Как проверить журналы событий в Windows
- TryHarder
- 20-май-2023, 15:27
Средство просмотра событий - это административный инструмент, который записывает события, происходящие на вашем компьютере. Когда система или приложение сталкивается с какими-либо ошибками или проблемами безопасности, в журналах событий будет содержаться информация, вызвавшая проблему. Хотя это не решает проблему, журналы событий предоставляют необходимую информацию для начала процесса устранения неполадок.
В окне просмотра событий вы увидите три панели. Левая сторона - это панель навигации, средняя отображает сведения о событии, а правая сторона предназначена для выполнения действий, таких как сохранение или загрузка журналов событий.
Панель навигации - это левая боковая панель, где журналы событий распределены по трем определенным папкам. Эти папки являются общими во всех версиях и выпусках Windows. Это пользовательские представления, журналы Windows, а также журналы приложений и служб.
Журналы Windows отслеживают каждое событие из ОС Windows и содержат список следующих категорий журналов событий:
Журналы приложений и служб содержат события из подключений к оборудованию / оповещений, сторонних приложений и событий PowerShell.
Наконец, любой пользовательский фильтр, который вы создаете с помощью панели действий, будет сохранен в журнале событий пользовательских представлений. По умолчанию в этом разделе будет подкатегория с именем Административные события. Вы можете использовать это для просмотра всех критических событий, предупреждений и ошибок из журнала.
Пользовательские журналы событий с именем Административные события создаются автоматически во всех версиях Windows.
На панели навигации, если вы нажмете на средство просмотра событий (локальное), вы получите обзор и сводку на панели сведений. Здесь вы можете получить краткий обзор всех административных событий, недавно просмотренных журналов и сводку журнала.
На панели "События" отображается список записанных журналов событий и уровень записанного события, является ли оно информацией, предупреждением, ошибкой или критическим. Среди них журналы событий, указывающие на ошибку, должны иметь высокий приоритет и должны быть изучены немедленно.
Если дважды щелкнуть по событиям, откроется новое диалоговое окно со всеми свойствами события. Он содержит описание журнала вместе с многочисленными записями. Среди этих записей имя журнала, источник, идентификатор события, зарегистрированные, уровень и код операции являются одними из важнейших.
Действия с событиями позволяют выполнять такие действия, как сохранение журналов, открытие сохраненных журналов, создание пользовательского представления, очистка журналов событий, фильтрация текущих журналов и просмотр свойств выбранного журнала.
Сохранение журналов событий позволяет получить подробную информацию о событиях и просмотреть их на другом компьютере. Для сохранения журналов в средстве просмотра событий,
Чтобы открыть сохраненные журналы,
.evtx
, .evt
или .etl
расширением.Как только вы откроете сохраненные журналы, на панели просмотра событий, расположенной с левой стороны, появится категория журналов с именем Сохраненные журналы.
Фильтруя журналы, программа просмотра событий извлекает события, которые не соответствуют свойствам события, установленным в пользовательском фильтре. Чтобы установить фильтр в программе просмотра событий,
Создание пользовательского представления работает аналогично фильтрации журналов событий. Однако при создании пользовательских журналов будет создана новая категория журналов в пользовательских представлениях. Создание пользовательского представления может быть особенно удобно, когда вы хотите просматривать только отфильтрованные журналы событий.
Административные события в пользовательских представлениях фильтруют все критические события, предупреждения и ошибки из всей истории журнала. Поэтому это первое, что вам нужно проверить, когда система выдает ошибку или вылетает.
Пользовательские журналы событий с именем Административные события создаются автоматически во всех версиях Windows.
eventvwr
и нажмите OK. Период хранения по умолчанию для событий в одной категории журналов событий составляет около 20 МБ. И поскольку эти журналы событий вводятся в соответствии с политикой FIFO (Первый вход - первый выход), записи, записанные первыми, удаляются первыми, когда они достигают предела в 20 МБ.
Однако вы можете увеличить размер хранилища программы просмотра событий, если хотите записать больше журналов событий.
Здесь вы также можете проверить текущий размер журнала, созданные, измененные и доступные данные, путь к журналу и что делает система при достижении максимального размера журнала событий.