Regel för skadat NTFS-filsystem i Windows Server 2016 och senare

Microsoft.Windows.Server.10.0.LogicalDisk.NTFSFileSystemCorrupt.Alert (Rule)

Den här regeln genererar aviseringar vid systemhändelser som tyder på ett skadat NTFS-filsystem.

Knowledge Base article:

Sammanfattning

NTFS har rapporterat att den logiska disken antingen är skadad eller fullständigt otillgänglig. Vissa data som är lagrade på volymen kan vara otillgängliga.

Orsaker

En logisk disk kan bli skadad eller otillgänglig av flera skäl, bland annat följande:

En fysisk disk som hör till den logiska disken har skadats eller innehåller fel.
En fysisk disk som hör till den logiska disken har skadats.
Ett fel kan ha uppstått på disken.

Lösningar

Kontrollera maskinvarustatus och sök efter fel. I de flesta fall innehåller systemloggen flera händelser från lagringsdrivrutiner på lägre nivå som visar orsaken till felet.

När du har isolerat och löst maskinvaruproblemet:

1. Öppna snapin-modulen Diskhantering.
2. Sök igenom diskarna och återaktivera sedan eventuella diskar med fel. Omsynkronisera eller återskapa volymen vid behov om disken tillhörde en speglad volym eller RAID-5-volym.
3. Kör fsutil repair state på volymen för att få reda på volymens hälsotillstånd.
4. Om förskanning behövs för tillstånd (1) – Kör Chkdsk /scan på en återaktiverad volym.
5. Om punktkorrigering behövs för tillstånd (2) – Kör Chkdsk /spotfix på en återaktiverad volym.
6. Om en fullständig diskontroll behövs för tillstånd (3) – Kör chkdsk/f på en återaktiverad volym. på en återaktiverad volym.

Element properties:

Target

Microsoft.Windows.Server.10.0.LogicalDisk

Category

EventCollection

Enabled

True

Alert Generate

True

Alert Severity

Warning

Alert Priority

Normal

Remotable

True

Alert Message

Skadat NTFS-filsystem i Windows Server 2016 och senare

Lagringsenheten {1} på enheten med namnet {2} rapporterar ett felåtgärdstillstånd {3}. Händelsebeskrivning: {0}.

Event Log

System

Member Modules:

ID	Module Type	TypeId	RunAs
EventDS	DataSource	Microsoft.Windows.EventProvider	Default
GenerateAlert	WriteAction	System.Health.GenerateAlert	Default

Source Code:

<Rule ID="Microsoft.Windows.Server.10.0.LogicalDisk.NTFSFileSystemCorrupt.Alert" Enabled="true" Target="ServervNext!Microsoft.Windows.Server.10.0.LogicalDisk" ConfirmDelivery="true">

  <Category>EventCollection</Category>

  <DataSources>

    <DataSource ID="EventDS" TypeID="Windows!Microsoft.Windows.EventProvider">

      <ComputerName>$Target/Host/Property[Type="Windows!Microsoft.Windows.Computer"]/NetworkName$</ComputerName>

      <LogName>System</LogName>

      <Expression>

        <And>

          <Expression>

            <SimpleExpression>

              <ValueExpression>

                <XPathQuery>EventSourceName</XPathQuery>

              </ValueExpression>

              <Operator>Equal</Operator>

              <ValueExpression>

                <Value>Microsoft-Windows-Ntfs</Value>

              </ValueExpression>

            </SimpleExpression>

          </Expression>

          <Expression>

            <SimpleExpression>

              <ValueExpression>

                <XPathQuery Type="UnsignedInteger">EventDisplayNumber</XPathQuery>

              </ValueExpression>

              <Operator>Equal</Operator>

              <ValueExpression>

                <Value Type="UnsignedInteger">98</Value>

              </ValueExpression>

            </SimpleExpression>

          </Expression>

          <Expression>

            <SimpleExpression>

              <ValueExpression>

                <Value Type="String">$Target/Property[Type="Windows!Microsoft.Windows.LogicalDevice"]/Name$</Value>

              </ValueExpression>

              <Operator>Equal</Operator>

              <ValueExpression>

                <XPathQuery Type="String">Params/Param[1]</XPathQuery>

              </ValueExpression>

            </SimpleExpression>

          </Expression>

          <Expression>

            <Or>

              <Expression>

                <SimpleExpression>

                  <ValueExpression>

                    <XPathQuery Type="UnsignedInteger">Params/Param[3]</XPathQuery>

                  </ValueExpression>

                  <Operator>Equal</Operator>

                  <ValueExpression>

                    <Value Type="UnsignedInteger">1</Value>

                  </ValueExpression>

                </SimpleExpression>

              </Expression>

              <Expression>

                <SimpleExpression>

                  <ValueExpression>

                    <XPathQuery Type="UnsignedInteger">Params/Param[3]</XPathQuery>

                  </ValueExpression>

                  <Operator>Equal</Operator>

                  <ValueExpression>

                    <Value Type="UnsignedInteger">2</Value>

                  </ValueExpression>

                </SimpleExpression>

              </Expression>

              <Expression>

                <SimpleExpression>

                  <ValueExpression>

                    <XPathQuery Type="UnsignedInteger">Params/Param[3]</XPathQuery>

                  </ValueExpression>

                  <Operator>Equal</Operator>

                  <ValueExpression>

                    <Value Type="UnsignedInteger">3</Value>

                  </ValueExpression>

                </SimpleExpression>

              </Expression>

            </Or>

          </Expression>

        </And>

      </Expression>

    </DataSource>

  </DataSources>

  <WriteActions>

    <WriteAction ID="GenerateAlert" TypeID="SystemHealth!System.Health.GenerateAlert">

      <Priority>1</Priority>

      <Severity>1</Severity>

      <AlertMessageId>$MPElement[Name="Microsoft.Windows.Server.10.0.LogicalDisk.NTFSFileSystemCorrupt.Alert.AlertMessage"]$</AlertMessageId>

      <AlertParameters>

        <AlertParameter1>$Data/EventDescription$</AlertParameter1>

        <AlertParameter2>$Data/Params/Param[1]$</AlertParameter2>

        <AlertParameter3>$Data/Params/Param[2]$</AlertParameter3>

        <AlertParameter4>$Data/Params/Param[3]$</AlertParameter4>

      </AlertParameters>

    </WriteAction>

  </WriteActions>

</Rule>