Где находиться журнал событий windows. Где находиться журнал событий windows Windows 7 журнал запуска приложений

Здравствуйте читатели блога компании КомСервис (г. Набережные Челны). В этой статье рассмотрим журнал событий Windows 7. Операционная система записывает практически всё, что с ней происходит в этот журнал. Просматривать его удобно с помощью приложения Просмотр событий, которое устанавливается вместе с . Сказать что записываемых событий много — ничего не сказать. Их тьма. Но, запутаться в них сложно так как все отсортировано по категориям.

Благодаря журналу событий специалистам и простым пользователям гораздо легче найти ошибки и исправить ее. Говоря легче я не имел в виду легко . Практически всегда для исправления повторяющейся ошибки придется сильно и перечитать кучу материала. Иногда это стоит того, что бы избавиться от нестандартного поведения операционной системы.

Утилита по умолчанию имеет следующий вид

Многое здесь можно настроить под себя. Например с помощью кнопок под областью меню можно скрыть или отобразить Дерево консоли слева и панель Действия справа

Область по центру внизу называется Областью просмотра. В ней показываются сведения о выбранном событии. Ее можно убрать сняв соответствующую галочку в меню Вид или нажав на крестик в правом верхнем углу области просмотра

Главное поле находится по центру вверху и представляет из себя таблицу с событиями журнала который вы выбрали в Дереве консоли. По умолчанию отображаются не все столбцы. Можно добавить и поменять их порядок отображения. Для этого по шапке любого столбца жмем правой мышкой и выбираем Добавить или удалить столбцы…

В открывшемся окошке в колонку Отображаемые столбцы добавляете необходимые столбики из левого поля

Для изменения порядка отображения столбцов в правом поле выделяем нужный столбец и с помощью кнопок Вверх и Вниз меняем месторасположение.

2. Свойства событий

Каждый столбец это определенное свойство события. Все эти свойства отлично описал Дмитрий Буланов . Приведу скриншот. Для увеличения нажмите на него.

Устанавливать все столбцы в таблице не имеет смысла так как ключевые свойства отображаются в области просмотра. Если последняя у вас не отображается, то дважды кликнув левой кнопкой мышки на событие в отдельном окошке увидите его свойства

На вкладке Общие есть описание этой ошибки и иногда способ ее исправления. Ниже собраны все свойства события и в разделе Подробности дана ссылка на Веб-справку по которой возможно будет информация по исправлению ошибки.

3. Журналы событий

Key Management Service — записываются события службы управления ключами. Разработана для управления активациями корпоративных версий операционных систем. Журнал пуст так как на можно обойтись без нее.

У журналов так же есть свои Свойства. Что бы их посмотреть жмем правой кнопкой мышки на журнале и в контекстном меню выбираем Свойства

В открывшихся свойствах вы видите Полное имя журнала, Путь к файлу журнала его размер и даты создания, изменения и когда он был открыт

Так же установлена галочку Включить ведение журнала. Она не активна и убрать ее не получится. Посмотрел эту опцию в свойствах других журналов, там она так же включена и неактивна. Для журнала События оборудования она точно в таком же положении и журнал не ведется.

В свойствах можно задать Максимальный размер журнала (КБ) и выбрать действие при достижения максимального размера. Для серверов и других важных рабочих станций скорее всего делают размер журналов по больше и выбирают Архивировать журнал при заполнении, что бы можно было в случае нештатной ситуации отследить когда началась неисправность.

4. Работа с журналами событий Windows 7

Работа заключается в сортировке, группировке, очистке журналов и создании настраиваемых представлений для удобства нахождения тех или иных событий.

Сортировка событий

Выбираем любой журнал. Например Приложение и в таблице по центру кликаем по шапке любого столбца левой кнопкой мышки. Произойдет сортировка событий по этому столбцу

Если вы еще раз нажмете то получите сортировку в обратном направлении. Принципы сортировки такие же как и для проводника Windows. Ограничения в невозможности выполнить сортировку более чем по одному столбцу.

Группировка событий

Для группировки событий по определенному столбцу кликаем по его шапке правой кнопкой мышки и выбираем Группировать события по этому столбцу. В примере события сгруппированы по столбцу Уровень

В этом случае удобна работать с определенной группой событий. Например с Ошибками. После группировки событий у вас появится возможность сворачивать и разворачивать группы. Это можно делать и в самой таблице событий дважды щелкнув по названию группы. Например по Уровень: Предупреждение (74).

Для удаления группировки необходимо снова кликнуть по шапке столбца правой кнопкой мышки и выбрать Удалить группировку событий.

Очистка журнала

Если вы исправили ошибки в системе приводившие к записи событий в журнале, то вероятно вы захотите очистить журнал, что бы старые записи не мешали диагностировать новые состояния компьютера. Для этого нажимаем правой кнопкой на журнале который нужно очистить и выбираем Очистить журнал…

В открывшемся окошке мы можем просто очистить журнал и можем Сохранить его в файл перед очищением

Настраиваемые представления

Настроенные сортировки и группировки пропадают при закрытии окошка Просмотр событий. Если вам приходится часто работать с событиями то можно создать настраиваемые представления. Это определенные фильтры которые сохраняются в соответствующем разделе дерева консоли и никуда не пропадают при закрытии Просмотра событий.

Для создания настраиваемого представления нажимаем на любом журнале правой кнопкой мышки и выбираем Создать настраиваемое представление…

В открывшемся окошке в разделе Дата выбираем из выпадающего списка диапазон времени за который нам нужно выбирать события

В разделе Уровень события ставим галочки для выбора важности событий.

Мы можем сделать выборку по определенному журналу или журналам или по источнику . Переключаем радиобокс в нужное положение и из выпадающего списка устанавливаем необходимые галочки

Можно выбрать определенные коды событий что бы они показывались или не показывалась в созданном вами представлении.

Когда все параметры представления выбрали жмем ОК

В появившемся окошке задаем имя и описание настраиваемого представления и жмем ОК

Для примера создал настраиваемое представление для Ошибок и критических событий из журналов Приложение и Безопасность

Это представление в последствии можно редактировать и оно никуда не пропадет при закрытии утилиты Просмотр событий. Для редактирования нажимаем на представлении правой кнопкой мышки и выбираем Фильтр текущего настраиваемого представления…

В открывшемся окошке делаем дополнительные настройки в представлении.

Можно провести аналогию Настраиваемого представления с сохраненными условиями в проводнике Windows 7.

Заключение

В этой статье мы рассмотрели журнал событий Windows 7. Рассказали про практически все основные операции с ним для удобства нахождения событий об ошибках и критических событий. И тут возникает закономерный вопрос — «А как же исправлять эти ошибки в системе». Здесь все сильно сложнее. В сети информации мало и поэтому возможно придется затратить уйму времени на . Поэтому, если работа компьютера в целом вас устраивает, то можно этим не заниматься. Если же вы хотите попробовать поправить смотрите видео ниже.

Так же с помощью журнала событий можно провести диагностику медленной загрузки Windows 7 .

Буду рад любым комментариям и предложениям.

Благодарю за то, что поделились статьей в социальных сетях. Всего Вам Доброго!

Windows 7 и Windows 10 постоянно следит за появлением в системе любых необычных или заслуживающих внимания ситуаций, наподобие не запущенной службы, установки устройства или ошибки в приложении. Все эти ситуации называются событиями и регистрируются в нескольких различных журналах.

Например, в журнале Приложение сохраняются события, связанные с работой приложений, причем как программ самой Windows 7, так и приложений сторонних производителей, а в журнале Система - события, генерируемые системой Windows 7, 10 и компонентами типа драйверов устройств и системных служб.

Как открыть журнал событий windows

Чтобы открыть журнал событий в windows, щелкните на кнопку Пуск , введя в поле поиска строку просмотр событий и нажав клавишу <Enter >. На рисунке ниже показано, как выглядит домашняя страница этой оснастки, на которой отображается журнал событий windows, перечень недавно просматривавшихся узлов и разнообразные доступные действия.

Просмотр журнала событий Windows

В панели справа предлагается три раздела: Настраиваемые представления, Журналы Windows и Журналы приложений и служб.

В разделе Настраиваемые представления перечислены все определенные в текущей системе виды событий (которых более подробно рассматриваются чуть позже). В случае выполнения фильтрации в каком-то из журналов событий или создания нового представления событий, новое представление сохраняется именно в этом разделе.

В разделе Журналы Windows отображается несколько подразделов, четыре из которых представляют основные журналы, которые ведет сама система.

В журналы событий Приложение и Система следует заглядывать регулярно для своевременного выявления любых существующих проблем и предупреждений о том, что какие-то проблемы могут появиться в будущем. Журнал Безопасность не является важным для каждодневной процедуры обслуживания. В него нужно заглядывать только при наличии подозрений в нарушении безопасности компьютера, например, для выяснения того, кто входит в систему.

В журнале Система фиксируются ошибки драйверов устройств, но в Windows 7 доступны и другие инструменты, позволяющие более простым образом изучать проблемы с устройствами. Например, диспетчер устройств, который, отображает значок для тех устройств, с которыми возникли проблемы, и позволяет просматривать описание этих проблем, открывая ведомости свойств устройств. Также есть утилита Сведения о системе (Msinfo32.exe ), которая отражает сведения обо всех неполадках с оборудованием в разделах Сведения о системе > Аппаратные ресурсы > Конфликты и совместное использование и Сведения о системе > Компоненты > Устройства с неполадками .

При выборе того или иного журнала в центральном окне появляется список всех доступных в данном журнале событий вместе с информацией о дате и времени, когда произошло каждое событие, его источнике, типе (Сведения, Предупреждение или Ошибка) и другими подобными сведениями. Ниже перечислены основные интерфейсные изменения и новые функциональные возможности, которые появились в оснастке Просмотр событий в Windows.

• В панели Область просмотра основные данные о событиях теперь отображаются на вкладке Общие, а дополнительные более конкретные - на вкладке Подробности. Эту панель можно включать и выключать, выбирая в меню Вид пункт Область просмотра.
• Данные о событиях теперь хранятся в формате XML. Просматривать их схему можно, выбирая переключатель Режим XML на вкладке Подробности внутри панели Область просмотра.
• Команда Фильтр теперь позволяет генерировать запросы в формате XML.
• Щелчок на ссылке Создать настраиваемое представление теперь позволяет создавать новое представление на основании того или иного журнала событий, конкретного типа событий, идентификатора события и т.д.
• К событиям теперь можно привязывать задачи, выполняя щелчок сначала на интересующем событии, а потом на ссылке Привязать задачу к событию и затем создавая с помощью соответствующего мастера нужную задачу, которая предусматривает либо запуск какой-то программы или сценария, либо отправку электронного сообщения при каждом возникновении данного события.
• Избранные события теперь можно сохранять в файле формата Event File (.elf).

Наиболее распространенные сферы деятельности, специально для которых созданы профильные программные продукты. 1с 8 онлайн - это регламентированный учёт, торговый и складской учёт, управленческий учёт и комплексные решения

В разделе Журналы приложений и служб перечисляются программы, компоненты и службы, для которых поддерживается стандартный формат регистрации событий, что является новинкой в Windows 7. Раньше журналы всех элементов в этом разделе сохранялись в отдельных текстовых файлах, к которым нельзя было получать доступ в более старых версиях оснастки Просмотр событий кроме как путем специального открытия журнального файла.

Всем огромный привет!!

Не для кого уже не секрет что в операционной системе Windows СЕМЬ, точно так же как и в Windows Vista, есть две категории журналов событий: журналы приложений и служб а также журналы Windows.

Журналы Windows - операционная система использует для регистрации общесистемных событий, которые связаны с работой системных компонентов, приложений, безопасностью и запуском. Журналы же приложений и служб - приложениями и службами используются для регистрации событий, которые связаны с их работой. Чтобы управлять журналами событий можно использовать оснастку "Просмотр событий" либо программу командной строки wevtutil
Хочу остановиться на том, как можно работать с журналами событий:
Для того, чтобы просмотреть эти самые события журнала приложений нам необходимо выполнить следующие действия:
Выбрать "Журналы Windows" в дереве консоли.
Выбрать журнал "Приложения".
При возможности желательно почаще просматривать журналы событий "Система"и "Приложение" и изучать имеющееся проблемы и предупреждения, которые могут предсказать о проблемах в будущем. В среднем окне при выборе журнала отображаются доступные события, включая дату события, уровень события, время и источник, и другие данные.
На панели "Область просмотра" показываются данные о событиях на вкладке "Общие", а на вкладке "Подробности"- дополнительные специфические данные.

Эту панель можно включить и выключить, если выбрать меню "Вид", и затем команду "Область просмотра".
Рекомендовано хранить журналы за несколько последних месяцев для критических систем. Все время журналам назначать такой размер, чтобы умещалась в них вся информация, как правило, не совсем удобно, и поэтому эту задачу решить можно по-другому. Журналы можно экспортировать в файлы,которые распложены в заданной папке. Чтобы сохранить выбранный журнал надо выполнить следующие действия:
Выберите журнал событий, который необходимо сохранить в дереве консоли;
Выбирайте команду "Сохранить события как" из меню "Действие" либо выберите команду "Сохранить все события как"из контекстного меню журнала;
В диалоге "Сохранить как" выбирайте папку, в которую файл должен быть сохранен. Если надо в новой папке сохранить файл, то можно ее создать прямо из этого диалога, используя контекстное меню либо на панели действий кнопку "Новая папка". В поле "Тип файла" необходимо из доступных выбрать желаемый формат файла: файлы событий - *.evtx, xml-файл - *.xml, текст с разделением табуляции - *.txt, csv с разделением запятыми - *.csv. В поле "Имя файла" вводите имя и нажимайте на кнопку "Сохранить". Нажмите на кнопку "Отмена" для отмены сохранения.
В случае, если журнал событий для просмотра на другом компе не предназначен, оставьте заданный по умолчанию вариант "Не отображать сведения" в диалоговом окне "Отображать сведения", а если журнал для просмотра на другом компьютере предназначается, то в диалоговом окне "Отображать сведения" выбирайте вариант "Отображать сведения для следующих языков" и жмите на кнопку "ОК".
Как работать с журналами событий:
Просмотр событий
Если хотите просмотреть события журнала приложений, выполняйте эти действия:
Выберите "Журналы Windows" в дереве консоли;
Выберите журнал "Приложения".
Желательно просматривать журналы событий "Система" и "Приложение" и изучать имеющиеся проблемы и предупреждения. При выборе журнала отображаются доступные события в среднем окне.
Панель "Область просмотра" покажет на вкладке "Общие"основные данные о событиях, а дополнительные данные отоброзятся на вкладке "Подробности". Включить и выключить можно эту панель, выбрав меню "Вид"и команду "Область просмотра".
Рекомендуется для критических систем хранить журналы за последние месяцы.

Все время такой размер назначать журналам, чтобы в них вся информация умещалась, как правило, неудобно, решить задачу эту можно по-другому. Можете экспортировать журналы в файлы, которые распложены в заданной папке.Чтобы сохранить выбранный журнал выполните действия:
В дереве консоли выбирайте журнал событий, который надо сохранить;
Выбирайте команду "Сохранить события как" из меню "Действие" или выберите команду "Сохранить все события как" из меню журнала;
В диалоге "Сохранить как" выбирайте папку, в которой файл должен быть сохранен. Если файл требуется сохранить в новой папке, то можно ее создать из этого диалога, используя контекстное меню либо на панели действий кнопку "Новая папка". В поле "Тип файла" выбирайте нужный формат файла из предложенных: файлы событий - *.evtx, текст с разделением табуляции - *.txt,
xml-файл - *.xml,
csv с разделением запятыми - *.csv. В поле "Имя файла" ввести имя и жмите на кнопку "Сохранить". Для отмены сохранения жмите на "Отмена"; В том случае, если не предназначается для просмотра на другом компьютере журнал событий, в диалоговом окне "Отображать сведения" оставьте вариант "Не отображать сведения" заданный по умолчанию, а если предназначается для просмотра на другом компьютере журнал, то в диалоговом окне "Отображать сведения" выбирайте вариант "Отображать сведения для следующих языков" и жмите "ОК".
Очистка журнала событий
Выберите журнал событий в дереве консоли, который надо очистить; Очистите журнал одним из способов:
В меню "Действие" выбирайте команду "Очистить журнал"
На выбранном журнале нажмите для открытия контекстного меню правой кнопкой. В контекстном меню выбирайте команду "Очистить журнал"
Далее можно очистить журнал или заархивировать его в случае, если это ранее не было сделано:
Если журнал событий очистить без сохранения жмите на кнопку "Очистить";
Чтоб журнал событий очистить после его сохранения жмите на "Сохранить и очистить". В диалоге "Сохранить как" выбирите папку, в которую файл должен быть сохранен. Если требуется в новой папке сохранить файл, то можно ее создать из этого диалога, используя контекстное меню либо на панели действий кнопку "Новая папка" . В поле "Имя файла" вводите имя и жмите на "Сохранить". Для отмены сохранения жать "Отмена".Уф вроде все но если не понятно то жду ваших коментариев.

На этом Все и до новых встреч....

Это может быть служба, которая не хочет запускаться, установка устройства или ошибка в работе приложения. События регистрируются и сохраняются в журналах событий Windows и предоставляют важные хронологические сведения, помогающие вести мониторинг системы, поддерживать ее безопасность, устранять ошибки и выполнять диагностику. Необходимо регулярно анализировать информацию, содержащуюся в этих журналах. Вам следует регулярно следить за журналами событий и настраивать операционную систему на сохранение важных системных событий. В том случае, если вы администратор серверов , то необходимо следить за безопасностью их систем, нормальной работой приложений и сервисов, а также проверять сервер на наличие ошибок, способных ухудшить производительность. Если вы пользователь персонального компьютера, то вам следует убедиться в том, что вам доступны соответствующие журналы, необходимые для поддержки своей системы и устранения ошибок.

Программа "Просмотр событий" представляет собой оснастку консоли управления (MMC) и предназначена для просмотра и управления журналами событий. Это незаменимый инструмент для наблюдения за работоспособностью системы и устранения возникших неполадок. Служба , которая управляет протоколированием событий, называется "Журнал событий". В том случае, если она запущена, Windows записывает важные данные в журналы. При помощи программы "Просмотр событий" вы можете выполнять следующие действия:

Просматривать события определенных журналов;
Применять фильтры событий и сохранять их для последующего использования в виде настраиваемых представлений;
Создавать подписки на события и управлять ими;
Назначать выполнение конкретных действий на возникновение определенного события.

Запуск приложения "Просмотр событий"

Приложение "Просмотр событий" можно открыть следующими способами:
Нажмите на кнопку "Пуск" для открытия меню, откройте "Панель управления", из списка компонентов панели управления выберите "Администрирование" и из списка административных компонентов стоит выбрать "Просмотр событий";
Откройте "Консоль управления MMC". Для этого нажмите на кнопку "Пуск", в поле поиска введите mmc, а затем нажмите на кнопку "Enter". Откроется пустая консоль MMC. В меню "Консоль" выберите команду "Добавить или удалить оснастку" или воспользуйтесь комбинацией клавиш Ctrl+M. В диалоге "Добавление и удаление оснасток" выберите оснастку "Просмотр событий" и нажмите на кнопку "Добавить". Затем нажмите на кнопку "Готово", а после этого - кнопку "ОК";
Воспользоваться комбинацией клавиш WIN +R для открытия диалога "Выполнить". В диалоговом окне "Выполнить", в поле "Открыть" введите eventvwr.msc и нажмите на кнопку "ОК";(От себя добавлю:На фиг эти заморочки?Просто жмете ПУСК-ПОИСК и тупо РУССКИМИ БУКВАМИ вводите ЖУРНАЛ СОБЫТИЙ. Закрепляете если надо на панель задач и смотрите этот журнал.

Журналы событий в Windows 7

В операционной системе , так же как и в Windosw Vista, существуют две категории журналов событий: журналы и журналы приложений и служб. Журналы - используются операционной системой для регистрации общесистемных событий, связанных с работой приложений, системных компонентов, безопасностью и запуском. А журналы приложений и служб - используются приложениями и службами для регистрации событий, связанных с их работой. Для управления журналами событий можно использовать оснастку "Просмотр событий" или программу командной строки wevtutil, о которой будет рассказано во второй части статьи. Все типы журналов описаны ниже:
Приложение - хранит важные события, связанные с конкретным приложением. Например, Exchange Server сохраняет события, относящиеся к пересылке почты, в том числе события информационного хранилища, почтовых ящиков и запущенных служб. По умолчанию помещается в %SystemRoot%\System32\Winevt\Logs\Application.Evtx.

Безопасность - хранит события, связанные с безопасностью, такие как вход/выход из системы, использование привилегий и обращение к ресурсам. По умолчанию помещается в %SystemRoot%\System32\Winevt\Logs\Security.Evtx

Установка - в этот журнал записываются события, возникающие при установке и настройке операционной системы и ее компонентов. По умолчанию размещается в %SystemRoot%\System32\Winevt\Logs\Setup.Evtx.

Система - хранит события операционной системы или ее компонентов, например неудачи при запусках служб или инициализации драйверов, общесистемные сообщения и прочие сообщения, относящиеся к системе в целом. По умолчанию помещается в %SystemRoot%\System32\Winevt\Logs\System.Evtx

Пересылаемые события - если настроена пересылка событий, в этот журнал попадают события, пересылаемые с других серверов. По умолчанию помещается в %SystemRoot%\System32\Winevt\Logs\ForwardedEvents.Evtx

Internet Explorer - в этот журнал записываются события, возникающие при настройке и работе с браузером Internet Explorer. По умолчанию помещается в %SystemRoot%\System32\Winevt\Logs\InternetExplorer.Evtx

Windows PowerShell - в этом журнале регистрируются события, связанные с использованием оболочки PowerShell. По умолчанию размещается в %SystemRoot%\System32\Winevt\Logs\WindowsPowerShwll.Evtx

События оборудования - если настроена регистрация событий оборудования, в этот журнал записываются события, генерируемые устройствами. По умолчанию помещается в %SystemRoot%\System32\Winevt\Logs\HardwareEvent.Evtx

В Windows 7 инфраструктура, обеспечивающая регистрацию событий, основана также как и в Windows Vista на XML. Данные о каждом событии соответствуют XML-схеме, что позволяет получить доступ к XML-коду любого события. Кроме того, можно создавать основанные на XML запросы для получения данных из журналов. Для использования этих новых возможностей не требуются знания об XML. Оснастка "Просмотр событий" предоставляет простой графический интерфейс для доступа к этим возможностям.

Свойства событий

Существует несколько свойств событий оснастки "Просмотр событий", которые подробно описаны немного ниже:
Источник - это программа, зарегистрировавшая событие в журнале. Это может быть как имя программы (например, "Exchange Server"), так и название компонента системы или большого приложения (например, имя драйвера). Например, "Elnkii" означает драйвер EtherLink II.

Код события - это число, определяющее конкретный тип события. В первой строке описания обычно содержится название типа события. Например, 6005 - это идентификатор события, которое происходит при запуске службы ведения журналов событий. Соответственно, в начале описания этого события находится строка "Запущена служба журнала событий". Код события и имя источника записи могут использоваться представителями группы поддержки программного продукта для устранения неполадок.

Уровень - это уровень важности события. В журналах системы и приложений события могут иметь следующие уровни важности:

Уведомление - обозначает изменение в приложении или компоненте, такое как возникновение информационного события, связанного с успешным действием, создание ресурса или запуск службы.
Предупреждение - обозначает предупреждение общего характера на неполадку, способную повлиять на службу или привести к более серьезной проблеме, если оставить ее без внимания;
Ошибка - обозначает, что возникла проблема, которая может повлиять на функции, внешние по отношению к приложению или компоненту, вызвавшим событие;
Критическая ошибка - обозначает, что произошел сбой, после которого приложение или компонент, инициировавшие событие, не могут восстановиться автоматически;
Аудит успехов - успешное выполнение действий, которые вы отслеживаете через аудит, например использование какой-либо привилегии;
Аудит отказов - неудачное выполнение действий, которые вы отслеживаете через аудит, например ошибка при входе в систему.
Пользователь - определяет учетную запись пользователя, от имени которого возникло данное событие. К пользователям относятся особые сущности, например Local Service, Network Service и Anonymous Logon, а также учетные записи реальных пользователей. Это имя представляет собой идентификатор клиента, если событие фактически было вызвано серверным процессом, или основной идентификатор, если олицетворение не производится. В некоторых случаях запись журнала безопасности содержит оба идентификатора. А также в этом поле может стоять N/A (Н/Д), если в данной ситуации учетная запись неприменима. Олицетворение происходит в случаях, когда сервер позволяет одному процессу присвоить атрибуты безопасности другого процесса.

Рабочий код - содержит числовое значение, которое определяет операцию либо точку в пределах операции, при выполнении которой возникло данное событие. Например, инициализация или закрытие.

Журнал - имя журнала, в который было записано данное событие.

Категория и задачи - определяет категорию события, иногда используемую для последующего описания допустимого действия. У каждого источника событий свои категории. Например следующие категории: вход/выход, использование привилегий, изменение политики и управление учетной записью.

Ключевые слова - это набор категорий или меток, которые могут использоваться для фильтрации или поиска событий. Например: "Сеть", "Безопасность" или "Ресурс не найден".

Компьютер - идентифицирует имя компьютера, на котором произошло событие. Обычно это имя локального компьютера, но также может быть имя компьютера, переславшего событие, или имя локального компьютера до того, как оно было изменено.

Дата и время - определяет дату и время возникновения данного события в журнале.

ИД процесса - представляет идентификационный номер процесса, создавшего данное событие. Компьютерная программа представляет из себя только пассивную совокупность инструкций, в то время как процесс - это непосредственное выполнение этих инструкций

ИД потока - представляет идентификационный номер потока, создавшего данное событие. Процесс, порождённый в операционной системе, может состоять из нескольких потоков, выполняющихся "параллельно", то есть без предписанного порядка во времени. При выполнении некоторых задач такое разделение может достичь более эффективного использования ресурсов вычислительной машины

ИД процессора - представляет идентификационный номер процессора, обработавшего событие.

Код сеанса - это идентификационный номер сеанса на сервере терминалов, в котором произошло событие.

Время работы в режиме ядра - определяет время, потраченное на выполнение инструкций режима ядра, в единицах времени ЦП. Режим ядра имеет неограниченный доступ к системной памяти и внешним устройствам. Ядро системы NT называют гибридным ядром или макроядром.

Время работы в пользовательском режиме - определяет время, потраченное на выполнение инструкций пользовательского режима, в единицах времени ЦП. Режим пользователя состоит из подсистем, которые передают запросы ввода\вывода соответствующему драйверу режима ядра посредством менеджера Ввода-вывода.

Загруженность процессора - это время, потраченное на выполнение инструкций пользовательского режима, в тиках ЦП.

Код корреляции - определяет действие в процессе, для которого используется событие. Этот код используется для указания простых отношений между событиями. Корреляция - статистическая взаимосвязь двух или нескольких случайных величин (либо величин, которые можно с некоторой допустимой степенью точности считать таковыми). При этом, изменения одной или нескольких из этих величин приводят к систематическому изменению другой или других величин.

ИД относительной корреляции - определяет относительное действие в процессе, для которого используется событие

Работа с журналами событий:

Просмотр событий
Для того чтобы просмотреть события журнала приложений, выполните следующие действия:
В дереве консоли выберите "Журналы Windows";
Выберите журнал "Приложения".

Желательно почаще просматривать журналы событий "Приложение" и "Система" и изучать существующие проблемы и предупреждения, которые могут предвещать о проблемах в будещем. При выборе журнала в среднем окне отображаются доступные события, включая дату события, время и источник, уровень события и другие данные.

Панель "Область просмотра" показывает основные данные о событиях на вкладке "Общие", а дополнительные специфические данные - на вкладке "Подробности". Включить и выключить эту панель можно, выбрав меню "Вид", а затем команду "Область просмотра".

Для критических систем рекомендуется хранить журналы за последние несколько месяцев. Все время назначать журналам такой размер, чтобы в них умещалась вся информация, как правило, неудобно, решить эту задачу можно по-другому. Можно экспортировать журналы в файлы, распложенные в заданной папке. Для того чтобы сохранить выбранный журнал выполните следующие действия:

В дереве консоли выберите журнал событий, который нужно сохранить;
Выберите команду "Сохранить события как" из меню "Действие" или из контекстного меню журнала выберите команду "Сохранить все события как";
В появившемся диалоге "Сохранить как" выберите папку, в которую должен быть сохранен файл. Если требуется сохранить файл в новой папке, то ее можно создать непосредственно из этого диалога, используя контекстное меню или кнопку "Новая папка" на панели действий. В поле "Тип файла" нужно выбрать желаемый формат файла из доступных: файлы событий - *.evtx, xml-файл - *.xml, текст с разделением табуляции - *.txt, csv с разделением запятыми - *.csv. В поле "Имя файла" введите имя и нажмите на кнопку "Сохранить". Для отмены сохранения нажмите на кнопку "Отмена";
В том случае, если журнал событий не предназначен для просмотра на другом компьютере, в диалоговом окне "Отображать сведения" оставьте заданный по умолчанию вариант "Не отображать сведения", а если журнал предназначается для просмотра на другом компьютере, то в диалоговом окне "Отображать сведения" выберите вариант "Отображать сведения для следующих языков" и нажмите на кнопку "ОК".

Очистка журнала событий

Иногда приходится очищать заполненные журналы событий для обеспечения эффективного анализа предупреждений и критических ошибок операционной системы. Для того чтобы очистить выбранный журнал выполните следующие действия:
В дереве консоли выберите журнал событий, который требуется очистить;
Очистите журнал одним из следующих способов:
В меню "Действие" выберите команду "Очистить журнал"

На выбранном журнале нажмите правой кнопкой для открытия контекстного меню. В контекстном меню выберите команду "Очистить журнал"
Далее можно либо очистить журнал, либо заархивировать его в том случае, если это не было сделано ранее:
Чтобы очистить журнал событий без сохранения нажмите нажать на кнопку "Очистить";
Чтобы очистить журнал событий после его сохранения нажмите на кнопку "Сохранить и очистить". В появившемся диалоге "Сохранить как" выберите папку, в которую должен быть сохранен файл. Если требуется сохранить файл в новой папке, то ее можно создать непосредственно из этого диалога используя контекстное меню или кнопку "Новая папка" на панели действий. В поле "Имя файла" введите имя и нажмите на кнопку "Сохранить". Для отмены сохранения нужно нажать на кнопку "Отмена".

Установка максимального размера журнала

Как было сказано выше, журналы событий хранятся в виде файлов в папке %SystemRoot%\System32\Winevt\Logs\. По умолчанию максимальный размер этих файлов ограничен, но его можно изменить следующим способом:

Выберите команду "Свойства" из меню "Действие" или из контекстного меню выбранного журнала

В поле "Максимальный размер журнала (КБ)" установите требуемое значение при помощи счетчика или установите вручную без использования счетчика. В этом случае значение будет округлено до ближайшего числа, кратного 64 КБ так как размер файла журнала должен быть кратен 64 КБ и не может быть меньше 1024 КБ.
События сохраняются в файле журнала, размер которого может увеличиваться только до заданного максимального значения. После достижения файлом максимального размера, обработка поступающих событий будет определяться политикой хранения журналов. Доступны следующие политики сохранения журнала:
Переписывать события при необходимости (сначала старые файлы) - в этом случае новые записи продолжают заноситься в журнал после его заполнения. Каждое новое событие заменяет в журнале наиболее старое;

Архивировать журнал при заполнении; не переписывать события - в этом случае файл журнала автоматически архивируется при необходимости. Перезапись устаревших событий не выполняется.

Не переписывать события (очистить журнал вручную) - в этом случае журнал очищается вручную, а не автоматически.

Для того чтобы выбрать нужную политику сохранения журналов выполните следующие действия:

В дереве консоли выберите журнал событий, для которого следует изменить размер;
Выберите команду "Свойства" из меню "Действие" или из контекстного меню выбранного журнала;
На вкладке "Общие", в разделе "При достижении максимального размера" выберите требуемый параметр и нажмите на кнопку "ОК".
Активация аналитического и отладочного журнала

Аналитический и отладочный журналы по умолчанию неактивны. После активации они быстро заполняются большим количеством событий. По этой причине желательно активировать указанные журналы на ограниченный период времени для того, чтобы собрать необходимые для поиска и устранения неполадок данные, а затем снова их отключить. Активацию журналов можно выполнить следующим образом:

В дереве консоли найдите и выберите аналитический или отладочный журнал, который необходимо активировать;
Выберите команду "Свойства" из меню "Действие" или из контекстного меню выбранного аналитического или отладочного журнала;
На вкладке "Общие" установите флажок на опции "Включить ведение журнала"

Открытие и закрытие сохраненного журнала

При помощи оснастки "Просмотр событий" можно открывать и просматривать сохраненные ранее журналы. Одновременно можно открыть несколько сохраненных журналов и обращаться к ним в любое время в дереве консоли. Журнал, открытый в "Просмотре событий", может быть закрыт без удаления содержащихся в нем сведений. Для открытия сохраненного журнала выполните следующие действия:

Выберите команду "Открыть сохраненный журнал" в меню "Действие" или из контекстного меню в дереве консоли;
В диалоговом окне "Открыть сохраненный журнал", передвигаясь по дереву каталогов, откройте папку, содержащую нужный файл. По умолчанию в диалоговом окне будут выведены все файлы журналов событий. Также при открытии можно выбрать тип файлов, которые нужно отображать в диалоге открытия. Доступные типы файлов: файлы журнала событий (*.evtx, *.evt, *.etl), а также файлы событий (*.evtx), старые файлы событий (*.evt) или файлы журнала трассировки (*.etl). После того, как нужный файл журнала будет найден, выделите его, щелкнув на нем левой кнопкой мыши, что поместит его имя в строку для ввода имени файла и нажмите на кнопку "Открыть"

В диалоге "Открыть сохраненный журнал", в поле "Имя" введите новое имя, которое будет использоваться для журнала в дереве консоли. Оно используется только для представления журнала в дереве консоли и имя файла журнала при этом не изменяется Можно также использовать существующее имя файла журнала. В поле "Описание" введите описание журнала. Оно будет отображаться в центральной области при выделении родительской папки журнала в дереве консоли;
Для создания папки, в которой будет расположен сохраненный журнал, нажмите на кнопку "Создать папку". В поле "Имя" введите имя папки, в которой будет находиться открытый журнал, а затем нажмите кнопку "ОК". Если родительская папка не выбрана, новая папка будет расположена в папке "Сохраненные журналы"

Для того чтобы открытый журнал событий стал недоступным для других пользователей компьютера, вы можете снять флажок "Все пользователи". В том случае, если этот флажок останется активным, открытый журнал будет доступен всем пользователям, но для его удаления из дерева консоли потребуются права администратора;
Для открытия журнала, нажмите на кнопку "ОК".
Для того чтобы удалить открытый журнал их дерева событий, выполните следующие действия:

В дереве консоли выберите журнал, который следует удалить;
Выберите команду "Удалить" из меню "Действие" или из контекстного меню выбранного журнала

В диалоге "Просмотр событий" нажмите на кнопку "Да".

Заключение

В этой части статьи, посвященной оснастке "Просмотр событий", рассказывается о самой оснастке и подробно описаны простейшие операции, связанные с мониторингом и обслуживанием системы при помощи "Просмотра событий".

Любая современная ОС с графическим интерфейсом основана на событиях. То же самое касается и программного обеспечения, для таких ОС разработанного. Событие – краеугольный камень этой инфраструктуры. Под событиями понимаются не только интерактивные действия пользователя, но и результаты разнообразных системных процессов, скрытых от глаз нажимающего на кнопки и щелкающего по клавишам оператора системы.

События бывают встроенные, то есть такие, что предопределены архитектурой, и создаваемые администратором или разработчиком. В нашей статье мы рассмотрим классификацию событий в Windows, средства их журналирования и просмотра, а также методы работы с ними.

Интерфейс для просмотра произошедших в системе событий носит название «системного журнала». Записи в журнале создаются в результате некоторых действий программ или пользователей, зарезервированных ОС в качестве событий. Разумеется, не каждое действие фиксируется в журнале. Для этого их слишком много.

Например, передвижение мыши хотя бы на один пиксель, уже порождает программное исключение и потенциально может обрабатываться «операционкой», что, в сущности, и происходит – такие действия в журнал не попадают. А вот предупреждения системы безопасности – протоколируются, так как составляют критически важные сведения.

Windows допускает тонкую настройку перечня критически важных системных исключений. До некоторой степени вы сами вольны решать, что именно протоколировать, а без какой информации можно и обойтись. Чтобы дать вам представления об этом, перечислим некоторые из стандартных операций с журналом:

• Просмотр перечня событий.
• Фильтрация перечня по определенным критериям.
• Создание «триггеров» реакций на процессы в системе – так называемая «подписка».
• Назначение типа реакции на то или иное событие.

Как осуществить просмотр?

Чтобы осуществлять просмотр содержимого журнала, нужно запустить соответствующее приложение. Делается это так:

• Переходим в меню «Пуск» => «Панель управления».
• Выбираем раздел «Администрирование».
• В этом разделе щелкаем по имени компоненты «Просмотр событий».
• Запустится программа с окном характерного вида – так называемая «оснастка». Эта оснастка и есть визуальный интерфейс для нашего протокола.

Того же самого можно добиться, если в окошке «Выполнить» (вызывается из того же меню «Пуск») набрать команду mmc. Эта команда запустит общий интерфейс для всех оснасток, в котором нужно будет перейти в меню «Консоль» => «Добавить или удалить оснастку» и из перечня всех оснасток вызвать нужную. В седьмой версии Windows все это проделывается так же, как и в предыдущей. Окошко «Выполнить» можно вызвать и при помощи клавиатурной комбинации «Win» + «R» - результат будет тем же. По итогу наших манипуляций появится окно такого вида:

Классификация событий ОС

Далее мы приведем классификацию записей в журнале по их значению для пользователя. События делятся на те, что генерируются самой операционной системой, и те, что исходят от приложений и служб. Однако такая классификация не учитывает смысла фиксируемых явлений. Более подробная их группировка выглядит следующим образом:

Все данные хранятся в популярном формате XML, поэтому для их чтения и обработки необходима оболочка наподобие журнала событий. Непосредственный просмотр событий в системе Windows 7 в файлах хотя и возможен, но крайне затруднителен. Однако заниматься этим нет нужды, так как журнал событий Windows 7 делает это за нас.

Параметры записей

Каждая запись в журнале ОС Windows имеет единообразный набор параметров, характеризующих ее свойства: указатель на источник происхождения, специальный идентифицирующий код, степень критичности и многие другие.

Некоторые параметры имеют смысл для любых событий, другие же относятся только к определенным их типам. Журнал имеет меню с множеством опций, упрощающих работу пользователя с его записями:

Теперь вы знаете, как в Windows 7 открыть журнал событий и что он собой представляет.