任何成熟的系统都会有日志文件，ForeFront也不例外。日志文件有助于管理员找到并解决问题。总之，日志文件会一五一十的纪录下系统的运行状况。无论是在故障排除还是在性能优化过程中，其都能够给管理员提供很大的帮助。不过对于ForeFront系统来说，日志管理有其特殊性。笔者在此总结了五点，供各位读者参考。

　　技巧一：不同的组件对应于不同的日志

　　ForeFront在日志规划中，沿袭了微软操作系统的优点。即不同的组件对应于不同的日志文件，而不是件所有的日志信息都保存在同一个文件中。笔者认为，这对管理员非常的有利。因为ForeFront系统产生的日志信息有很多。如果将其全部存放在一个日志文件中，不但会造成后续的查询困难，而且还会影响到系统的性能。

　　当然，这也会给管理员造成一点小小的麻烦。也就是说，管理员需要知道ForeFront系统的日志结构，如每个日志文件对应于哪些日志信息。一般那情况下，根据日志文件的名字就可以了解这个文件所存储的内容。如MOMReporting其存储的是与MOM报表安装相关的日志信息;而MOMDB则对应的是收集数据安装的相关信息等等。大部分情况下，日志文件的名字不需要死记硬背，多看几次，就可以了解。

　　主要的问题是管理员需要知道在遇到具体问题的时候，该去查看哪个日志文件。这有时候很难说清楚。或者说，靠的是管理员的一种经验或者直觉。总之，平时有空的时候，多去看看日志信息。这对于各位读者了解ForeFront的日志结构具有很大的帮助。

　　技巧二：通过命令将日志文件进行集体归档

　　日志文件在必要的时候需要进行归档。日志文件一般是采取追加的方式。也就是说，如果不采取有效的管理措施的话，日志文件的容量会无限量的增加上去。这不但会使得ForeFront服务器的存储空间快速消耗，而且文件一大，其存储的效率也会降低，从而影响到ForeFront服务器的整体性能。但是如果日志文件一大，就清空日志文件，从头再来，这也不行。因为有时候需要对系统运行的状况进行纵向的对比，以发现问题的原因。通常情况下，比较合理的做法是先对日志文件进行归档操作，然后再清空旧的日志文件。这么操作即可以保留历史纪录，又可能确保在用的日志文件容量不是很大。

　　但是ForeFront系统的日志文件有很多，如果一个个的进行归档，其工作量也比较大。为此在ForeFront系统中提供了一个命令行的工具(MpCMDRun –Getfiles)，来进行日志文件的存档工作。不过在使用这个文件的时候，需要注意两个文件。

　　一是通常情况下，其归档的只是系统的操作日志。ForeFront的日志文件根据其产生的过程，可以分为 安装日志与操作日志。一般情况下，安装日志后续不会有很大的变化(一般是安装或者升级过程中需要用到)，所以没有多大的归档必要。而操作日志则每天都可能在变化，容量也在与日俱进。所以从管理上来说，只有操作日志文件有归档的必要。系统提供的这个命令行工具，针对的也只是操作日志文件。

　　二是在归档操作日志文件的时候，其会忽略两个日志文件，分别为MPLog-daterange与MpSigstub日志文件。前者是扫描的资源、检测到的威胁和签名更新版本的日志。这个日志文件一般是由反恶意软件引擎所生成。第二个日志文件列出了反恶意软件服务的签名更新组件的活动。这两个文件通常情况下没有归档的必要。如果管理员觉得有必要归档的话，这需要手工进行归档，而不能够使用命令行工具。

　　技巧三：利用SQLServer数据库来分析ForeFront日志信息

　　虽然在ForeFront软件中，已经对日志进行了分类存放与管理。但是其日志的数量仍然非常的多。如果没有一款合适的日志管理、追踪、分析工具的话，要从这些日志信息中分析出有用的信息，仍然有不少的难度。此时即使信息量最大，对于管理员来说，价值也不大。总之管理员需要一款合适的ForeFront日志分析工具。

　　在这里，笔者推荐的是SQLServer数据库的日志记录和跟踪工具。在SQLServer数据库安装的时候，与工作站一起安装的还有一个报表分析工具(SQLServerProfiler)。它主要的用途就是以图形化的形式向管理员展示日志的相关信息。这与单纯的文字描述更加的直观、更加能够说明问题。简单的说，通过这款工具可以让问题更加的明朗化。在其帮助下，管理员可以让系统生成包含有用信息的跟踪日志。这有助于确定可能未正确生成报表的原因等等。

　　技巧四：利用MOM日志记录和追踪功能来提升日志文件的使用价值

　　MOM是ForeFront系统的一个核心部件之一，其可以针对恶意软件警报、与扫描关联的事件、以及代理系统的管理进行控制。这里顺便说一句，ForeFront系统中的MOM功能有一个特点，即所有从MOM服务器发送的任务都是以脚本方式运行的。注意这一点对于了解MOM服务器的维护非常重要。

　　MOM服务器上有一项非常重要的功能，它能够帮助管理员更好的使用系统产生的日志文件。这个功能就是追踪。注意，默认情况下并没有在管理服务器或者代理系统上启用追踪功能。不过笔者建议启动它。因为在某些特定的情况下，这个追踪功能非常的实用。如当方向ForeFront任务和脚本无法正常之时候，启用这个跟踪功能可以追踪到故障点，帮助管理员迅速定位问题的原因并解决它。

　　在启用这个功能的时候，以下两个细节的问题笔者认为需要引起各位的注意。

　　一是必须要同时在ForeFront代理和管理服务器上启用跟踪功能。否则的话，就无法跟踪到比较全面的信息。二是笔者前面说过，MOM服务器发送的任务都是以脚本方式运行的。为此有时候还需要启用脚本调试功能。以便于在脚本执行遇到问题时查找故障的原因。

　　技巧五：了解不同操作系统上日志文件的存储位置

　　笔者向来不喜欢Vista操作系统。不但是因为其性能比较差、对硬件要求高。最大的原因是因为其更以前的或者以后的操作系统存在相当大的变化。如对于ForeFront系统来说，在Vista操作系统上，跟其他操作系统其日志文件的默认存储位置是不同的。这让不少的管理员有时候难以适应。如在有需要的时候，找不到日志文件。

　　简单的说，在Vista操作系统上，日志文件是存储在应用程序文件夹中。而其他操作系统中日志文件则是存储中用户数据文件夹中。笔者认为后者更加的合理。因为在服务器更新换代或者重新安装的时候，只需要备份用户数据文件夹即可。

　　当然，这可能不同的人有不同的意见。以上这点只是笔者的一个浅见，以供大家参考。