遊俠原創：Evtsys--輕松将Windows日志轉換為SYSLOG

我們知道，無論是Unix、Linux、FreeBSD、Ubuntu，還是路由器、交換機，都會産生大量的日志，而這些，一般會以syslog的形式存在。調試過防火牆、入侵檢測、安全審計等産品的朋友應該對SYSLOG熟悉，如果您還不了解SYSLOG，請登入百度或Google查詢。

很多時候，我們需要對日志進行集中化管理，如各種作業系統、網絡裝置、安全裝置，甚至應用系統、業務系統等，但是不知道你注意看上文了沒：Windows的應用、安全、系統日志怎麼辦？

Windows作業系統本身是可以産生很多日志的，如每次插拔U盤、服務的重新開機等，都會産生日志，這些資訊會記錄在作業系統中，如果我們想集中管理，怎麼辦？Windows作業系統本身并不支援把日志發送到SYSLOG伺服器去，但是我們就沒辦法了？當然不是，否則遊俠也不會寫本文了。嘿嘿

還好，我們有Evtsys。什麼是Evtsys呢？看下文介紹，當然為了照顧英文不好的朋友，遊俠會進行簡單說明。

----------Start----------

eventlog-to-syslog

Eventlog to Syslog Service for Windows (2k, XP, 2k3, 2k8+)

Evtsys支援從Windows2000一直到Windows2008的系統，還是很廣泛的！

Eventlog to Syslog Service for Windows

This program is written in C and provides a method of sending Windows Eventlog events to a syslog server. It works with the new Windows Events service found in Vista and Server 2008 and can be compiled for both 32 and 64-bit environments. Designed to keep up with very busy servers, it is fast, light, and efficient. The program is designed to run as a windows service. 

Evtsys是用C寫的程式，提供發送Windows日志到syslog伺服器的一種方式。它支援Windows Vista和Server 2008，并且編譯後支援32和64位環境。它被設計用于高負載的伺服器，Evtsys快速、輕量、高效率。并可以作為Windows服務存在。

It is an adaption of Curtis Smith's Eventlog to Syslog service found at https://engineering.purdue.edu/ECN/Resources/Documents/UNIX/evtsys/ 

這是一個Curtis Smith的Eventlog to Syslog service程式的改編版本。

----------End----------

如果你想下載下傳Evtsys，請登入 http://code.google.com/p/eventlog-to-syslog/ 檢視并擷取最新更新。值得稱道的是，程式僅僅有幾十KB大小！

下載下傳Evtsys後，将其複制到系統目錄，XP下是Windows\system32目錄。然後在CMD下執行：

<code>evtsys.exe -i -h 192.168.1.101 -p 514</code>

　　這個是标準格式，亦可精簡為：

<code>evtsys -i -h 192.168.1.101</code>

　　參數說明：

　　i是安裝成Window服務；

　　h是syslog伺服器位址；

　　p是syslog伺服器的接收端口。

　　預設下，端口可以省略，預設是514.

　　啟動Evtsys服務，指令是：

<code>net start evtsys</code>

　　檢視Windows的“服務”，發現在原本Event Log服務下面增加了一個“Eventlog to Syslog”，并且已經啟動。

　　簡單否？我們來測試下結果：

　　用SyslogGather.exe進行測試（軟體下載下傳：

<a target="_blank" href="http://www.youxia.org/2011/04/SyslogGather.html">一款基于Windows的綠色版SYSLOG日志采集器</a>

）

　　我的計算機位址是192.168.1.101，我安裝Evtsys的時候設定syslog的位址是192.168.1.101，然後打開SyslogGather.exe，重新開機某個服務，發現有日志顯示：

　　到此，我們成功的在Windows下配置了Event Log到Syslog的轉換。

　　預告：

　　在接下來的一段時間内，遊俠将介紹如何統一管理各類裝置、應用、系統産生的SYSLOG。敬請關注！

作者：張百川（網路遊俠）

網站：http://www.youxia.org

　　　轉載請注明來源！謝謝合作。

本文轉自網路遊俠 51CTO部落格，原文連結:http://blog.51cto.com/youxia/548182