用Windows事件日志+Visual Syslog Server+Winlogbeat可快速搭建低维护告警系统，聚焦安全日志（如4625、4771）、应用日志（IIS/SQL/NET错误）和服务状态（7036），通过过滤、高亮、声音/邮件告警实现精准响应。

直接用 windows 自带事件日志 + visual syslog server 就能搭出实用、低维护的告警系统，不用装 elk 或写复杂脚本。关键不是收集所有日志，而是盯住真正影响服务可用性的那几类事件。

明确要监控的服务日志类型

不是所有日志都值得告警。优先关注三类：

• Windows 安全日志中的关键事件 ID：比如 4625（登录失败）、4720（用户创建）、4771（Kerberos 预身份验证失败），这些常指向暴力破解或权限异常
• 应用服务自身的日志输出：如 IIS 的 HTTPERR 日志、SQL Server 的错误日志、.NET 应用写入 Application 日志的“Warning”或“Error”级别事件
• 系统服务状态变更：Event ID 7036（服务已启动/停止），特别关注你依赖的核心服务，比如 “w3svc”、“mssqlserver”、“dhcpserver”

用 Winlogbeat 把日志导出为 Syslog 格式

Visual Syslog Server 本身不读 Windows 事件日志，需要一个“翻译器”。Winlogbeat 是最轻量稳定的选择：

windows-shell-syntax

在 Windows 上执行终端命令，或对比 Windows 与 Linux 的 Shell 语法时使用。建议先检测当前 Shell 是 PowerShell 还是 cmd.exe，再给出相应命令……

下载

• 安装后修改 winlogbeat.yml，只启用你要监控的日志源，例如：
  - name: Security
  event_id: 4625,4624,4771,4720
• 配置输出目标为你的 Visual Syslog Server 地址和端口（默认 UDP 514）
• 加一条 processor 过滤掉噪音，比如排除域控制器日常同步产生的 4769 事件

在 Visual Syslog Server 中设高亮+动作规则

收到日志后，靠颜色和声音第一时间感知，再靠规则自动响应：

• 进 Highlighting setup，对 “Priority=err” 或 “Tag=auth” 的消息设红色背景+粗体，一眼可见
• 进 Message filtering & actions，新建规则：
  IF Facility = "auth" AND Message contains "failed"
  → 播放 alarm.wav 声音 + 弹窗提示 + 发邮件给值班人
• 对非紧急但需记录的事件（如服务意外停止），设置“保存到独立文件”，方便后续查证

验证与调优要点

上线前必须做两件事：

• 手动触发一次测试事件（比如用 net stop w3svc），确认从 Windows 事件 → Winlogbeat → Syslog Server → 告警动作全链路畅通
• 观察头 24 小时的告警频率，如果每小时收 50 条“登录失败”，说明没过滤好，得加条件限制源 IP 段或时间窗口（比如 5 分钟内超 10 次才告警）
• 把告警邮件模板里加上 %SourceIP% 和 %Message% 变量，避免收到一堆“某服务挂了”却不知道是哪台机器