/*
    SQLI-WIN-009 – Fejl i Windows' hændelseslog
    ============================================

    Hvad og hvorfor
        Fejl og kritiske hændelser i System- og Application-loggen: disk- og filsystemfejl, opbrugte ressourcer, tjenester
        der stopper eller ikke starter, programmer der går ned, fejl fra Dynamics AX' AOS – og almindelige fejl, der gentager sig.

    Tærskler (agentens appsettings.json)
        SQLInsight:Servers:EventLog:RepeatThreshold        standard 5    (en almindelig fejl skal ses så mange gange på 24 timer)
        SQLInsight:Servers:EventLog:Ignore                 ekstra støj: "Kilde:id", "Kilde" eller "Kilde*"
        SQLInsight:Servers:EventLog:MaxFindings            standard 15   (højst så mange fund pr. server, vigtigste først)
        SQLInsight:Servers:EventLog:MaxEventsPerCollection standard 2000 (hændelser pr. log pr. indsamling)
        Indbygget støjliste (ServerEventAnalysis.DefaultIgnore): DCOM 10016/10010, Schannel 36874/36887/36888, TPM-WMI 1796/1801,
        WMI 10, Security-SPP 8198, og SQL Server's egne kilder (MSSQLSERVER, MSSQL$*, SQLSERVERAGENT, SQLAgent$*,
        SQLISPackage*), som SQL Server-fejlloggen allerede dækker. Et fund holdes åbent 24 timer efter hændelsen sidst blev set.

    Alvor
        Høj: disk/filsystem, ressourcer, niveau Kritisk, tjeneste stoppet 3+ gange. Middel: tjeneste stoppet, program gik ned,
        Dynamics AX. Lav: almindelige fejl der gentager sig. (Uventet nedlukning: se SQLI-WIN-010.)

    Rettigheder på den overvågede server (db/permissions/grant-windows-server.ps1, aldrig lokal administrator)
        Event Log Readers (System- og Application-loggen; aldrig Security-loggen).
        Over RPC (MS-EVEN6): firewallreglerne "Remote Event Log Management". Fallback over CIM: WMI Remote Enable på root\cimv2.

    Understøttede versioner
        Windows Server 2008 R2 og nyere.

    Collector
        src/SQLInsight.Servers/CimWindowsServerSource.cs – Session.GetEventsAsync: EventLogReader med CimQueries.EventXPath,
        ellers CimQueries.EventQuery; hvert 5. minut (SQLInsight:Servers:Intervals:events) fra
        src/SQLInsight.Agent/Servers/ServerMonitor.cs – CollectEventsAsync. Gruppering og støjfilter:
        src/SQLInsight.Core/Servers/ServerEvents.cs – ServerEventAnalysis.Group/Recent/Categorize.
    Regel
        src/SQLInsight.Rules/Servers/WindowsServerRules.cs – WindowsEventLogRule

    Evaluering
        Hændelser med niveau 1 (kritisk) og 2 (fejl) siden sidste indsamling læses fra System og Application. Støj tælles,
        men grupperes ikke. Resten grupperes pr. log, kilde og hændelses-id med antal, første og seneste tidspunkt og den
        nyeste tekst som eksempel (følsom: vises kun lokalt, [udeladt] i API'et). Grupperne fra de seneste 24 timer lægges
        sammen. Vigtige kategorier giver fund med det samme, almindelige fejl først ved RepeatThreshold gentagelser.

    Reglen bruger ikke SQL. Forespørgslerne mod Windows står herunder; filen indeholder kun kommentarer og ændrer intet.

    Event Log (MS-EVEN6), XPath pr. log ('System' og 'Application'):
        *[System[(Level=1 or Level=2) and TimeCreated[@SystemTime>'2026-10-02T12:00:00.000Z']]]
    CIM/WQL fallback (namespace root\cimv2; EventType 1 = fejl, kritiske hændelser rapporteres som fejl):
        SELECT Logfile, SourceName, EventCode, EventType, TimeGenerated, RecordNumber, Message FROM Win32_NTLogEvent
        WHERE Logfile = 'System' AND EventType = 1 AND TimeGenerated > '20261002120000.000000+000'

    Efterprøv med PowerShell (skrivebeskyttet; kør på agentens server som agentens konto):
        Get-WinEvent -ComputerName SERVER -LogName System -FilterXPath "*[System[(Level=1 or Level=2) and TimeCreated[timediff(@SystemTime) <= 86400000]]]" |
            Group-Object ProviderName, Id | Sort-Object Count -Descending | Select-Object Count, Name
*/