zabbix3.0监控windows系统安全日志，实现监控用户登录windows并报警的功能

zabbix3.0版本自带eventlog[name,<regexp>,<severity>,<source>,<eventid>,<maxlines>,<mode>]监控项，通过添加该监控项实践监控windows系统日志（系统、安全、应用程序）。
以下是添加监控项的截图：



其中：Name 指监控项的名称，可以随便取，最好做到看到名字就知道意思；
Type 指监控项的类型，这里选择Zabbix agent(active)类型；

Key 指监控项，第一个参数Security表示为系统安全日志；第二个参数是个正则表达式，此处没用到；第三个参数是“Success Audit”是指windows认证成功；第四个参数source表示登陆源，此处没用到，如果需要可以写一个需要监控的源ip；第五个参数是eventid,这里的540是windows server 2003服务器，不同的系统版本这个ID可能不一样；第六个参数是最多监控多少行，这里空着就好；第七个参数是指监控模式，skip表示以前的数据不重复收集监控。

Type of information 收集到数据的类型，选择log类型；

Update interval(in sec) 收集数据的间隔，这里是30s；

History storage period(in days) 历史数据保留时间，这里是90天；

Log time format 时间格式 年月日时:分:秒

New application 新建应用集，item监控项最好属于某一个应用集，方便管理和维护；下面的Application是目前存在的应用集，可以为该日志监控项选择其中一个，也可以在这里新建一个应用集；

Description 监控项的描述，可写可不写；

Enabled 是否启用该监控项；肯定要勾上，不然干嘛要添加呢！

最后Update按钮点一下，一个监控项就建好了。

以下是添加报警项的截图：



Expression 里面的表达式表示监控项数据中只要检测到Administrator就触发报警；这里是要监控Administrator这个账户的登陆情况，所以写的是Administrator,如果需要监控其它账户，换成其它的关键字就好！

由于本人学识能力有限，文中如有错误，还请指出！谢谢！