powiązane zdarzenia

Powiązane zdarzenia to grupa zapisów dotyczących tego samego incydentu lub procesu.

Ślad jednego zdarzenia rozsypany po kilku dziennikach

Pojedyncza operacja w systemie zostawia wpisy w różnych miejscach: logowanie użytkownika trafia do dziennika zabezpieczeń, uruchomienie usługi do systemowego, a błąd programu do dziennika aplikacji. Powiązanie tych zapisów polega na złożeniu ich w jedną historię. Windows dostarcza do tego identyfikator korelacji, przechowywany w sekcji Correlation nagłówka zdarzenia i widoczny w karcie Szczegóły w formacie XML — wpisy pochodzące z tej samej operacji dzielą wspólny ActivityID.

Drugim spoiwem jest identyfikator sesji logowania. Zdarzenie 4624 rejestruje udane uwierzytelnienie i nadaje numer sesji, który powtarza się potem przy każdej czynności wykonanej w jej ramach, aż do wylogowania. Dzięki temu da się odpowiedzieć, kto siedział przy maszynie, gdy powstał podejrzany plik.

Budowanie osi czasu z wielu maszyn

W Podglądzie zdarzeń służy do tego widok niestandardowy zbierający kilka dzienników naraz z zawężeniem do przedziału czasu i wybranych identyfikatorów. Praktyczny zestaw przy badaniu incydentu obejmuje 4624 i 4625 dla logowań udanych i odrzuconych, 7045 dla nowo zainstalowanej usługi, 1074 dla zamknięcia zainicjowanego przez program lub użytkownika oraz 6005 i 6006 dla startu i zatrzymania usługi rejestrowania.

Przy kilku komputerach sensowne staje się przesyłanie dzienników w jedno miejsce, mechanizmem subskrypcji zdarzeń albo agentem zbierającym logi do zewnętrznego magazynu. Dopiero wtedy widać sekwencję: nieudane logowania na serwerze, udane na stacji, chwilę później nowa usługa.

Zegary, które rozjeżdżają całą analizę

Korelacja opiera się na czasie, więc rozsynchronizowane zegary niszczą ją całkowicie. Stacja spóźniona o dwie minuty ustawia zdarzenia w odwrotnej kolejności niż rzeczywista i prowadzi do fałszywych wniosków o przyczynie. Przed jakąkolwiek analizą warto sprawdzić synchronizację poleceniem w32tm /query /status i wymusić uzgodnienie przez w32tm /resync. W maszynach wirtualnych dochodzi jeszcze dryf zegara po wznowieniu ze stanu wstrzymania.

Druga pułapka to lawina wpisów. Jedna awaria sterownika potrafi wygenerować kilkaset niemal identycznych zdarzeń w minutę, spychając z dziennika wpisy naprawdę istotne. Trzecia to złudne powiązania — dwa zdarzenia w tej samej sekundzie nie muszą mieć ze sobą nic wspólnego, jeśli nie łączy ich identyfikator ani wspólny podsystem.

Rekonstrukcja przebiegu awarii w sieci firmowej

Po incydencie klient zwykle wie tylko tyle, że w piątek po południu przestał działać program magazynowy. Zestawiamy wtedy dzienniki stacji, serwera i instancji bazy danych w jedną oś czasu, dokładając zapisy z routera i macierzy dyskowej, jeśli są dostępne. Ta metoda pozwala odróżnić awarię sprzętu od skutku aktualizacji albo działania szkodliwego oprogramowania, a to determinuje zupełnie inny plan naprawy. Serwisujemy zarówno pojedyncze komputery, jak i całe środowiska firmowe z bazą SQL Server na zapleczu.