Журнал событий windows xp

Со мною вот что происходит:

ко мне мой юзер не приходит,

а ходят в праздной суете

разнообразные не те…

(Песенка Windows о любимом юзере)

 

 

Что такое журнал событий

Всё, что происходит на ПК под управлением Windows (клик мыши, нажатие клавиши, запуск программы…), – это события (events). Наиболее важные (с точки зрения Windows!) события (например, неполадки оборудования, приложений и системы) фиксируются операционной системой в так называемых журналах событий.

 

 

Как просмотреть журналы событий

Windows Vista+: Пуск –> Панель управления –> Администрирование –> Просмотр событий.

 

Windows XP: Пуск –> Настройка –> Панель управления –> Администрирование –> Просмотр событий (или Пуск –> Выполнить –> в окне Запуск программы в текстовое поле Открыть введите eventvwr.msc /s–> нажмите OK).

 

Основные виды журналов:

журнал приложений (содержит данные, относящиеся к работе приложений и программ. Записи этого журнала создаются самими приложениями. События, вносимые в журнал приложений, определяются разработчиками соответствующих приложений);

журнал безопасности (содержит записи о таких событиях, как успешные и безуспешные попытки доступа в систему, а также о событиях, относящихся к использованию ресурсов, например, о создании, открытии и удалении файлов и других объектов. Решение о событиях, сведения о которых заносятся в журнал безопасности, принимает администратор. Например, после разрешения аудита входа в систему сведения обо всех попытках входа заносятся в журнал безопасности);

журнал системы (содержит записи о событиях, внесенные компонентами операционной системы Windows. Например, в журнале системы регистрируются сбои при загрузке драйверов или других системных компонентов при запуске системы).

 

В окне «Просмотр событий» отображаются события следующих типов:

ошибка (серьезные трудности, например, потеря данных или функциональности. Если происходит сбой загрузки службы при запуске, в журнал заносится сообщение об ошибке.

Консоль “Просмотр событий”

Записи об ошибках отмечаются красным кругом с белым крестиком внутри);

предупреждение (события, которые в момент записи в журнал не были существенными, но могут привести к сложностям в будущем. Например, если на диске осталось мало свободного места, в журнал заносится предупреждение. Предупреждения отмечаются жёлтым треугольником с чёрным восклицательным знаком);

уведомление (событие, описывающее удачное завершение действия приложением, драйвером или службой. Например, после успешной загрузки драйвера в журнал заносится событие уведомления. Уведомления отмечаются белым кругом с «хвостиком» и синей буквой «i» внутри);

аудит успехов (событие, соответствующее успешно завершенному действию, связанному с поддержкой безопасности системы. Например, в случае успешного входа пользователя в систему, в журнал заносится событие с типом «Аудит успехов»);

аудит отказов (событие, соответствующее неудачно завершённому действию, связанному с поддержкой безопасности системы. Например, в случае неудачной попытки доступа пользователя к сетевому диску в журнал заносится событие типа «Аудит отказов»).

 

 

Как использовать журналы событий для устранения неполадок

Тщательный анализ журналов событий помогает предотвратить неполадки в работе системы и определить причины их возникновения. Например, если в журнале присутствует предупреждение о том, что драйверу диска удаётся считать или записать какой-либо сектор только после нескольких попыток, то, возможно, этот сектор скоро станет непригодным для использования.

Журналы могут также помочь в разрешении вопросов, связанных с работой приложений. Например, если какая-то программа аварийно завершается, в журнале приложений, как правило, присутствуют записи о событиях, которые приводят к этому.

 

Чтение журналов событий – святая (ежедневная!) обязанность программистов и системных администраторов. Зачастую и рядовому пользователю просмотр этих журналов может сильно облегчить жизнь, сделав общение с ПК под управлением Windows более приятным и продуктивным!

Журналы событий Windows

Что такое журнал событий Windows?

Журналы событий это специальные файлы в которые система и приложения записывают значимые для вашего компьютера события, такие как события входа пользователей в систему или ошибки, возникающие при работе приложений. Когда возникают подобные типы событий, система Windows создает записи в журналах событий. В детальных описаниях событий пользователи могут найти информацию, полезную для устранения неисправностей, обнаружения причин проблем с системой, приложениями, оборудованием компьютера.

Журналы событий Windows это не текстовые файлы (не как UNIX syslog) и их нельзя просматривать и исследовать простыми текстовыми редакторами. Журналы событий Windows это бинарные файлы специального формата, похожие на файлы баз данных, состоящие из специальных записей — событий Windows.

Microsoft Windows запускает специальную службу (сервис) Журнал событий Windows для обслуживания задач, связанных с журналами событий — управления журналами событий, записью новых событий в журналы, обслуживанием запросов на чтение данных из журналов и т.п. Служба Журнал событий Windows предоставляет специальное API, которое позволяет приложениям работать с журналами событий.

Регистрация событий как стандартный системный механизм обеспечения безопасности и отказоустойчивости появилась в версии Microsoft Windows NT 3.1 в 1993 году. Начиная с этой версии в любой Windows присутствуют 3 основных журнала — журнал Приложения, журнал Система и журнал Безопасность. В современных версиях Windows и Windows Server число журналов может превышать сотню, так как теперь и приложения могут создавать свои собственные журналы, интегрированные в систему регистрации событий Windows.

Как просматривать журналы событий?

Просматривать и исследовать события Windows можно стандартным приложением Проосмотр событий или специальными программами, поставляемыми независимыми разработчиками.

Как посмотреть журнал ошибок в windows xp

Мы рекомендуем использовать нашу программу Event Log Explorer, которая дает существенно больше возможностей, чем стандартное приложение Просмотр событий.

Преимущества Event Log Explorer для администрирования IT-инфраструктуры и расследований инцидентов

Преимущества Event Log Explorer для руководителей

Что такое служба "Журнал событий Windows"?

Служба (сервис) "Журнал событий Windows" — это специальная служба (сервис) для управления событиями и журналами событий. Она поддерживает выполнение операций записи новых событий, чтения событий приложениями, подписки на событий, резервного копирования и архивирования журналов событий и т.п. По умолчанию, после установки системы Windows служба "Журнал событий Windows" включена и запускается автоматически. Не стоит останавливать или выключать эту службу. Остановка службы "Журнал событий Windows" может ухудшить стабильность и безопасность системы.

Что такое файлы журналов событий Windows?

Журналы событий Windows хранятся в специальных файлах с системном каталоге Windows. Служба (сервис) "Журнал событий Windows" позволяет пользователям сохранять журналы и делать резервные копии журналов в файлы. Windows NT, 2000 и XP/Server 2003 хранят журналы событий в файлах EVT формата. Windows Vista/Server 2008 и более новые системы хранят журналы событий в EVTX формате. Анализ файлов журналов событий и их резервных копия является основой расследования различных инцидентов.

Рабочие версии файлов журналов событий Windows обычно заблокированы системой, точнее службой "Журнал событий Windows" и их невозможно непосредственно открыть на живой, работающей системе.

Но если компьютер будет загружен другой системой с другого диска, то рабочие файлы журналов системы можно открыть или скопировать. Также их можно скопировать или открыть, если подключить системный диск к другому компьютеру. По умолчанию, файлы журналов событий Windows Vista/Server 2008 хранятся в каталоге
"C:\Windows\System32\winevt\Logs\"
Открыть файл журнала событий в приложении Просмотр событий Windows можно выполнив следующие шаги: 

Запустите приложение Просмотр событий.

Нажмите "Открыть сохраненный журнал" в панели "Действия", расположенной в правой части окна.

Найдите и выберите нужный вам файл в списке файлов, нажмите кнопку "Открыть" и его содержимое отобразиться в области просмотра событий в приложении. 

Наша программа Event Log Explorer также работает с файлами журналов событий и работает лучше, чем "Просмотр событий". Например, в Event Log Explorer вы можете прочитать данные даже из поврежденных файлов журналов событий.

Что такое журнал событий Приложения?

Журнал событий Приложений содержит события, сгенерированные приложениями, а не системой. Например, сервер базы данных может записывать ошибки, возникающие при его работе в журнал приложений. Разработчики программ сами решают какие события имеет смысл протоколировать в журнале событий Приложения. Например, Microsoft SQL Server протоколирует подробную информцию о важных аварийных ситуациях возникающих при работе SQL-сервера, таких как "недостаточно памяти", "сбой при резервном копировании базы данных" и т.д. При этом события, сгенерированные разными приложениями, попадают в единый журнал приложений. Приложения идентифицируются как разные "источники" в базовом свойстве событий. Поэтому несложно выделить события конкретного приложения. Также стоит учитывать что ID события (код события) тоже определяется приложением, сгенерировавшим событие и коды могут дублироваться для разных источников. Таким образом события определенного типа идентифицируются и источником и кодом, а не только кодом, как для других журналов, например для журнала Безопасность.

Что такое журнал событий Система?

Журнал событий Система содержит события, сгенерированные системными компонентами. Например, отказы драйверов или других системных компонентов при запуске системы записываются в системный журнал событий. Типы и коды событий системных компонентов предопределены разработчиками операционной системы Windows. Аналогично журналу приложений, системный журнал содержит события из разных источников (системных компонентов) и следует учитывать что конкретные события идентифицируются не только кодом, но источником. Журнал событий Система — важный источник информации при поиске причин отказов и проблем системными администраторами и техническими специалистами.

Что такое журнал событий Безопасность?

Журнал событий Безопасность содержит события, влияющие на безопасность системы. Это попытки (иудачные и неудачные) входа в аккаунты системы, использование ресурсов (файлов, реестра, устройств), управление учетными записями, изменения прав и привилегий аккаунтов, запуск и остановка процессов (программ) и т.д. Администратор может сконфигурировать какие категории событий необходимо регистрировать. Например, по умолчанию система сконфигурирована регистрировать события управления учетными записями, события входа в систему, а аудит доступа к объектам не включен. Стоит быть осторожным при настройке аудита доступа к файлам, то это может привести к появлению большого количества событий, что в свою очередь может негативно отразиться на общей производительности системы и быстрому переполнению журнала безопасности.
Подробнее про аудит событий безопасности можно прочесть тут.
Запись в журнал безопасности производится только системными компонентам, коды событий однозначно идентифицируют события. Журнал событий Безопасность является важным источником информации при расследовании инцидентов нарушения безопасности и его анализ актуален для администраторов безопасности, специалистов по информационной безопасности и специалистов по цифровой криминалистической экспертизе.

Консоль “Просмотр событий”

Консоль Просмотр событий позволяет отслеживать работу аппаратного и программного обеспечения, а также контролировать события службы безопасности Windows XP.

Событие — это любое значительное происшествие в работе системы. При возникновении многих внутренних системных событий во время работы Windows XP на экран выводятся сообщения об ошибках, вызванных различными причинами. В соответствующих журналах отображаются сведения о том, насколько то или иное событие опасно для системы в целом.

Если вы хотите знать, что на самом деле происходит во внутренней кухне Windows XP, вам непременно нужно просмотреть системные события, которые помогут найти часто зависающие программы, проблемные службы, выявить некоторые проблемы безопасности и т.д.

В Windows XP существуют различные типы файлов журналов, среди которых выделяются три стандартных.

  • Журнал приложений. Содержит события, зарегистрированные приложениями или программами. Журнал содержит ошибки и прочие события, определяемые разработчиком.
  • Журнал безопасности. Регистрирует события в работе системы безопасности. Журнал содержит такие события, как попытки входа в систему, использование системных ресурсов, создание, открытие и удаление файлов и прочие, определяемые системным администратором.
  • Журнал системы. Содержит записи, связанные с системными событиями, такими как запуск или выключение ПК, загрузка драйверов, ошибки и конфликты портов, оптических накопителей и аудиокарт. Регистрируемые события определяются Windows XP и не могут быть изменены пользователями и администратором.

Консоль Просмотр событий используется для выполнения таких задач.

  • Просмотр файлов журналов.
  • Сортировка, поиск и фильтрация событий.
  • Управление параметрами, влияющими на ведение записей в журнале.
  • Очистка журнала.
  • Архивирование журналов на диске для дальнейшего просмотра.

Работа с журналами

Для работы с журналами запустите консоль Просмотр событий из папки Администрирование (или раскройте меню Просмотр событий в консоли Управление компьютером).

В левой панели окна консоли выберите журнал для просмотра, содержимое которого будет показано в правой панели.

Создаем собственный журнал событий в Windows

Чтобы обновить содержимое журнала, можно использовать клавишу <F5>. Как правило, событие, которое произошло последним, располагается в верхней части списка.

Для изменения этого порядка на обратный выберите команду меню Вид>>От старых к новым. При необходимости выполните фильтрацию событий. В частности, на экран можно вывести события, произошедшие за определенный период, события, связанные с кодом или типом ошибок либо предупреждений. Для этого выберите команду меню Вид>>Фильтр. Укажите в диалоговом окне Свойства параметры поиска.

Для поиска в журнале того или иного события выберите команду меню Вид>>Найти и укажите в диалоговом окне Поиск-локальный параметры поиска. Для получения дополнительных сведений о каком-либо событии дважды щелкните на нем на правой панели окна консоли. Отобразится диалоговое окно Свойства: Событие, которое содержит сведения о выбранном событии.

Параметры журналов событий

Журналы событий могут принести огромную пользу для обнаружения неисправностей и прогнозирования возможных отказов в работе аппаратного обеспечения и всей системы. Наибольшую помощь журнал может оказать при поиске скрытых дефектов и неполадок в работе программного обеспечения.

Для использования журналов в качестве мощного инструмента предотвращения неполадок следует иметь представление о параметрах, которые отображаются в журналах.

В журналах регистрируется пять следующих видов событий.

  • Ошибка. Событие высшей категории, отображающее регистрацию серьезного события.
  • Предупреждение. Не самое серьезное событие, которое со временем может привести к ошибкам и переводу события в высшую категорию.
  • Уведомление. Несерьезное событие, которое свидетельствует об успешном завершении операции приложением, драйвером или службой.
  • Аудит успехов. Свидетельствует об успешном выполнении процедуры.
  • Аудит отказов. Свидетельствует о сбое при выполнении процедуры. Такие события нередко свидетельствуют о попытках доступа к ресурсам системы без соответствующих прав.

Каждый файл журнала представляет собой базу данных, состоящую из восьми столбцов, описанных далее.

  • Тип. Отображает один из пяти типов события.
  • Дата. Указывает дату регистрации события.
  • Время. Сообщает время регистрации события.
  • Источник. Указывает источник, который привел к регистрации события.
  • Категория. Отображает классификацию событий. Каждый из трех типов журналов имеет свою категорию.
  • Событие. Сообщает идентификационный номер события. Идентификатор присваивается событию на основе системы кодирования Microsoft. Каждому идентификатору соответствует определенный файл сообщения, причем это сообщение можно просмотреть в окне описания событий.
  • Пользователь. Содержит название учетной записи пользователя, от имени которого производились действия, вызвавшие генерацию событий. Многие события связаны с определенными пользователями, и их имена указаны в этом поле. Информация особенно полезна для отслеживания событий в системе безопасности.
  • Компьютер. Указывает компьютер, на котором зарегистрировано событие. Значения в этом столбце отличаются в тех случаях, когда программа используется для обработки данных, экспортированных из различных журналов. Для экспорта журнала выберите название журнала и воспользуйтесь командой меню ДействиеðЭкспортировать список.

Существует ряд настроек, управляющих параметрами регистрации событий в журнале. Для просмотра или изменения параметров файла журнала щелкните правой кнопкой мыши на значке одного из журналов на левой панели окна консоли и выберите команду Свойства, после чего перейдите на вкладку Общие.

Когда объем журнала достигнет максимального значения, новые события не будут регистрироваться. Поэтому журнал можно периодически очищать с помощью команды меню Действие>>Стереть все события, но в этом обычно нет необходимости, поскольку на вкладке Общие по умолчанию выбрано удаление всех событий, старше 7 дней. Большинство базовых параметров, указанных на этой вкладке, вполне приемлемы для большинства случаев. При наличии особых условий можно изменить некоторые параметры и сохранить зарегистрированные события, выбрав переключатель По достижении максимального размера журнала в положение Не затирать события (очистка журнала вручную).

Консоль Просмотр событий может показаться безмерно скучной, но, если вникнуть в нее как следует, она принесет свои безусловные плоды. Например, вы сможете наповал поразить своими знаниями девушку на первом свидании, после чего она непременно захочет встретиться с вами снова 😉

22.07. Раздел Оптимизация

Переход в журнал событий в Windows 7

Добавить комментарий

Ваш e-mail не будет опубликован. Обязательные поля помечены *