工作

无代理日志收集

• 日志收集无需代理/客户端软件：对于事件日志收集，EventLog Analyzer应用程序无需在每台收集日志的机器上单独安装代理。而是通过收集Windows事件日志的代理实现。这样，EventLog Analyzer应用程序在执行事件日志收集任务时，不会给设备增加额外负载。
• Windows事件日志收集：EventLog Analyzer可收集Windows生成的事件。无论Windows还是UNIX系统，配置EventLog Analyzer收集并报表服务器事件的过程都十分简便。
• 自动补录停机期间日志：此关键收集功能确保即使日志收集进程停机时，日志数据也不会丢失。<需补充架构图>

事件日志收集代理

事件日志分析器代理可简化从Windows设备收集事件日志的过程。安装完成后（自动或手动），它将在网络或子网内的指定服务器上作为服务运行。安装状态显示为成功、失败（附带原因）或重试。若自动安装失败，可进行手动部署。

部署后，代理将被事件日志分析器服务器自动发现。它可实时远程收集、预处理日志并持续传输至服务器。每个代理支持约25台设备的日志收集，设备可根据需求在代理间灵活分配或重新分配。此外，服务器也可直接收集日志而无需代理。

若代理卸载或主机设备移除，所分配设备的日志收集将无缝切换至无代理模式，确保无需人工干预即可保持连续性。

架构

本节阐述基于代理的日志收集部署架构。 需在目标设备安装代理程序以远程收集日志数据，并将其发送至EventLog Analyzer服务器。而无代理日志收集模式中，代理程序直接驻留于EventLog Analyzer服务器内部，而非部署在远程设备上。若需在特定设备部署代理程序，请执行安装文件夹lib\native目录下的'EventLogAgent.msi'文件。

• 代理程序通过内部访问设备的WMI基础设施，直接通过WMI查询获取日志数据。
• 收集日志数据后，代理程序会在源端执行预处理（包括日志过滤和字段提取），随后压缩日志文件，并通过HTTPS协议安全传输至EventLog Analyzer服务器。
• 由于此时日志数据已完成处理，服务器仅需对日志进行索引即可实时生成报表和告警，从而有效降低服务器负载。