Windows Server / متوسط: التكامل ودورة الحمل / الدرس 11
الأحداث والعدادات والمراقبة التشغيلية
اربط الحدث والأداء بمهمة خادم محددة. احفظ المصدر والوقت والنطاق والجمع والخصوصية لا اعتبار السجل الفارغ صحة.
في هذه الصفحة
أهداف الدرس
- تمييز القناة والمزود والعداد.
- تفسير عدد سجل مصطنع دون مضيف.
- تصميم الجمع والتنبيه والاحتفاظ الآمن.
يحتاج الحدث مصدراً وسؤالاً
لقنوات أحداث Windows ومزوديها وأوقاتها ومعرفاتها ومستوياتها وحمولاتها سياق محدد. لا يعد رقم الحدث تشخيصاً عاماً لكل مزود وإصدار. تجيب System و Application و Security والقنوات الخاصة بالأدوار عن أسئلة مختلفة، ويؤثر إعداد التدقيق والجمع فيما يوجد. تلخص عدادات الأداء قياسات بحسب تعريف العينة والمثيل. ابدأ بنتيجة الخادم أو المستخدم: اكتمال ملف أو إصدار إيجار أو استعادة نسخة أو فشل اعتماد. لا تستبدل الخدمة العاملة واللوحة الهادئة تلك النتيجة.
مقطع استعلام السجل ليس دليلاً مجموعاً
يطلب مقطع PowerShell التوضيحي أحداث System حديثة وبيانات وصفية مختارة. لا ينفذ ولا يثبت تفعيل القناة أو صلاحية قراءتها أو اكتمالها أو وجود خطأ فيها. اختر مرشحاً محدوداً واحفظ المزود والمنطقة الزمنية والهدف والربط في تحقيق مصرح. لا تجمع رسائل خاصة كاملة لمجرد قدرة الأداة على عرضها. تؤثر الأذونات والاحتفاظ والتمرير ودقة الساعة والنطاق في النتيجة. لا تمحُ السجلات أو تعِد تشغيل الدور قبل حفظ أول ملاحظات مفيدة؛ فقد تفقد تسلسل تمييز السبب والنتيجة.
Get-WinEvent -FilterHashtable @{
LogName = 'System'
StartTime = (Get-Date).AddHours(-1)
} | Select-Object TimeCreated, ProviderName, Id, LevelDisplayNameillustrative Windows event query only; not executedلم يفحص قناة أو ساعة أو مزوداً أو إذناً،ولا تختلق سجلات فعلية.
يجب أن يبقى مخطط التطبيع المصطنع موسوماً
يعد البرنامج المحلي ثلاث ملاحظات مطبعة مخترعة بحسب الفئة. ليست التسميات أرقام أحداث أصلية أو مخطط تصدير Windows. يوضح مراجعة المقام والتصنيف دون مضيف. قد تغير التحليل والسجلات المفقودة والعينة والمرشح والتمرير المكرر واختلاف الساعات العدد في الخط الحقيقي. حدد الفئة والنافذة قبل تسمية نسبة بمعدل خطأ. قد ترفض الخدمة طلباً خاطئاً على نحو صحيح؛ فليس كل تحذير أو رفض وعد مستخدم فاشلاً. افصل النتيجة التشغيلية المفيدة عن اسم مستوى الخطورة الخام.
from collections import Counter
events = [{"category": "access-denied"}, {"category": "service-start"}, {"category": "access-denied"}]
counts = Counter(event["category"] for event in events)
for category in sorted(counts):
print(category, counts[category])access-denied 2
service-start 1لا يحلل سجلاً حقيقياً أو يستدعي حدثاً أو عداداً أوخدمة أو Windows.
يحتاج الجمع والتنبيه تحققاً مستقلاً
قد يعني الرسم الفارغ عدم حدث أو غياب تدقيق أو جامع غير متاح أو وجهة خاطئة أو احتفاظاً منتهياً أو استعلاماً غير صحيح. لا يثبت إعداد تنبيه وصوله لمسؤول أو استجابة مفيدة. عرّف المصدر والنقل والوجهة والوصول والاحتفاظ والتأخر والحد والمالك ودليل الإجراء. افحص حدثاً مصطنعاً معروفاً وطريق إخطار في بيئة مصرح بها لاحقاً. قيد الأبعاد وأبعد الأسرار والكلمات والرموز والأسماء الخاصة والحمولات غير اللازمة. وإلا قد يجعل تعطل المراقبة حملاً غير سليم يبدو هادئاً ومطمئناً.
ربط الدليل دون استنتاج السبب من حدث واحد
قارن الفشل الأول والتوقيت والتغيير الأخير وطريق الاعتماد والهوية المتأثرة وضغط الموارد وضابطاً سليماً. لا تثبت عينة CPU عالية أو رسالة واحدة السبب الجذري. احفظ الدليل الخام الآمن وافصل الملاحظة والفرضية والتغيير المقترح. لا تجمع الدورة سجلات أو عدادات أو تدقيقاً أو عمليات أو أحداثاً بعيدة أو تنبيهات، ولا تنفذ شبكة أو إدارة. تعلّم أعدادها ونص الاستعلام غير المنفذ تفسير الدليل فقط. يجب أن يحدد الادعاء اللاحق المضيف والحمل والنافذة وطريق الجمع والتحقق الذي أنتجه فعلياً.
الأخطاء الشائعة وإصلاحها
تسمية السجل الفارغ خادماً سليماً
- لماذا يحدث؟
- خلط انعدام الفشل وانعدام الدليل.
- كيف تصلحه؟
- فحص الحدث والقناة والنطاق والاحتفاظ والمرشح.
- كيف تتجنب تكراره؟
- رصد خط الدليل مع الحمل.
اعتبار رقم الحدث تشخيصاً
- لماذا يحدث؟
- إغفال المزود والإصدار والحمولة والوقت.
- كيف تصلحه؟
- حفظ السياق واختبار الفرضيات.
- كيف تتجنب تكراره؟
- استخدام ضابط وتسلسل.
جمع اعتماد ورسائل خاصة بالتشخيص
- لماذا يحدث؟
- استبدال الخصوصية بالسهولة.
- كيف تصلحه؟
- اختيار الآمن وحماية العمر والوصول.
- كيف تتجنب تكراره؟
- مراجعة التحليل والتمرير والاستثناء.
اختبر فهمك
1. ماذا يثبت مثال Counter؟
اعرض الحل المشروح
يثبت أن القائمة الحرفية من ثلاثة أحداث تحتوي تسميتي access-denied وتسمية service-start واحدة. التسميات مخترعة ولم يجمع حدث فعلي. لا يثبت معدل خطأ Windows أو تدقيقاً أو أثر مستخدم أو سبباً جذرياً؛ فتحتاج هذه دليلاً مصرحاً محدد النطاق.
2. لماذا توثق منطقة الوقت والهدف للاستعلام؟
اعرض الحل المشروح
قد تجعل الساعات والمضيفون والنوافذ وتأخر التمرير سجلات غير مرتبطة تبدو مترابطة أو تخفي التسلسل الحقيقي. احفظ المزود وسياق الجمع أيضاً. يصون الربط المفيد عدم اليقين ولا يجعل توافق التوقيت برهان سببية.
أهم ما تعلمته
- يحتاج الدليل مزوداً وفئة ووقتاً وسياق جمع.
- لا يثبت الغياب والارتباط والمستوى الصحة أوالسبب.