Regla de sistema de archivos NTFS dañado en Windows Server 2012

Microsoft.Windows.Server.2012.OperatingSystem.NTFSFileSystemCorrupt.Alert (Rule)

Esta regla genera alertas basadas en los eventos del sistema que indica que el sistema de archivos NTFS está dañado.

Knowledge Base article:

Resumen

NTFS ha notificado que el disco lógico está dañado o no está disponible. Algunos datos almacenados en el volumen pueden quedar inaccesibles.

Causas

Son varias las razones por las que un disco lógico puede dañarse o no puede obtenerse acceso a él:

Un disco físico relacionado con el disco lógico se ha eliminado o produjo un error.
Un disco físico relacionado con el disco lógico se han dañado.
El disco puede haber encontrado un problema.

Soluciones

Compruebe el estado del hardware para ver si hay errores. En la mayoría de los casos, el registro del sistema contiene otros eventos procedentes de los controladores de almacenamiento de nivel inferior que indican la causa del error.

Una vez aislado y solucionado el problema de hardware:

1. Abra el complemento Administración de discos.
2. Examine los discos de nuevo y, a continuación, reactive los discos con errores. Vuelva a sincronizar o generar el volumen, según las necesidades, en caso de que el disco sea miembro de un volumen reflejado o RAID - 5.
3. Ejecute el estado de reparación de fsutil en el volumen y este le indicará el estado actual del volumen.
4. Si es necesario, para el estado (1) Se requiere examen previo: ejecute Chkdsk /scan en cualquier volumen reactivado.
5. Si es necesario, para el estado (2) Se requiere corrección puntual: ejecute Chkdsk /spotfix x en cualquier volumen reactivado.
6. Si es necesario, para el estado (3) Se requiere una comprobación completa del disco: ejecute chkdsk/f en todos los volúmenes reactivados.

Element properties:

Target

Microsoft.Windows.Server.6.2.LogicalDisk

Category

EventCollection

Enabled

True

Alert Generate

True

Alert Severity

Warning

Alert Priority

Normal

Remotable

True

Alert Message

Sistema de archivos NTFS dañado en Windows Server 2012

La unidad {1} del dispositivo con nombre {2} informa de un estado de acción de daños de {3}. Descripción del evento: {0}.

Event Log

System

Member Modules:

ID	Module Type	TypeId	RunAs
EventDS	DataSource	Microsoft.Windows.EventProvider	Default
GenerateAlert	WriteAction	System.Health.GenerateAlert	Default

Source Code:

<Rule ID="Microsoft.Windows.Server.2012.OperatingSystem.NTFSFileSystemCorrupt.Alert" Enabled="true" Target="WindowsServer!Microsoft.Windows.Server.6.2.LogicalDisk" ConfirmDelivery="true">

  <Category>EventCollection</Category>

  <DataSources>

    <DataSource ID="EventDS" TypeID="Windows!Microsoft.Windows.EventProvider">

      <ComputerName>$Target/Host/Property[Type="Windows!Microsoft.Windows.Computer"]/NetworkName$</ComputerName>

      <LogName>System</LogName>

      <Expression>

        <And>

          <Expression>

            <SimpleExpression>

              <ValueExpression>

                <XPathQuery>EventSourceName</XPathQuery>

              </ValueExpression>

              <Operator>Equal</Operator>

              <ValueExpression>

                <Value>Microsoft-Windows-Ntfs</Value>

              </ValueExpression>

            </SimpleExpression>

          </Expression>

          <Expression>

            <SimpleExpression>

              <ValueExpression>

                <XPathQuery Type="UnsignedInteger">EventDisplayNumber</XPathQuery>

              </ValueExpression>

              <Operator>Equal</Operator>

              <ValueExpression>

                <Value Type="UnsignedInteger">98</Value>

              </ValueExpression>

            </SimpleExpression>

          </Expression>

          <Expression>

            <SimpleExpression>

              <ValueExpression>

                <Value Type="String">$Target/Property[Type="Windows!Microsoft.Windows.LogicalDevice"]/Name$</Value>

              </ValueExpression>

              <Operator>Equal</Operator>

              <ValueExpression>

                <XPathQuery Type="String">Params/Param[1]</XPathQuery>

              </ValueExpression>

            </SimpleExpression>

          </Expression>

          <Expression>

            <Or>

              <Expression>

                <SimpleExpression>

                  <ValueExpression>

                    <XPathQuery Type="UnsignedInteger">Params/Param[3]</XPathQuery>

                  </ValueExpression>

                  <Operator>Equal</Operator>

                  <ValueExpression>

                    <Value Type="UnsignedInteger">1</Value>

                  </ValueExpression>

                </SimpleExpression>

              </Expression>

              <Expression>

                <SimpleExpression>

                  <ValueExpression>

                    <XPathQuery Type="UnsignedInteger">Params/Param[3]</XPathQuery>

                  </ValueExpression>

                  <Operator>Equal</Operator>

                  <ValueExpression>

                    <Value Type="UnsignedInteger">2</Value>

                  </ValueExpression>

                </SimpleExpression>

              </Expression>

              <Expression>

                <SimpleExpression>

                  <ValueExpression>

                    <XPathQuery Type="UnsignedInteger">Params/Param[3]</XPathQuery>

                  </ValueExpression>

                  <Operator>Equal</Operator>

                  <ValueExpression>

                    <Value Type="UnsignedInteger">3</Value>

                  </ValueExpression>

                </SimpleExpression>

              </Expression>

            </Or>

          </Expression>

        </And>

      </Expression>

    </DataSource>

  </DataSources>

  <WriteActions>

    <WriteAction ID="GenerateAlert" TypeID="SystemHealth!System.Health.GenerateAlert">

      <Priority>1</Priority>

      <Severity>1</Severity>

      <AlertMessageId>$MPElement[Name="Microsoft.Windows.Server.2012.OperatingSystem.NTFSFileSystemCorrupt.Alert.AlertMessage"]$</AlertMessageId>

      <AlertParameters>

        <AlertParameter1>$Data/EventDescription$</AlertParameter1>

        <AlertParameter2>$Data/Params/Param[1]$</AlertParameter2>

        <AlertParameter3>$Data/Params/Param[2]$</AlertParameter3>

        <AlertParameter4>$Data/Params/Param[3]$</AlertParameter4>

      </AlertParameters>

    </WriteAction>

  </WriteActions>

</Rule>