Создать свой журнал событий windows

Как вы знаете, большинство «нормальных» приложений записывают свои события в журнал событий Windows (Application Event Log). Это отличное место для централизованного хранения и просмотра событий приложений, однако зачастую при возникновении необходимости журналировать события от определенного приложения в данном журнале, мы можем столкнуться с тем, что из-за большого количества и чрезмерной подробности событий, работать со стандартным журналом приложений Windows становится очень неудобно. В данном случае было бы удобно создать собственный журнал событий для данного приложения, и для него настраивать различные параметры, такие как размер журнала, фильтры и т.д., а стандартный журнал Application можно использовать как обычно, не засоряя его ненужной информацией. В ОС семейства Windows присутствует функция, позволяющая создать собственный журнал событий.

Сначала создадим новый файл журнала. Сделать это можно при помощи реестра. Запустите редактор реестра regedit и перейдите в ветку:

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Eventlog

Щелкните правой кнопкой по узлу Eventlog и создайте новый ключ (New > Key)

Имя ключа в этом случае будет являться и именем нового журнала. По умолчанию новый журнал (файл .evt) создается тут:

C:\WINDOWS\System32\Config\New Key #1.evt

Его можно переименовать, изменив строковый параметр в реестре по своему усмотрению.

Далее нужно добавить источники (Sources) событий для нового журнала. Создайте новый ключ типа Multi-String с именем “Sources”, в качестве параметров укажите имена всех приложений, который будут использовать данный журнал (каждое приложение с новой строки).

Затем нужно перенести ассоциации ваших приложений из стандартного журнала Application в ваш новый журнал. Разверните ветку “Application”, находящуюся по адресу:

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Eventlog\Application

И скопируйте все ветки, которые относятся к интересуемым Вами приложениям в новый ветку реестра нового журналa:

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Eventlog\CustomLog

Т.к. команда скопировать/вставить в редакторе реестра не работает, их можно пересоздать вручную (если их немного), или же можно осуществить перенос при помощи процедуры экспорта/импорта веток реестра с ручным редактирование .reg файла. Убедитесь, что после переноса вы удалили ключи реестра ваших приложений из ветки Application, иначе Windows не поймет, что нужно писать события в новый журнал. В том случае, если вы используете новый источник событий для журнала, нужно будет создать параметр типа DWORD с именем CustomSource и значением равным 1:

В моем примере, я создал собственное приложение .NET 2.0, причем я хочу, чтобы оно записывало события в созданный нами журнал. Для этого я создам новый ключ реестра EventMessageFile и укажу в нем путь к библиотеке журналирования.NET 2.0:

C:\WINDOWS\Microsoft.NET\Framework\v2.0.50727\EventLogMessages.dll

Затем нужно перезагрузить Windows, а после загрузки системы вы увидите новый журнал событий в разделе Event Viewer-а. В том случае, если ваше приложение по какой-либо причине не пишет событий в новый журнал, можно протестировать его работу вручную, откройте командую строку и перейдите в каталог:

CD C:\WINDOWS\system32

Затем наберите:

eventcreate /l CustomLog /t Information /so Application1 /id 1 /d "Test message"

В том случае, если вы все сделали правильно должно появиться окно, сообщающее о том, что событие было успешно записан в журнал, либо сообщение об ошибки и причины ее появления.

Update:

Небольшое обновление статьи по письмам читателей:

Вышеприведенная инструкция по созданию собственного журнала ориентирована на серверные ОС семейства Microsoft. Более общий способ, который должен работать в большинстве Windows следующий (отличаются пути в реестре и ключи):

Создаем новый раздел в реестре (имя раздела — имя создаваемого журнала), путь к созданному будет таким:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Eventlog\NewEventLog , в котором нужно создать следующие ключи:

• «AutoBackupLogFiles» — тип DWORD, создавать или нет резервные копии журнала (0 — не создавать)
• «MaxSize» -тип DWORD, максимальны размер журнала в байтах, значение должно быть кратным 64Кб
• «Retention» — тип DWORD, время хранения записей в случае переполнения журнала.
• «File» — тип REG_EXPAND_SZ, строка, в которой содержится путь к логу журнала на жестком диске, например %SystemRoot%\System32\config\NewEventLog.evt)
• «Sources»- тип REG_MULTI_SZ, здесь указан список источников событий, чьи логи должны попадать в этот журнал, каждый источник с новой строки

• Download source — 30.45 KB

Fig-1 (Event viewer — Showing the new log with sample information)

Introduction

This article will give you an idea about how to create a Windows event log and write your custom message into the event log.

Background

Most of the developers are very much familiar with the Windows event log API. When developers create a Windows based application, it may be an ActiveX component, any customized DLL library, a service application, etc.; it is a very common practice to write several types of information into the event log, which is generated by that particular application runtime so we can easily keep track of all the information.

Using the Code

Before we start understanding the code, we need a little concept on System.Diagnostics namespace. We will use the namespace to manage an event log. The namespace System.Diagnostics provides a class name as “EventLog” to create and write a message into the eventlog.

Methods

• SourceExists: Determines whether an event source is registered on the local computer or not.
• CreateEventSource: Establishes an application as able to write event information to a particular log on the system.
  More details can be found at this link.
• WriteEntry: Writes an entry in the event log, i.e., writes an information type entry, with the given message text, to the event log.
  More details can be found at this link.

Properties

• Source: Gets or sets the source name to register and use when writing to the event log.
• Log: Gets or sets the name of the log to read from or write to.

Enum

• EventLogEntryType: Specifies the event type of an event log entry.
  More details can be found at this link.

Sample Code Example

public class ClsEventLog
  {
      public bool CreateLog(string strLogName)
      {
          bool Result = false;

          try
          {
                  System.Diagnostics.EventLog.CreateEventSource(strLogName, strLogName);
                  System.Diagnostics.EventLog SQLEventLog =
              new System.Diagnostics.EventLog();

                  SQLEventLog.Source = strLogName;
                  SQLEventLog.Log = strLogName;

                  SQLEventLog.Source = strLogName;
                  SQLEventLog.WriteEntry("The " + strLogName + " was successfully
          initialize component.", EventLogEntryType.Information);

                  Result = true;
          }
          catch
          {
              Result = false;
          }

          return Result;
      }
      public void WriteToEventLog(string strLogName
                                , string strSource
                                , string strErrDetail)
      {
          System.Diagnostics.EventLog SQLEventLog = new System.Diagnostics.EventLog();

          try
          {
              if (!System.Diagnostics.EventLog.SourceExists(strLogName))
                      this.CreateLog(strLogName);


              SQLEventLog.Source = strLogName;
              SQLEventLog.WriteEntry(Convert.ToString(strSource)
                                    + Convert.ToString(strErrDetail),
              EventLogEntryType.Information);

          }
          catch (Exception ex)
          {
              SQLEventLog.Source = strLogName;
              SQLEventLog.WriteEntry(Convert.ToString("INFORMATION: ")
                                    + Convert.ToString(ex.Message),
              EventLogEntryType.Information);
          }
          finally
          {
              SQLEventLog.Dispose();
              SQLEventLog = null;
          }
      }
  }

Conclusion

I hope that this article might be helpful to you. Enjoy!

History

• 22^nd August 2009: Initial post

Журналы событий Windows являются огромным ресурсом, поскольку они могут не только помочь вам в устранении текущих системных проблем, но также могут предоставить вам предупреждающие знаки о потенциальных будущих проблемах. Таким образом, отслеживание событий в ваших системных записях может быть ключом к тому, чтобы ваша система работала должным образом. К сожалению, просмотр журналов событий или создание пользовательских представлений может быть трудоемким ручным процессом.

К счастью, у нас есть решение, которое позволит вам легко экспортировать и фильтровать записи журнала событий Windows, а затем отправлять их по электронной почте и/или сохранять в текстовом файле. Когда этот процесс настроен как часть запланированной задачи, вы можете получать, например, предупреждения и сообщения об ошибках по электронной почте.

Как это устроено

Наше решение работает с помощью бесплатной утилиты MyEventViewer от Nirsoft, которая позволяет легко экспортировать журналы событий Windows в файл, разделенный запятыми. На основе этого вывода мы разработали простой в настройке пакетный скрипт, который фильтрует эти результаты, а затем может отправить по электронной почте и/или сохранить отфильтрованный файл результатов. Поскольку результаты представляют собой файл, разделенный запятыми, его можно открыть в Excel (или в вашей любимой программе CSV), а затем отсортировать и отфильтровать.

конфигурация

Параметры конфигурации и параметры задокументированы в виде встроенных комментариев в сценарии, однако мы рассмотрим некоторые из них в некоторых деталях здесь.

Имя журнала событий

При указании журналов событий, из которых вы хотите захватить события, вы должны использовать полное системное имя журнала. Это не обязательно то, что вы видите в списке журналов Event Viewer.

Например, если вы хотите захватить события из журнала «Предупреждения Microsoft Office», перейдите в диалоговое окно «Свойства» журнала.

Запишите значение в поле «Полное имя», в данном случае «OAlerts». Это будет значение, которое вам нужно будет ввести в конфигурацию скрипта.

Типы событий

Значения для типов событий – это просто текст, который вы видите в столбце «Уровень» при просмотре журналов событий. Обычно это информация, предупреждение или ошибка, но разные журналы могут иметь разные значения.

Настройка запланированных задач

Типичное использование этого сценария, скорее всего, в автоматизированном процессе. Таким образом, чтобы убедиться, что между интервалом захвата и временем запуска процесса нет совпадений, вам нужно настроить запланированное задание Windows, чтобы дополнить время захвата.

Проще говоря, если ваша конфигурация настроена на захват событий за последний день, у вас должна быть запланированная задача, которая запускается один раз в день. Если ваша конфигурация настроена на захват за последний час, запланированное задание должно запускаться один раз в час. И т.п.

В качестве дополнительного примечания, чтобы приложение MyEventViewer могло получить необходимую информацию, необходимо выполнить соответствующую запланированную задачу с правами администратора на компьютере.

Примеры

Эта конфигурация будет отправлять сообщения об ошибках и предупреждениях из журналов событий системы и приложений, записанных в последний день (24 часа), на my@email.com, а также сохранять выходные данные в папке C: \ EventNotices:

• EmailResults = 1
• EmailTo=my@email.com
• SaveResults = 1
• SaveTo = C: \ EventNotices
• TimeInterval = 3
• TimeValue = 1
• Бревна = System, Application
• Типы = Ошибка, Предупреждение
• Запланированное задание должно выполняться каждый день.

Эта конфигурация будет отправлять сообщения об ошибках по электронной почте только из журнала системных событий, записанных за последний час, на my@email.com:

• EmailResults = 1
• EmailTo=my@email.com
• SaveResults = 0
• TimeInterval = 2
• TimeValue = 1
• Бревна = System
• Типы = Ошибка
• Запланированное задание должно запускаться каждый час.

Эта конфигурация сохранит только ошибки и предупреждения из журнала событий приложений за последнюю неделю на рабочий стол пользователя JFaulkner (Windows 7) C: \ Users \ jfaulkner \ Desktop:

• EmailResults = 0
• SaveResults = 1
• SaveTo = C: \ Users \ jfaulkner \ Desktop
• TimeInterval = 3
• TimeValue = 7
• Бревна = Применение
• Типы = Ошибка, Предупреждение
• Запланированное задание должно выполняться каждую неделю.

Скачать сценарий уведомлений журнала событий с TutoryBird

Загрузите MyEventViewer от Nirsoft

Скачать Blat от Sourceforge