는 측의 "이벤트 로그" MMC에서 원하는 이벤트를 선택해 구독해 주면 됩니다.




설정이 완료된 후 이벤트가 쌓이지 않는다면 이벤트 구독 설정 항목을 마우스 우 클릭해 ""Runtime Status"로 확인해 보면 오류 이유를 알 수 있습니다. 가령 계정 정보가 맞지 않는다면 "Access is denied"같은 오류를 보게 되는데, 만약 정상적으로 설정했는데도 여전히 오류가 발생한다면 그냥 클라이언트 측의 "NT 서비스" 관리자로 가서 "Windows Event Collector" 서비스를 재시작하면 됩니다. 아무 문제가 없다면 다음과 같은 화면이 나와야 합니다.

window_event_sub_3.png

그런데, 그래도 수집이 안 되는 경우가 있었습니다. 음... 혹시나 해서 이벤트 로그를 제공하는 측의 PC를 재시작했더니... 잘 되는군요. ^^ 뭔가 서비스 재시작이 필요하거나 하는 부분이 있는 것 같은데 일단 그건 다음 세팅할 때 찾아보도록 하고 이번엔 여기까지만 정리합니다.




[이 글에 대해서 여러분들과 의견을 공유하고 싶습니다. 틀리거나 미흡한 부분 또는 의문 사항이 있으시면 언제든 댓글 남겨주십시오.]





[최초 등록일: ]
[최종 수정일: 9/5/2018 ]

Creative Commons License
이 저작물은 크리에이티브 커먼즈 코리아 저작자표시-비영리-변경금지 2.0 대한민국 라이센스에 따라 이용하실 수 있습니다.
by SeongTae Jeong, mailto:techsharer@outlook.com

비밀번호

댓글 쓴 사람
 



2018-09-05 10시55분
[이태화] 요즘은 elastic의 winlogbeat 를 사용해서 Windows Event 중앙화를 하는 것 같더군요. 중요 이벤트는 어떤 것을 필터링하는지는 모르겠습니다.
[손님]
2018-09-06 01시44분
업계 소식 감사드립니다. ^^ elastic의 생태계 규모가 대단하군요.
정성태

... [16]  17  18  19  20  21  22  23  24  25  26  27  28  29  30  ...
NoWriterDateCnt.TitleFile(s)
12001정성태8/10/20192278.NET Framework: 852. WPF/WinForm에서 UWP의 기능을 이용해 Bluetooth 기기와 Pairing하는 방법
12000정성태8/9/20191696.NET Framework: 851. WinForm/WPF에서 Console 창을 띄워 출력하는 방법파일 다운로드1
11999정성태8/1/20191121오류 유형: 563. C# - .NET Core 2.0 이하의 Unix Domain Socket 사용 시 System.IndexOutOfRangeException 오류
11998정성태7/30/20191413오류 유형: 562. .NET Remoting에서 서비스 호출 시 SYN_SENT로 남는 현상파일 다운로드1
11997정성태7/30/20191969.NET Framework: 850. C# - Excel(을 비롯해 Office 제품군) COM 객체를 제어 후 Excel.exe 프로세스가 남아 있는 문제파일 다운로드1
11996정성태7/25/20192029.NET Framework: 849. C# - Socket의 TIME_WAIT 상태를 없애는 방법파일 다운로드1
11995정성태7/23/20191745.NET Framework: 848. C# - smtp.daum.net 서비스(Implicit SSL)를 이용해 메일 보내는 방법
11994정성태10/22/20192036개발 환경 구성: 454. Azure 가상 머신(VM)에서 SMTP 메일 전송하는 방법파일 다운로드1
11993정성태7/22/20191253오류 유형: 561. Dism.exe 수행 시 "Error: 2 - The system cannot find the file specified." 오류 발생
11992정성태7/22/20191319오류 유형: 560. 서비스 관리자 실행 시 "Windows was unable to open service control manager database on [...]. Error 5: Access is denied." 오류 발생
11991정성태7/18/2019899디버깅 기술: 128. windbg - x64 환경에서 닷넷 예외가 발생한 경우 인자를 확인할 수 없었던 사례
11990정성태3/16/20201850오류 유형: 559. Settings / Update & Security 화면 진입 시 프로그램 종료
11989정성태7/18/2019990Windows: 162. Windows Server 2019 빌드 17763부터 Alt + F4 입력시 곧바로 로그아웃하는 현상
11988정성태7/18/20191708개발 환경 구성: 453. 마이크로소프트가 지정한 모든 Root 인증서를 설치하는 방법
11987정성태7/17/20195031오류 유형: 558. 윈도우 - KMODE_EXCEPTION_NOT_HANDLED 블루스크린(BSOD) 문제
11986정성태7/18/20191078오류 유형: 557. 드라이브 문자를 할당하지 않은 파티션을 탐색기에서 드라이브 문자와 함께 보여주는 문제
11985정성태7/17/20191052개발 환경 구성: 452. msbuild - csproj에 환경 변수 조건 사용
11984정성태7/9/20192018개발 환경 구성: 451. Microsoft Edge (Chromium)을 대상으로 한 Selenium WebDriver 사용법
11983정성태7/8/20191132오류 유형: 556. nodemon - 'mocha' is not recognized as an internal or external command, operable program or batch file.
11982정성태7/8/20191093오류 유형: 555. Visual Studio 빌드 오류 - result: unexpected exception occured (-1002 - 0xfffffc16)
11981정성태7/7/20191430Math: 64. C# - 3층 구조의 신경망(분류)파일 다운로드1
11980정성태7/7/20196029개발 환경 구성: 450. Visual Studio Code의 Java 확장을 이용한 간단한 프로젝트 구축파일 다운로드1
11979정성태7/8/20191664개발 환경 구성: 449. TFS에서 gitlab/github등의 git 서버로 마이그레이션하는 방법
11978정성태7/6/20191426Windows: 161. 계정 정보가 동일하지 않은 PC 간의 인증을 수행하는 방법 [1]
11977정성태7/6/20192600오류 유형: 554. git push - error: RPC failed; HTTP 413 curl 22 The requested URL returned error: 413 Request Entity Too Large
11976정성태7/4/20191541오류 유형: 553. (잘못 인증 한 후) 원격 git repo 재인증 시 "remote: HTTP Basic: Access denied" 오류 발생
... [16]  17  18  19  20  21  22  23  24  25  26  27  28  29  30  ...