正如上一篇说说，SCOM本身的规则虽然不少，但是其实隐藏了很多计数器可以自已添加，今天将利用监视器来监控Windows日志，对系统进行监控（紫色为完成实施，红色为实施中）：

1、 打开SCOM管理台，点击创作并定位到管理包对象-监视器：

2、 点击新建监视器，选择单元监视器，并选择Windows事件-Windows事件重置：

3、 输入监视器名称，并选择使用对象：

4、 输入事件日志名称，并选择对象为安全类型：

5、 不正常表达式的事件ID填入4625（登录失败）：

6、 同样，正常事件的源也是一样：

7、 表达式指定为ID为4624（审核成功）：

8、 这里的第一个为不正常事件匹配，第二个为正常事件匹配：

9、 生成警报我们可以自已定义警报内容、级别等：

10、 现在可以点击目标，看到监视器已经正在工作了（引发第二个事件，即正常）：

PS：为方便交流，VMCloudQQ群已开通，欢迎各位探讨任何关于虚拟化或云方面的技术，特别欢迎干货入驻！VMCloud群号：237241754(建议实名制，以方便群内猎头寻猎)