调查要监控的信息：

用户无法在远程系统上执行特定服务，但是又不知道如何找出问题。她的确知道造成问题的服务名称 (也就是“TROUBLE”)，但她不知道服务记录的内容。这个服务在 UNIX 系统上执行。

她创建了 Syslog 信息事件，称为“Trouble Daemon Events”，她设置请求匹配所有设备和所有严重性，然后在要匹配的字符串字段中添加：TROUBLE

如此一来，系统就会匹配来自 TROUBLE 这个服务的所有信息，也就是她要调查的服务。

接着她将这个被动监控工具应用到执行 TROUBLE 服务的所有设备。由于我们只是要调查，因此并没有为这个监控工具设定任何操作。最终结果是让我们在月底检视 Syslog 日志，寻找有无 TROUBLE 信息可用来建立功能更深入的被动监控工具。