よく「LinuxのログをWindowsサーバに取り込む」とか、「Linuxのログをsyslogで転送する」とか、「Windowsのログを集約する」とかは聞くんだけど、今回は「WindowsのログをLinuxサーバで作ったログサーバにsyslogで転送する」ということをやってみることにする。

必要なのは以下のソフトウェア。

ntsyslog-1.13 日本語版 rev.2 UTF-8版(PatchLevel-2)

ntsyslog-1.13 日本語版 rev.2 (PatchLevel-2)

それぞれLZH形式で固められているので、それを解凍する。

ntsyslog-1.13-jp3p2-binary.lzh　から解凍して得られた「ntsyslogctrl.exe」及びntsyslog-1.13-jp3p2-binary-UTF8.lzhから解凍して得られた「ntsyslog.exe」を「C:\WINDOWS\System32」配下にコピーする。

「スタートメニュー」→「ファイル名を指定して実行」を選択する。以下のとおり入力して「OK」をクリックする。

ntsyslog -install

一瞬コマンドプロンプトが表示され、そして消えることを確認。

続いて、同様に「スタートメニュー」→「ファイル名を指定して実行」を選択する。以下のとおり入力して「OK」をクリックする。

ntsyslogctrl

すると、以下のような画面が表示される。

まず、Syslog転送先の設定を行う。「設定」項目の「Syslog Daemons」のボタンをクリックする。

以下の画面が表示される。

ここで、最低限「プライマリ Syslog Daemon」に対する設定を行う。設定が完了したら「適用」をクリック。

ついで、転送するイベントログの選択を行う。プルダウンリストからカテゴリを選択し、「イベントログ」をクリックする。

すると上記のような画面が表示される。ここでどのイベントを転送するのか、そのファシリティとプライオリティを定義する。設定が完了したら「適用」をクリックする。

あとは「サービス開始」のボタンをクリックすることで、信号が先述の画面のように青信号となり、チェックの付いた対象イベントは転送されることになる。

こうして設定すると、514/UDPを使用して相手方のSyslogに転送されることになる。転送されたログを表示させるとこんな感じ。

Sep 29 01:15:00 192.168.100.206 ese[info] 700  Information Store (2604) BC_StorageGroup:  オンラインでのディスクの最適化により、データベース  ‘Y:\Program Files\Exchsrvr\BC_StorageGroup\BC_PublicFolder.edb’   に対するすべての処理を開始しています。     詳細については、http://www.microsoft.com/contentredirect.asp  を参照してください。
Sep 29 01:15:00 192.168.100.206 ese[info] 701  Information Store (2604) BC_StorageGroup:  オンラインでのディスクの最適化により、データベース  ‘Y:\Program Files\Exchsrvr\BC_StorageGroup\BC_PublicFolder.edb’   に対するすべての処理が完了しました。     詳細については、http://www.microsoft.com/contentredirect.asp  を参照してください。
Sep 29 01:15:00 192.168.100.206 ese[info] 700  Information Store (2604) BC_Storage:  オン ラインでのディスクの最適化により、データベース  ‘Y:\Program Files\Exchsrvr\mdbdata\pub1.edb’  に対するすべての処理を開始しています。     詳細については、http://www.microsoft.com/contentredirect.asp  を参照してください。
Sep 29 01:15:00 192.168.100.206 ese[info] 701  Information Store (2604) BC_Storage:  オン ラインでのディスクの最適化により、データベース  ‘Y:\Program Files\Exchsrvr\mdbdata\pub1.edb’  に対するすべての処理が完了しました。     詳細については、http://www.microsoft.com/contentredirect.asp  を参照してください。
Sep 29 01:15:00 192.168.100.206 ese[info] 700  Information Store (2604) BC_Storage:  オン ラインでのディスクの最適化により、データベース  ‘Y:\Program Files\Exchsrvr\mdbdata\priv1.edb’  に対するすべての処理を開始しています。     詳細については、http://www.microsoft.com/contentredirect.asp  を参照してください。
Sep 29 01:15:00 192.168.100.206 ese[info] 701  Information Store (2604) BC_Storage:  オン ラインでのディスクの最適化により、データベース  ‘Y:\Program Files\Exchsrvr\mdbdata\priv1.edb’  に対するすべての処理が完了しました。     詳細については、http://www.microsoft.com/contentredirect.asp  を参照してください。

上記はExchange Serverのイベントログなのだけど、こうして一応日本語の文字も化けなしで展開されるから便利だね。

我が家ではこうしたログをSyslog-ngで集約して取得しております。それにしてもドメコンの監査ログはやっぱりごっついよね・・・Orz

なかなか良い転送量を記録しております・・・Orz