Тема этой статьи — использование малознакомого большинству пользователей инструмента Windows: Просмотр событий или Event Viewer.
Для чего это может пригодиться? Прежде всего, если вы хотите сами разобраться что происходит с компьютером и решить различного рода проблемы в работе ОС и программ— данная утилита способна вам помочь, при условии, что вы знаете, как ее использовать.
Дополнительно на тему администрирования Windows
- Администрирование Windows для начинающих
- Редактор реестра
- Редактор локальной групповой политики
- Работа со службами Windows
- Управление дисками
- Диспетчер задач
- Просмотр событий (эта статья)
- Планировщик заданий
- Монитор стабильности системы
- Системный монитор
- Монитор ресурсов
- Брандмауэр Windows в режиме повышенной безопасности
Как запустить просмотр событий
Первый способ, одинаково подходящий для Windows 7, 8 и 8.1 — нажать клавиши Win + R на клавиатуре и ввести eventvwr.msc, после чего нажать Enter.
Еще один способ, который также подойдет для всех актуальных версий ОС — зайти в Панель управления — Администрирование и выбрать там соответствующий пункт.
И еще один вариант, который подойдет для Windows 8.1 — кликнуть правой кнопкой мыши по кнопке «Пуск» и выбрать пункт контекстного меню «Просмотр событий». Это же меню можно вызвать, нажав на клавиатуре клавиши Win + X.
Где и что находится в просмотре событий
Интерфейс данного инструмента администрирования можно условно разделить на три части:
- В левой панели находится древовидная структура, в которой отсортированы события по различным параметрам. Кроме этого, сюда же можно добавить собственные «Настраиваемые представления», в которых будут отображаться лишь нужные вам события.
- По центру, при выборе одной из «папок» слева будет отображаться сам список событий, а при выборе любого из них, в нижней части вы увидите более подробную информацию о нем.
- В правой части собраны ссылки на действия, позволяющие отфильтровать события по параметрам, найти нужные, создать настраиваемые представления, сохранить список и создать задачу в планировщике заданий, которая будет связана с определенным событием.
Информация о событиях
Как я уже сказал выше, при выборе какого-либо события, в нижней части будет отображаться информация о нем. Эта информация может помочь найти решение проблемы в Интернете (впрочем, не всегда) и стоит понимать, какое свойство что означает:
- Имя журнала — имя файла журнала, куда была сохранена информация о событии.
- Источник — название программы, процесса или компонента системы, которое сгенерировало событие (если вы видите здесь Application Error), то имя самого приложение вы можете увидеть в поле выше.
- Код — код события, может помочь найти информацию о нем в Интернете. Правда, искать стоит в англоязычном сегменте по запросу Event ID + цифровое обозначение кода + название приложения, вызывавшего сбой (поскольку коды событий для каждой программы уникальны).
- Код операции — как правило, здесь всегда указано «Сведения», так что толку от этого поля мало.
- Категория задачи, ключевые слова — обычно не используются.
- Пользователь и компьютер — сообщает о том, от имени какого пользователя и на каком компьютере был запущен процесс, вызвавший событие.
Внизу, в поле «Подробности», вы можете также увидеть ссылку «Справка в Интернете», которая передает информацию о событии на сайт Microsoft и, по идее, должна отображать информацию о данном событии. Однако, в большинстве случаев вы увидите сообщение о том, что страница не найдена.
Чтобы найти информацию по ошибке, лучше воспользоваться следующим запросом: Имя приложения + Event ID + Код + Источник. Пример можете увидеть на скриншоте. Можно попробовать и поиск на русском языке, но на английском информативных результатов больше. Также для поиска подойдет текстовая информация об ошибке (кликните дважды по событию).
Примечание: на некоторых сайтах вы можете найти предложение скачать программы для исправления ошибок с тем или иным кодом, причем на одном сайте собраны все возможные коды ошибок — не стоит загружать таких файлов, они не исправят проблем, а с большой вероятностью повлекут за собой дополнительные.
Также стоит отметить, что большинство предупреждений не представляют из себя что-то опасное, а сообщения об ошибках также не всегда говорят о том, что с компьютером что-то не так.
Просмотр журнала производительности Windows
В просмотре событий Windows можно найти достаточное количество интересных вещей, например — посмотреть на проблемы с производительностью компьютера.
Для этого в правой панели откройте Журналы приложений и служб — Microsoft — Windows — Diagnostics-Perfomance — Работает и посмотрите, есть ли среди событий какие-либо ошибки — они сообщают о том, что какой-то компонент или программа привела к замедлению загрузки Windows. По двойному клику по событию, вы можете вызвать подробную информацию о нем.
Использование фильтров и настраиваемых представлений
Огромное количество событий в журналах приводит к тому, что в них сложно ориентироваться. К тому же, большинство из них не несут в себе критически важной информации. Лучший способ отобразить только нужные события — использовать настраиваемые представления: вы можете задать уровень событий, которые нужно отображать — ошибки, предупреждения, критические ошибки, а также их источник или журнал.
Для того, чтобы создать настраиваемое представление, нажмите соответствующий пункт в панели справа. Уже после создания настраиваемого представления, вы имеете возможность применить к нему дополнительные фильтры, кликнув по «Фильтр текущего настраиваемого представления».
Конечно, это далеко не все, для чего может пригодиться просмотр событий Windows, но это, как было отмечено, статья для начинающих пользователей, то есть для тех, кто вообще не знает о данной утилите. Быть может, она подвигнет к дальнейшему изучению этого и других инструментов администрирования ОС.
Операционная система Windows, системные службы и приложения записывают события и ошибки в системные журналы, чтобы в дальнейшем у системного администратора была возможность проверки операционной системы и диагностики проблем.
Получить доступ к этим записям можно через встроенное приложение Просмотр событий (Event Viewer). Есть несколько вариантов запуска данного приложения:
- через меню Пуск – Средства администрирования Windows – >Просмотр событий (Start – Windows Administrative Tools – Event Viewer);
- в командной строке или в окне Выполнить набрать eventvwr.msc:
В Диспетчере серверов в разделе Средства выбрать Просмотр событий (Server Manager – Tools – Event Viewer):
Описание интерфейса программы
Окно программы состоит из следующих компонентов:
- Панель навигации позволяет выбрать конкретный журнал, записи которого необходимо просмотреть;
- Список событий, содержащийся в выбранном журнале. В колонках выведена базовая информация о событии. Их можно отсортировать по датам, типам, категориям событий и т.д.;
- Детальная информация о выбранном во второй панели событии. Также детальную информацию можно открыть в отдельном окне, если кликнуть по нужному событию два раза;
- Панель быстрых действий, которые можно совершить с данным журналом или событием. Действия также доступны в контекстном меню (клик правой кнопкой мыши по журналу или событию).
Для удобства просмотра и управления системные журналы разбиты по категориям:
- Приложения (Application) – как и гласит название, содержит события и ошибки приложений;
- Безопасность (Security) – если в операционной системе включена и настроена функция аудита, журнал будет содержать записи, связанные с отслеживанием соответствующих событий (например, авторизация пользователя или попытки неудачного входа в операционную систему);
- Система (System) – здесь регистрируются события операционной системы и системных сервисов;
- Установка (Setup) – события, связанные с инсталляцией обновлений Windows, дополнительных приложений.
В разделе Журналы приложений и служб (Applications and Services Logs) можно найти более детальную информацию о событиях отдельных служб и приложений, зарегистрированных в операционной системе, что бывает полезно при диагностике проблем в работе отдельных сервисов.
Сами события также разделяются на типы:
- Сведения (Information) — информируют о штатной работе приложений.
- Предупреждение (Warning) — событие, свидетельствующее о возможных проблемах в будущем (например, заканчивается свободное место на диске – приложения могут продолжать работу в штатном режиме, но когда место закончится совсем, работа будет невозможна).
- Ошибка (Error) — проблема, ведущая к деградации приложения или службы, потерям данных.
- Критическое (Critical) — значительная проблема, ведущая к неработоспособности приложения или службы.
- Аудит успеха (Success audit) — событие журнала Безопасность (Security), обозначающее успешно осуществленное действие, для которого включено отслеживание (например, успешный вход в систему).
- Аудит отказа (Failure audit) — событие журнала Безопасность (Security) обозначающее безуспешную попытку осуществить действие, для которого включено отслеживание (например, ошибка входа в систему).
Работа с журналами
Службы и приложения могут генерировать огромное количество самых разнообразных событий. Для простоты доступа к нужным записям журнала можно использовать функцию фильтрации журнала:
Правый клик по журналу – Фильтр текущего журнала… (>Filter Current Log…), либо выбрать данную функцию в панели быстрых действий. Открывшееся окно позволяет настроить фильтр и отобразить только те события, которые необходимы в данный момент:
Можно задать временной период, уровни события, выбрать журналы и конкретные источники событий. Если известны коды событий, которые нужно включить или исключить из фильтра, их также можно указать.
Когда необходимость в фильтрации событий отпадет, ее можно отключить действием Очистить фильтр (Clear Filter):
Приложение Просмотр событий (Event Viewer) позволяет также настроить дополнительные свойства журналов. Доступ к настройкам можно получить через панель быстрых действий, либо через контекстное меню журнала – правый клик по журналу – Свойства (Properties):
В открывшемся окне настроек можно увидеть путь, по которому сохраняется файл журнала, текущий размер, а также можно задать максимальный размер файла:
В нижней части окна можно выбрать вариант действия при достижении журналом максимального значения:
- Переписывать события при необходимости (Overwrite events as needed) – новое событие будет записываться поверх самого старого события в журнале, таким образом будут доступны события только за определенный диапазон времени.
- Архивировать журнал при заполнении (Overwrite the log when full) – заполненный журнал будет сохранен, последующие события будут записываться в новый файл журнала. При необходимости доступа к старым событиям, архивный файл можно будет открыть в приложении Просмотр событий (Event Viewer).
- Не переписывать события (Do not overwrite events) – при заполнении журнала выдается системное сообщение о необходимости очистить журнал, старые события не перезаписываются.
Аverage rating : 4.5
Оценок: 4
191028
Санкт-Петербург
Литейный пр., д. 26, Лит. А
+7 (812) 403-06-99
700
300
ООО «ИТГЛОБАЛКОМ ЛАБС»
191028
Санкт-Петербург
Литейный пр., д. 26, Лит. А
+7 (812) 403-06-99
700
300
ООО «ИТГЛОБАЛКОМ ЛАБС»
700
300
- Windows Event Viewer is one of the most underrated tools that can help you diagnose and troubleshoot your Windows computer.
- Find out what Windows Event Viewer does.
- Learn how to use the Event Viewer logs to troubleshoot and fix software and hardware problems in Windows.
A lot of computer problems don’t result in an obvious error message that you can quickly research in your favorite search engine. If your PC is misbehaving without giving you hints about what’s going on it’s really difficult to troubleshoot and fix the root cause of the problem.
It’s time to dig deeper. There’s no better utility than Windows Event Viewer that I can think of. Let’s get started.
CONTENTS
- 1 What is Windows Event Viewer?
- 2 The Type of Information Stored in Windows Event Logs
- 3 How to Open Windows Event Viewer
- 3.1 Search for Event Viewer in the Start menu
- 3.2 Open Event Viewer from the WinX menu
- 3.3 Open Event Viewer with a Run Command
- 3.4 Open Windows Event Viewer from CMD (Command Prompt)
- 4 How to Use the Event Viewer Logs
- 4.1 How to Navigate the Window Event Viewer Interface
- 4.2 How to Search the Event Viewer Logs
- 4.3 How to Filter the Current Log in Event Viewer
- 4.4 How to Create a Custom View in Windows Event Viewer
- 4.5 How to Clear Event Viewer Log History
- 4.6 How to Export Windows Event Viewer Logs to a File
- 4.7 How to View Logs from an EVTX Event Viewer Log File
- 5 Critical and Error Level Logs in Event Viewer are Not Always Bad
Most Windows services and programs will periodically add various bits of information to the Windows log. Think of it like a journal. The event log can be easily accessed, filtered, and read using the Windows Event Viewer system utility.
Event Viewer comes preinstalled with Windows and can easily be used by a non-technical person. Windows Event Viewer is a very powerful tool for troubleshooting Windows systems.
The Type of Information Stored in Windows Event Logs
Windows Event Viewer doesn’t include only critical error logs, but also other types of information added by (1) installed applications, (2) security services, or the (3) system itself.
Event logs have various event levels of importance associated with them, depending on the log content and the event that triggered that event:
- Critical
- Error
- Warning
- Information
- Verbose
Each event log includes info about its source, the app, program, or service that initiated the event, the user and computer associated with the event, an event ID, keywords for easy filtering, an event timestamp, and a text description of what actually happened.
The event description may be human-readable, but by no means, don’t expect a eureka moment after reading it. Googling the contents will still be the best option for a successful fix of your problem.
How to Open Windows Event Viewer
Let’s see some of the quickest ways to open the Windows Event Viewer utility:
This is how I launch most things in Windows: I search for them in the Start Menu.
- Click on the Start menu or press the Win key.
- Type Event viewer to search for the small utility.
- Click on the first result to open.
Another quick method involves the hidden menu behind the Start menu button. It’s not a mystery that most things in Windows can be right-clicked to reveal a contextual menu, but the WinX menu is a pretty new addition so most folks don’t know about it.
- Right-click on the Start menu button or press the Win + X keyboard shortcut, hence the WinX menu.
- Select with left-click the Event Viewer entry.
Open Event Viewer with a Run Command
If you’re used to the Run dialog box then here’s what you have to do to open Even Viewer with a Run command.
- Press the Win + R keyboard shortcut that opens the Run dialog menu.
- Type eventvwr, then press Enter to open Windows Event Viewer.
Open Windows Event Viewer from CMD (Command Prompt)
The same command works with the Command Prompt, PowerShell, and Windows Terminal:
- Open the Start menu with the Win key.
- Search for either Command Prompt, PowerShell, or Windows Terminal and open the first result.
- In the command line interface type eventvwr, followed by Enter to execute the command that will open the Windows Event Viewer.
How to Use the Event Viewer Logs
Now that we’ve seen what Event Viewer is and what it does, let’s discuss the program interface and how you can use it to your advantage. Don’t worry, because it’s pretty intuitive.
How to Navigate the Window Event Viewer Interface
Each time you open the app you’ll see something like this: a summary of the logged events in the center column, a navigation tree on the left, and a set of actions on the right.
You’ll use the (1) left-side menu to navigate to a category of events. By default these are grouped into four categories:
- Custom views – events filtered by you based on specific criteria. You’ll see later in the article how to add your custom views to the already present Administrative Events custom view.
- Windows Logs – entries added by Windows, grouped in Application, Security, Setup, System, and Forwarded Events.
- Application and Service Logs – logs from various installed programs.
- Subscriptions – if you’ve configured your PC to collect events from other computers here’s where the logs show up.
- Saved logs – this section will only show up after you’ve imported a log file exported with Event Viewer on the same machine or on another Windows PC.
After you navigate to a section in the left-side menu, the middle column will refresh and show (2) a list of events sorted by Date and Time and (3) details for the currently selected event from the list before.
The right panel includes actions that are already available if you right-click on an event folder of event entry.
Double-clicking on an event will open its details in a separate popup with two tabs: General and Details.
How to Search the Event Viewer Logs
I have over 20.000 events logged in only 7 days. As you can imagine, it can be difficult to look for a specific event if you can’t search or filter the list of events.
Fortunately, that’s easy to do in Windows Event Viewer after you’ve selected a category of events from the left side tree.
Let’s try to look for memory related events in the Windows Logs > System section, just for fun.
1. Right-click on the current event folder and select Find… to open the search dialog.
2. A very simple Find dialog window will show up with a text field. Write down your search term and press Find Next.
3. If no events are found for your search query you’ll see this message. It will remind you that the log search goes from the currently selected event in the list to the last element in the list, sorted by date and time. So, if you wish to search the entire list always select the first event before clicking on Find next.
4. If an event is found with your search term matching any of its contents the event will be highlighted automatically and its details will show up in the bottom part of the middle column.
If this is not what you were looking for click on Find next to look for the next matching event. There’s no way to know beforehand how may results your search returns since there’s no counter.
How to Filter the Current Log in Event Viewer
Another powerful feature is the ability to apply a filter to every event category. This filter will reset automatically after you close the Event Viewer app, as a precautionary measure.
1. Select the desired event category from the left-side menu.
2. Right-click on the folder name and select the Filter Current Log… option.
3. A popup window will show up. Here you can:
- Apply a time range for the event filter, ranging from the last hour to the last 30 days plus the option for a custom range.
- Select an event level, based on importance.
- Select an event source.
- Select a specific Event ID or range of IDs.
- Select keywords
- Select the users linked to the event.
- Select the computer linked to the event.
4. To reset the filter either close the Event Viewer or right-click the folder again and select the Clear filter option.
How to Create a Custom View in Windows Event Viewer
A more permanent solution is to create custom views. These will show up in the Custom Views folder even after the Windows Event Viewer app is restarted.
1. Right-click on the Custom Views folder and select the Create Custom View… option.
2. This looks a lot like the event filter window because it’s almost identical. The only new option is the ability to select an even log category.
After you’ve selected all required filters click OK.
3. If you select too many options you’ll see a warning. On a decently powerful computer, you won’t have any performance issues. Maybe the Event Viewer will show down on older PCs. Click Yes to proceed or no to tweak settings again and reduce the strain on your system resources.
4. Give the View a Name and Description and, optionally, create a new folder under Custom Views, if you plan on creating a lot of views and you want to organize them nicely.
How to Clear Event Viewer Log History
I’ve never had to clear the Event Viewer log on any of my PCs, but in case you feel like this will solve anything there’s a quick way to delete logs from any event category.
1. Select the desired event log folder from the left side tree menu.
2. Right-click on the folder name and select the Clear Log… option.
3. You will be presented with the option to export the logs to an EVTX extension file in a folder of your choosing using the, you’ve guessed right, EVTX format. The export is followed by a cleanup of the Event Viewer log, or you can choose to simply Clear everything.
The event list can be then easily imported to the Event Viewer on the same PC or on another computer by using the actions column on the right side of the interface or the event list contextual menu.
How to Export Windows Event Viewer Logs to a File
It’s interesting that you can export Event Viewer events to a file that you can open on the same PC where it was saved or on another computer. This way you can send the file to someone else for troubleshooting purposes, for example, if you feel like you’re can’t figure out what’s going on.
Windows Event Viewer exports logs in EVTX extension format. Here’s how it’s done:
1. Select the desired event folder from the left-side menu.
2. Right-click and on the folder end select the Save All Events As… option.
3. Select a file name and a place to store the exported logs.
4. A warning window will appear, asking you to select display information for multiple languages. This way if you try to view the file on a computer with different installed Windows languages there won’t be any display issues.
In my case, I could only choose between the two languages I have already installed on my machine: English and Romanian.
The export is almost instantaneous, even for thousands of events.
How to View Logs from an EVTX Event Viewer Log File
Now, what if you want to view the log file? While researching this article I tried to look for an Import button. Thankfully the procedure is way easier:
1. Open File Explorer by pressing Win + E.
2. Navigate to the folder where you saved the Event Viewer export file.
3. Double-click on the file with the EVTX extension.
4. Event Viewer will start automatically and a new folder will appear, called Saved Logs. Inside you’ll find a subfolder with the same name as the export filename, minus the extension.
You can browse the folder just like the other default ones.
These imported events are kept even after you’ve closed the Event Viewer. If you don’t need them anymore, all you have to do is right-click on any imported subfolder and select the Delete option.
Critical and Error Level Logs in Event Viewer are Not Always Bad
There’s an unwritten rule that if your Windows machine works properly there’s no need to worry about the Event Viewer. Even if you see Critical and Error level events there’s a good chance you don’t need to panic.
I find that the Event Viewer comes in handy when my PC crashes or an app refuses to work and doesn’t show any error message I can use for troubleshooting purposes.
That’s when I dig into the Event Viewer logs trying to identify the root cause of the problems. Try it and you’d be surprised by how many times the Event Viewer can save you from hours of pulling your hair because you don’t know what is happening.
At the same time, don’t expect wonders. It’s possible the problem runs deeper than the Event Viewer logs can show. Anyway, this is just another tool at your disposal that you can use to fix your Windows computer.
I’m passionate about technology, science, and movies. I write about tech since 2003.
From Wikipedia, the free encyclopedia
 |
|
Event Viewer in Windows 10 |
|
| Developer(s) | Microsoft |
|---|---|
| Operating system | Microsoft Windows |
| Service name | Windows Event log (eventlog) |
| Type | Utility software |
Event Viewer is a component of Microsoft’s Windows NT operating system that lets administrators and users view the event logs on a local or remote machine. Applications and operating-system components can use this centralized log service to report events that have taken place, such as a failure to start a component or to complete an action. In Windows Vista, Microsoft overhauled the event system.[1]
Due to the Event Viewer’s routine reporting of minor start-up and processing errors (which do not, in fact, harm or damage the computer), the software is frequently used by technical support scammers to trick the victim into thinking that their computer contains critical errors requiring immediate technical support.[2] An example is the «Administrative Events» field under «Custom Views» which can have over a thousand errors or warnings logged over a month’s time.
Overview[edit]
Windows NT has featured event logs since its release in 1993.
The Event Viewer uses event IDs to define the uniquely identifiable events that a Windows computer can encounter. For example, when a user’s authentication fails, the system may generate Event ID 672.
Windows NT 4.0 added support for defining «event sources» (i.e. the application which created the event) and performing backups of logs.
Windows 2000 added the capability for applications to create their own log sources in addition to the three system-defined «System», «Application», and «Security» log-files. Windows 2000 also replaced NT4’s Event Viewer with a Microsoft Management Console (MMC) snap-in.
Windows Server 2003 added the AuthzInstallSecurityEventSource() API calls so that applications could register with the security-event logs, and write security-audit entries.[3]
Versions of Windows based on the Windows NT 6.0 kernel (Windows Vista and Windows Server 2008) no longer have a 300-megabyte limit to their total size. Prior to NT 6.0, the system opened on-disk files as memory-mapped files in kernel memory space, which used the same memory pools as other kernel components.
Event Viewer log-files with filename extension evtx typically appear in a directory such as C:\Windows\System32\winevt\Logs\
Command-line interface[edit]
| Developer(s) | Microsoft |
|---|---|
| Initial release | October 25, 2001; 21 years ago |
| Operating system | Microsoft Windows |
| Type | Command |
| License | Proprietary commercial software |
| Website | docs |
Windows XP introduced set of three command-line interface tools, useful to task automation:
eventquery.vbs– Official script to query, filter and output results based on the event logs.[4] Discontinued after XP.eventcreate– a command (continued in Vista and 7) to put custom events in the logs.[5]eventtriggers– a command to create event driven tasks.[6] Discontinued after XP, replaced by the «Attach task to this event» feature.
Windows Vista[edit]
Event Viewer consists of a rewritten event tracing and logging architecture on Windows Vista.[1] It has been rewritten around a structured XML log-format and a designated log type to allow applications to more precisely log events and to help make it easier for support technicians and developers to interpret the events.
The XML representation of the event can be viewed on the Details tab in an event’s properties. It is also possible to view all potential events, their structures, registered event publishers and their configuration using the wevtutil utility, even before the events are fired.
There are a large number of different types of event logs including Administrative, Operational, Analytic, and Debug log types. Selecting the Application Logs node in the Scope pane reveals numerous new subcategorized event logs, including many labeled as diagnostic logs.
Analytic and Debug events which are high frequency are directly saved into a trace file while Admin and Operational events are infrequent enough to allow additional processing without affecting system performance, so they are delivered to the Event Log service.
Events are published asynchronously to reduce the performance impact on the event publishing application. Event attributes are also much more detailed and show EventID, Level, Task, Opcode, and Keywords properties.
Users can filter event logs by one or more criteria or by a limited XPath 1.0 expression, and custom views can be created for one or more events. Using XPath as the query language allows viewing logs related only to a certain subsystem or an issue with only a certain component, archiving select events and sending traces on the fly to support technicians.
Filtering using XPath 1.0[edit]
- Open Windows Event Log
- Expand out Windows Logs
- Select the log file that is of interest (In the example below, the Security event log is used)
- Right-click on the Event Log and select Filter Current Log…
- Change the selected tab from Filter to XML
- Check the box to Edit query manually’
- Paste the query into the text box. Sample queries can be found below.
Here are examples of simple custom filters for the new Window Event Log:
- Select all events in the Security Event Log where the account name involved (TargetUserName) is «JUser»
<QueryList><Query Id="0" Path="Security"><Select Path="Security">*[EventData[Data[@Name="TargetUserName"]="JUser"]]</Select></Query></QueryList>
- Select all events in the Security Event Log where any Data node of the EventData section is the string «JUser»
<QueryList><Query Id="0" Path="Security"><Select Path="Security">*[EventData[Data="JUser"]]</Select></Query></QueryList>
- Select all events in the Security Event Log where any Data node of the EventData section is «JUser» or «JDoe»
<QueryList><Query Id="0" Path="Security"><Select Path="Security">*[EventData[Data="JUser" or Data="JDoe"]]</Select></Query></QueryList>
- Select all events in the Security Event Log where any Data node of the EventData section is «JUser» and the Event ID is «4471»
<QueryList><Query Id="0" Path="Security"><Select Path="Security">*[System[EventID="4471"]] and *[EventData[Data="JUser"]]</Select></Query></QueryList>
- Real-world example for a package called Goldmine which has two @Names
<QueryList><Query Id="0" Path="Application"><Select Path="Application">*[System[Provider[@Name='GoldMine' or @Name='GMService']]]</Select></Query></QueryList>
Caveats:
- There are limitations to Microsoft’s implementation of XPath[7]
- Queries using XPath string functions will result in error[8]
Event subscribers[edit]
Major event subscribers include the Event Collector service and Task Scheduler 2.0. The Event Collector service can automatically forward event logs to other remote systems, running Windows Vista, Windows Server 2008 or Windows Server 2003 R2 on a configurable schedule. Event logs can also be remotely viewed from other computers or multiple event logs can be centrally logged and monitored without an agent and managed from a single computer. Events can also be directly associated with tasks, which run in the redesigned Task Scheduler and trigger automated actions when particular events take place.
See also[edit]
- List of Microsoft Windows components
- Microsoft Management Console
- Technical support scam
References[edit]
- ^ a b «New tools for Event Management in Windows Vista». TechNet. Microsoft. November 2006.
- ^ Anderson, Nate (October 4, 2012). ««I am calling you from Windows»: A tech support scammer dials Ars Technica». Ars Technica.
- ^
«AuthzInstallSecurityEventSource Function». MSDN. Microsoft. Retrieved October 5, 2007. - ^ LLC), Tara Meyer (Aquent. «Eventquery.vbs». docs.microsoft.com.
- ^ LLC), Tara Meyer (Aquent. «Eventcreate». docs.microsoft.com.
- ^ LLC), Tara Meyer (Aquent. «Eventtriggers». docs.microsoft.com.
- ^ «Microsoft’s Implementation and Limitations of XPath 1.0 in Windows Event Log». MSDN. Microsoft. Retrieved August 7, 2009.
- ^ «Powershell script to filter events using an Xpath query». Retrieved September 20, 2011.
External links[edit]
- Official sources:
- Event Viewer — Inside Show on Microsoft Learn
- Events and Errors (Windows Server 2008) on Microsoft Learn
Инструмент Event Viewer — излюбленный фон мошенников и шарлатанов, которые используют его, чтобы убедить вас, что ваш компьютер нуждается в ремонте (конечно, за определённую плату), когда с ним все в порядке.
Event Viewer
Каждому пользователю Windows необходимо знать о средстве просмотра событий Event Viewer, хотя бы для защиты от мошенников, которые зарабатывают большие деньги на страхах людей. Мошенники звонят людям по всему миру, пытаясь убедить пользователей Windows позволить этим мошенникам захватить системы жертв через удалённый помощник.
Мошенники обычно утверждают, что они из Microsoft или как-то связаны с Microsoft. Они могут узнать ваш номер телефона, посмотрев имена людей, публикующих сообщения на форумах.
Некоторые из них просто холодные звонки. Любой случайный телефонный звонок в семью имеет очень хорошие шансы найти резонанс, когда речь заходит о проблемах Windows. Если вы случайным образом позвоните десяти людям в вашем городе и скажете, что звоните от имени Microsoft, чтобы помочь с проблемой Windows, и ваш голос будет звучать так, будто вы знаете, о чем говорите, можно поспорить, что хотя бы один или два ваших соседа воспримут ваше предложение.
Жульничество связано с функцией просмотра событий Windows. Это интересный и полезный инструмент, но только в том случае, если вы проявите инициативу и не позволите какому-нибудь быстро говорящему человеку использовать его, чтобы лишить вас пары тысяч.
Использование Event Viewer
Средство просмотра событий в Windows существует уже почти десять лет. Об этом мало кто знает. По сути, Event Viewer просматривает небольшую горстку журналов, которые ведёт Windows на вашем компьютере. Журналы представляют собой простые текстовые файлы, записанные в формате XML. Хотя вы можете думать, что Windows имеет один файл журнала событий, на самом деле их много — административный, рабочий, аналитический и отладочный, а также файлы журнала приложений.
Каждая, запускаемая на вашем ПК, программа отправляет уведомление в журнал событий. И каждая хорошо настроенная программа отправляет уведомление перед своей остановкой. Каждый доступ к системе, изменение безопасности, зависание операционной системы, сбой оборудования и сбой драйвера — все это попадает в тот или иной журнал событий.
Средство просмотра событий сканирует эти текстовые файлы журналов, объединяет их и помещает красивый интерфейс в сгенерированных машиной скучный, объёмный набор данных. Думайте о Event Viewer как о программе создания отчётов для базы данных, где базовая база данных представляет собой всего лишь несколько простых текстовых файлов.
Запомните. Теоретически журналы событий отслеживают важные события на вашем ПК. На практике, термин «важный» на совести смотрящего. Или программиста. В обычном ходе событий, мало кому, когда-либо, нужно заглядывать в журналы событий. Но если ваш компьютер начинает давать сбои, программа просмотра событий может дать вам важную информацию об источнике проблемы.
Вот как использовать Event Viewer:
- Щёлкните правой кнопкой мыши значок «Пуск». Выберите «Просмотр событий». Появится Event Viewer.
- Слева, выберите «Просмотр событий», «Пользовательские представления», «Административные события». Это может занять некоторое время, но в конце концов вы увидите список заметных событий.
- Не волнуйтесь. Даже в самой ухоженной системе может быть множество устрашающих сообщений об ошибках — сотни, если не тысячи из них. Это нормально.
События и что они означают
| Событие | Что послужило причиной события |
| Ошибка | Серьёзная проблема, возможно, включая потерю данных |
| Предупреждение | Не обязательно значительна, но может указывать на то, что назревает проблема |
| Информация | Просто программа звонит домой, чтобы сказать, что все в порядке |
Журнал административных событий — не единственный журнал, который вы можете видеть. Это квинтэссенция других журналов событий с упором на то, что может захотеть увидеть простой человек.
Другие журналы включают следующее:
- События приложений (Application events): программы сообщают о своих проблемах.
- События безопасности (Security events): они называются аудитами и показывают результаты действий безопасности. Результаты могут быть успешными или неудачными в зависимости от события, например, когда пользователь пытается войти в систему.
- События установки (Setup events): это в первую очередь относится к контроллерам домена, о чем вам не нужно беспокоиться.
- Системные события (System events): большинство ошибок и предупреждений, которые вы видите в журнале административных событий, связаны с системными событиями. Это отчёты из системных файлов Windows о проблемах, с которыми они столкнулись. Практически все они излечиваются сами.
- Перенаправленные события (Forwarded events): они отправляются на этот компьютер с других компьютеров.
События достойные и недостойные просмотра
Прежде чем вы начнёте беспокоиться о тысячах ошибок на вашем компьютере, внимательно посмотрите на поле даты и времени. В списке могут быть тысячи событий, но они, вероятно, относятся к тому моменту, когда вы впервые установили компьютер. Скорее всего, вы можете видеть несколько элементов каждый день и большинство событий — это просто повторения одной и той же ошибки или предупреждения. Скорее всего, они практически не влияют на то, как вы используете Windows.
Например, просматривая журнал событий, можно увидеть группу, сгенерированных источником с именем DistributedCOM, ошибок с идентификатором 10010, которые говорят, что сервер не зарегистрировался в DCOM в течение требуемого тайм-аута. Ничего страшного.
Если у вас нет проблем, не беспокойтесь о том, что есть в Event Viewer. Даже если у вас возникли проблемы, программа просмотра событий может вам помочь, а может и не помочь.
Подсказка. Чем может помочь программа просмотра событий. Смотрите столбец «Идентификатор события» (Event ID). Запишите идентификационный номер и найдите его на www.eventid.net. Они могут указать вам правильное направление или, по крайней мере, перевести идентификатор события на человеческий язык. На рисунке ниже показаны результаты поиска события с идентификатором 10010 — проблема DCOM.
Вы можете щёлкнуть внизу каждого описания, чтобы просмотреть комментарии, оставленные кем-то, кто решил проблему. Если вы пытаетесь отследить конкретную проблему и видите событие, которое может иметь отношение к проблеме, используйте Google, чтобы узнать, сможете ли вы найти кого-нибудь, у кого была такая же проблема.
Средство просмотра событий также может помочь вам решить проблемы с доступом к сети, поскольку, управляющие сетевым обменом данными, программы Windows, передают в журналы событий большое количество деталей. К сожалению, перевод журналов на понятный язык может оказаться непростой задачей, но, по крайней мере, вы сможете определить, где возникла проблема, даже если вы не знаете, как её решить.