调查要监控的信息：
用户无法在远程系统上执行特定服务，但是又不知道如何找出问题。他的确知道造成问题的服务名称 (也就是“TROUBLE”)，但他不知道服务记录文件的信息内容。这个服务在 UNIX 系统上执行。
他建立了 Syslog 信息事件，叫做“Trouble Daemon Events”，他设定请求匹配所有设备和所有严重性，并且在要匹配的字符串字段中输入：TROUBLE
如此一来，系统就会匹配来自 TROUBLE 这个服务的所有信息，也就是他要调查的服务。
接着他将这个被动监控工具应用到执行 TROUBLE 服务的所有设备。由于我们只是要调查，因此并没有为这个监控工具设定任何操作。最终结果是让我们在月底检视 Syslog 记录文件，寻找有无 TROUBLE 信息可用来建立功能更深入的被动监控工具。