Как очистить журнал событий в windows 10, 8, 8.1, 7

Где посмотреть логи

Расположение определяется хостинг-провайдером или настройками установленного софта. На виртуальном хостинге доступ к лог-файлам предоставляется из панели управления хостингом. Если администратор не открыл его для владельца сайта, получить информацию не получится. Но большинство провайдеров разрешают свободно пользоваться журналами и проводить анализ логов сервера. Независимо от разновидности сервера лог-файлы хранятся в текстовом документе. По умолчанию он называется access.log, но настройки позволяют переименовать файл. Это актуально для Nginx, Apache, прокси-разновидностей squid, других типов. Для просмотра их надо скачать и открыть в текстовом редакторе. В качестве альтернативы можно использовать Grep и схожие утилиты. Они позволяют открыть и отфильтровать логи прямо на сервере.

Как искать в журналах событий интересующие сведения

Просмотр всех записей подряд неудобен и неинформативен. Для облегчения поиска только интересующих данных используют инструмент «Фильтр текущего журнала», который позволяет исключить из показа всё лишнее. Он становится доступным в меню «Действия» при выделении мышью какого-либо журнала.

Как пользоваться функцией фильтрации

Рассмотрим на конкретном примере. Допустим, вас интересуют записи об ошибках, критических событиях и предупреждениях за последнюю неделю. Источник информации – журнал «Система». Выбираем его в каталоге Windows и нажимаем «Фильтр текущего журнала».

Далее заполняем вкладку «Фильтр»:

• Из списка «Дата» выбираем последние 7 дней.
• В разделе «Уровень события» отмечаем критическое, ошибка и предупреждение.
• В списке «Источники событий» находим интересующий параметр. Если он неизвестен, выбираем все.
• Указываем коды событий (event ID), о которых собираем сведения.
• Если нужно, отмечаем ключевые слова для сужения круга поиска и определяем пользователя (если интересуют сведения о конкретной учетной записи).

Вот, как выглядит журнал после того, как в нем осталось только то, что мы искали:

Читать его стало гораздо удобнее.

Как создавать настраиваемые представления

Настраиваемые представления – это, как сказано выше, пользовательские выборки событий, сохраненные в отдельный каталог. Отличие их от обычных фильтров лишь в том, что они сохраняются в отдельные файлы и продолжают пополняться записями, которые попадают под их критерии.

Чтобы создать настраиваемое представление, сделайте следующее:

• Выделите в разделе каталогов интересующий журнал.
• Кликните пункт «Создать настраиваемое представление» в разделе «Действие».
• Заполните настройки окошка «Фильтр» по примеру выше.
• Сохраните фильтр под любым именем в выбранный каталог.

В дальнейшем настраиваемые представления можно редактировать, копировать, удалять, экспортировать в файлы .xml, сохранять как журналы событий формата .evtx и привязывать к ним задачи планировщика.

Источники, уровни и коды событий. Как понять, что означает конкретный код

Источники событий – это компоненты ОС, драйверы, приложения или даже их отдельные составляющие, которые создают записи в журналах.

Уровни событий – это показатели их значимости. Все записи журналов отнесены к одному из шести уровней:

• Критическая ошибка указывает на самый серьезный сбой, который привел к отказу породившего его источника без возможности самостоятельного восстановления. Пример внешнего проявления такого сбоя – синий экран смерти Windows (BSoD) или внезапная перезагрузка компьютера.
• Ошибка тоже указывает на сбой, но с менее критичными последствиями для работы системы. Например, вылет программы без сохранения данных из-за нехватки ресурсов, ошибки запуска служб и т. п.
• Предупреждение – запись, сообщающая о неполадках, которые негативно влияют на работу системы, но не приводят к сбоям, а также о возможности возникновения ошибок в дальнейшем, если не устранить их причину. Пример: приложение запускалось дольше, чем обычно, что привело к замедлению загрузки системы.
• Уведомление – обычное информационное сообщение, например, о том, что операционная система приступила к установке обновления.
• Успешный отчет (аудит) – сообщение, информирующее об успехе какого-либо события. Примеры: программа успешно установлена, пользователь успешно вошел в учетную запись.
• Неуспешный отчет (аудит) – сообщение о неуспешном завершении операции. Например, установка программы не была завершена из-за отмены действия пользователем.

Код (event ID) – это число, которое указывает на категорию события. Например, записи, имеющие отношение к загрузке Windows, обозначаются кодами 100-110, а к завершению ее работы – кодами 200-210.

Для поиска дополнительной информации по конкретному коду вместе с источником события удобно использовать веб-ресурс Он хоть и англоязычный, но пользоваться им несложно.

Код, взятый из журнала событий (на скриншоте ниже), вводим в поле «Enter Windows event id», источник – в «Event source». Нажимаем кнопку «Search» – и внизу появляется табличка с расшифровкой события и комментариями пользователей, в которых люди делятся советами по устранению связанных с ним проблем.

Журналы просмотра событий Windows

Средство просмотра событий Windows обрабатывает различные типы регистров, разделенных на две основные категории: Журналы Windows и Журналы приложений и служб.

Чтобы просмотреть информацию об этих журналах, в дереве консоли средства просмотра событий (левая панель) щелкните стрелку рядом с категорией журнала, который хотите просмотреть. Нажмите раздел, который вас интересует.

В центральном окне отметьте событие, которое хотите проанализировать. Нажмите на событие, чтобы получить описание события и его наиболее важные свойства (видимые на вкладке «Общие»), или дважды щелкните событие, чтобы открыть окно «Свойства события».

Давайте посмотрим подробно, что содержат журналы средства просмотра событий Windows.

Журналы Windows

В журнале Windows хранятся события, относящиеся ко всей системе. Они делятся на следующие категории:

• Применение. В журнале приложений содержатся события, связанные с программами и приложениями. Разработчики программного обеспечения решают, какие события записывать в журнале приложений, а какие – в журнале приложений и служб. События классифицируются в соответствии с их серьёзностью:
  • Ошибка: указывает на критическую проблему, которая могла привести к потере данных или функциональности.
  • Предупреждение: указывает на менее значительную проблему, которая может вызвать проблему в будущем.
  • Информация: описывает правильную работу драйвера, программы или службы.
• Безопасность. Журнал безопасности содержит события аудита, связанные с попытками пользователя подключиться и использованием защищенных ресурсов (создание, открытие, удаление файлов). Журнал безопасности идентифицирует события, используя два типа значков: значок ключа и значок замка.
  • Ключ: идентифицирует события типа успешная проверка.
  • Замок: идентифицирует события типа проверка не удалась.
• Установка. Журнал установки содержит события, связанные с установкой приложений.
• Система. В журнале системы указываются события, создаваемые системными компонентами Windows и установленными функциями, такие как драйвер. Например, если драйвер не загружается во время сеанса загрузки, это событие сохраняется в системном журнале. Также в этом журнале события классифицируются как Ошибка, Предупреждение или Информация.
• Перенаправленные события. В журнале сохраняются события, произошедшие на удаленных компьютерах.

Журналы приложений и служб

В Журнал приложений и служб сохраняются события, относящиеся к отдельным программам, приложениям и специфическим службам Windows.

Разница между этими журналами и журналами Windows заключается в том, что журналы приложений и служб относятся к конкретной программе или к функциональности, а остальные относятся ко всей системе.

Если мы развернем узел Microsoft, то увидим папку Windows. Эта папка содержит папку для каждой из многих функций Windows.

Window 7 – программы

Компьютерное приложение «Просмотр событий» является основной частью служебных утилит «Майкрасофт», которые предназначены для контроля и просмотра журнала событий. Это необходимый инструмент для мониторинга работоспособности системы и ликвидации появляющихся ошибок. Служебная программа «Виндовс», управляющая документированием происшествий, называется «Журналом событий». Если эта служба запущена, то она начинает собирать и протоколировать все важные данные в своем архиве. Журнал событий Windows 7 разрешает совершать следующие действия:

– просмотр данных, записанных в архив;

– использование различных фильтров событий и их сохранение для дальнейшего применения в настройках системы;

– создание подписки по определенным происшествиям и управление ими;

– назначать определенные действия при возникновении каких-либо событий.

Как использовать содержимое журнала

Пользоваться журналом событий достаточно просто. В первую очередь необходимо понять, что означает тот или иной код ошибок и из-за чего произошел сбой. В операционной системе предусмотрено несколько логов событий: архив историй и служебный журнал. В архиве хранятся данные о том, какие сбои фиксируются в данный момент. В свою очередь, в истории содержатся архивы ранее произошедших критических ошибок.

Анализ лога действий и ошибок

Анализ файлового лога системного журнала ОС Windows 7:

Анализ журнала ошибок поможет установить, из-за чего произошел критический сбой

Окно свойства события

Чтобы просмотреть детали одного события, мы должны использовать окно Свойства события. Чтобы открыть его, дважды щелкните левой кнопкой мыши на событии в центральной панели.

В окне «Свойства события» мы можем выбрать вкладку Общие или Подробности.

Вкладка «Подробности»

Вкладка «Подробности» содержит дополнительную информацию о событии.

Информация разделена на два раздела (расширяется нажатием +):

• System: содержит общую информацию, общую для каждого экземпляра события, например, некоторые системные параметры, записанные при публикации экземпляра.
• EventData: содержит структурированную информацию о приложении.

Как искать в журналах событий интересующие сведения

Просмотр всех записей подряд неудобен и неинформативен. Для облегчения поиска только интересующих данных используют инструмент «Фильтр текущего журнала», который позволяет исключить из показа всё лишнее. Он становится доступным в меню «Действия» при выделении мышью какого-либо журнала.

Как пользоваться функцией фильтрации

Рассмотрим на конкретном примере. Допустим, вас интересуют записи об ошибках, критических событиях и предупреждениях за последнюю неделю. Источник информации – журнал «Система». Выбираем его в каталоге Windows и нажимаем «Фильтр текущего журнала».

Далее заполняем вкладку «Фильтр»:

• Из списка «Дата» выбираем последние 7 дней.
• В разделе «Уровень события» отмечаем критическое, ошибка и предупреждение.
• В списке «Источники событий» находим интересующий параметр. Если он неизвестен, выбираем все.
• Указываем коды событий (event ID), о которых собираем сведения.
• Если нужно, отмечаем ключевые слова для сужения круга поиска и определяем пользователя (если интересуют сведения о конкретной учетной записи).

Вот, как выглядит журнал после того, как в нем осталось только то, что мы искали:

Читать его стало гораздо удобнее.

Как создавать настраиваемые представления

Настраиваемые представления – это, как сказано выше, пользовательские выборки событий, сохраненные в отдельный каталог. Отличие их от обычных фильтров лишь в том, что они сохраняются в отдельные файлы и продолжают пополняться записями, которые попадают под их критерии.

Чтобы создать настраиваемое представление, сделайте следующее:

• Выделите в разделе каталогов интересующий журнал.
• Кликните пункт «Создать настраиваемое представление» в разделе «Действие».
• Заполните настройки окошка «Фильтр» по примеру выше.
• Сохраните фильтр под любым именем в выбранный каталог.

В дальнейшем настраиваемые представления можно редактировать, копировать, удалять, экспортировать в файлы .xml, сохранять как журналы событий формата .evtx и привязывать к ним задачи планировщика.

Источники, уровни и коды событий. Как понять, что означает конкретный код

Источники событий – это компоненты ОС, драйверы, приложения или даже их отдельные составляющие, которые создают записи в журналах.

Уровни событий – это показатели их значимости. Все записи журналов отнесены к одному из шести уровней:

• Критическая ошибка указывает на самый серьезный сбой, который привел к отказу породившего его источника без возможности самостоятельного восстановления. Пример внешнего проявления такого сбоя – синий экран смерти Windows (BSoD) или внезапная перезагрузка компьютера.
• Ошибка тоже указывает на сбой, но с менее критичными последствиями для работы системы. Например, вылет программы без сохранения данных из-за нехватки ресурсов, ошибки запуска служб и т. п.
• Предупреждение – запись, сообщающая о неполадках, которые негативно влияют на работу системы, но не приводят к сбоям, а также о возможности возникновения ошибок в дальнейшем, если не устранить их причину. Пример: приложение запускалось дольше, чем обычно, что привело к замедлению загрузки системы.
• Уведомление – обычное информационное сообщение, например, о том, что операционная система приступила к установке обновления.
• Успешный отчет (аудит) – сообщение, информирующее об успехе какого-либо события. Примеры: программа успешно установлена, пользователь успешно вошел в учетную запись.
• Неуспешный отчет (аудит) – сообщение о неуспешном завершении операции. Например, установка программы не была завершена из-за отмены действия пользователем.

Код (event ID) – это число, которое указывает на категорию события. Например, записи, имеющие отношение к загрузке Windows, обозначаются кодами 100-110, а к завершению ее работы – кодами 200-210.

Для поиска дополнительной информации по конкретному коду вместе с источником события удобно использовать веб-ресурс eventid.net Он хоть и англоязычный, но пользоваться им несложно.

Код, взятый из журнала событий (на скриншоте ниже), вводим в поле «Enter Windows event id», источник – в «Event source». Нажимаем кнопку «Search» – и внизу появляется табличка с расшифровкой события и комментариями пользователей, в которых люди делятся советами по устранению связанных с ним проблем.

Свойства событий

Каждый столбец это определенное свойство события. Все эти свойства отлично описал Дмитрий Буланов здесь. Приведу скриншот. Для увеличения нажмите на него.

Устанавливать все столбцы в таблице не имеет смысла так как ключевые свойства отображаются в области просмотра. Если последняя у вас не отображается, то дважды кликнув левой кнопкой мышки на событие в отдельном окошке увидите его свойства

На вкладке Общие есть описание этой ошибки и иногда способ ее исправления. Ниже собраны все свойства события и в разделе Подробности дана ссылка на Веб-справку по которой возможно будет информация по исправлению ошибки.

Как проверить компьютер через монитор стабильности системы

Чтобы приступить к проверке компьютера через монитор стабильности системы, нужно сначала открыть эту утилиту. Это можно сделать двумя способами:

• Запустить “Панель управления”, после чего перейти в раздел “Центр безопасности и обслуживания”. Далее в левой части открывшегося окна выберите “Просмотр архива сообщений”, и вы окажетесь в утилите для проверки стабильности системы;
• Запустить строку “Выполнить”, нажав на клавиатуре сочетание Win+R, после чего использовать команду perfmon /rel.

Открыв монитор стабильности системы, остается изучить данные, которые он дает, чтобы понять потенциальную причину проблемы. В нижней части окна отображаются источники событий, которые выведены на графике. Монитор разделяет их на 5 видов событий: сбои приложений, сбои Windows, прочие сбои, предупреждения и сведения. В зависимости от того, какие виды событий происходили, части из них может не быть в нижней части окна утилиты.

В верхней части приложения можно выбрать способ отображения информации за период — день или неделя. Выбирая временной промежуток и нажимая на него, можно в нижней части окна наблюдать за событиями, которые произошли именно в этот промежуток времени.

На таймлайне монитора стабильности сверху отображается синяя полоса. Она указывает, насколько стабильно работает Windows и приложения на компьютере. В зависимости от количества произошедших негативных событий, каждый день записи в мониторе стабильности полоса занимает положение по шкале от 1 до 10. Чем менее стабильно работает система по мнению утилиты, тем меньше бал она выставляет компьютеру в тот или иной отчетный период.

Чтобы определить причину ошибки, отображенной в журнале стабильности в тот или иной день, можно посмотреть, что именно с компьютером происходило, как в этот день, так и в дни ранее. Например, на таймлайне может быть отображено, что в один из дней пользователь установил драйвера для определенного устройства, после чего появились ошибки в работе связанного с ним приложения. Это указывает на необходимость обновить драйвер или откатить его к прошлой версии. Подобным образом можно диагностировать, кроме прочего, стабильность работы ключевых компонентов системы, например, видеокарты, драйвера которой зачастую обновляются в фоновом режиме, и пользователь может не подозревать, что из-за новой версии ПО устройство стало нестабильно работать.

Где находится журнал событий и как его открыть

Постоянная «прописка» файла просмотрщика журнала событий – eventvwr.msc, – папка Windowssystem32. Но ради доступа к нему никто в эту папку, разумеется, не лазит, ведь есть способы проще. Вот они:

Главное меню Windows – «Пуск». Щелкать по его кнопке следует не левой, а правой клавишей мыши. Пункт «Просмотр событий» – четвертый сверху.

Системный поиск – кнопка со значком в виде лупы возле «Пуска». Достаточно начать вводить в поисковую строку слово «просм…» – и вот он, нашелся.

Виндовая утилита «Выполнить» (Run) просто создана для тех, кто предпочитает горячие клавиши. Нажмите на клавиатуре Windows+К (русская), вбейте в строку «Открыть» команду eventvwr (имя файла просмотрщика) и щелкните ОК.

Командная строка или консоль Powershell (их тоже удобно открывать через контекстное меню кнопки Пуск). Для запуска журнала событий снова введите eventvwr и щелкните Enter.

Старая добрая Панель управления (кстати, если желаете вернуть ее в контекст Пуска, читайте эту статью). Перейдите в раздел «Система и безопасность», спуститесь вниз окна до пункта «Администрирование» и кликните «Просмотр журналов событий».

Системная утилита «Параметры», пришедшая на смену панели управления. Зарываться в ее недра – то еще удовольствие, но можно сделать проще – начать вбивать в строку поиска слово «администрирование». Следом просто перейдите в найденный раздел и щелкните ярлык просмотрщика.

НахОдите журнал событий Windows увлекательным чтивом? Тогда, возможно, вам понравится идея держать его всегда под рукой. Чтобы поместить ярлык просмотрщика на рабочий стол, зайдите любым из способов в раздел панели управления «Администрирование», скопируйте ярлык нажатием клавиш Ctrl+C, щелкните мышкой по рабочему столу и нажмите Ctrl+V.

Приложение Просмотр событий Windows

Что такое Просмотр событий?

Просмотр событий — это стандартное приложение Windows для просмотра журналов событий Windows и некоторых операций по управлению журналами Windows. Приложение Просмотр событий позволяет получать данные как из локальных журналов событий, так и из журналов Windows других компьютеров по сети. Программа Просмотр событий отображает все доступные в вашей системе журналы, а также позволяет создавать настраиваемые представления и задать правила перенаправления событий. Отображаемые события могут быть отфильтрованы и даже экспортированы либо в файл журнала, либо в текстовые файлы csv или xml. Однако приложение Просмотр событий не позволяет настраивать формат экспорта. Хотя программа Просмотр событий хорошо справляется со своими задачами, все же множество полезных функций в ней не реализовано. Многие специалисты находят функционал Просмотра событий Windows недостаточным для комфортной работы с журналами событий. Наша программа Event Log Explorer помимо базовых функций, аналогичных возможностям программы Просмотр событий, также дает множество дополнительных функций и преимуществ.

Как открыть Просмотр событий?

Самый простой способ запустить приложение Просмотр событий — это выполнить следующие шаги:

• Открыть панель управления
• Выбрать система и безопасность
• Затем выбрать Администрирование
• Найти в списке и запустить приложение Просмотр событий

Другие способы запустить Просмотр событий

Запустить Просмотр событий через диалог Выполнить:

• Открыть диалог Выполнить (Windows кнопка + R)
• Ввести команду: EVENTVWR
• Нажать клавишу Enter или кнопку ОК

Открыть Просмотр событий через Управление компьютером.

• Откройте Проводник Windows
• Выделите в списке «Мой компьютер»
• На панели инструментов станет доступно меню-закладка «Компьютер»
• В группе «Система» найдите кнопку «Управление», нажмите ее, должно открыться окно «Управление компьютером»
• В окне «Управление компьютером» слева в дереве найдите элемент «Служебные программы», убедитесь что этот элемент раскрыт
• Выделите элемент «Просмотр событий», убедитесь что в центральной части окна открылся вид «Обзор и сводка» с информацией о журналах событий

Работа с журналами событий Windows 7

Работа заключается в сортировке, группировке, очистке журналов и создании настраиваемых представлений для удобства нахождения тех или иных событий.

Сортировка событий

Выбираем любой журнал. Например Приложение и в таблице по центру кликаем по шапке любого столбца левой кнопкой мышки. Произойдет сортировка событий по этому столбцу

Если вы еще раз нажмете то получите сортировку в обратном направлении. Принципы сортировки такие же как и для проводника Windows. Ограничения в невозможности выполнить сортировку более чем по одному столбцу.

Группировка событий

Для группировки событий по определенному столбцу кликаем по его шапке правой кнопкой мышки и выбираем Группировать события по этому столбцу. В примере события сгруппированы по столбцу Уровень

В этом случае удобна работать с определенной группой событий. Например с Ошибками. После группировки событий у вас появится возможность сворачивать и разворачивать группы. Это можно делать и в самой таблице событий дважды щелкнув по названию группы. Например по Уровень: Предупреждение (74).

Для удаления группировки необходимо снова кликнуть по шапке столбца правой кнопкой мышки и выбрать Удалить группировку событий.

Очистка журнала

Если вы исправили ошибки в системе приводившие к записи событий в журнале, то вероятно вы захотите очистить журнал, чтобы старые записи не мешали диагностировать новые состояния компьютера. Для этого нажимаем правой кнопкой на журнале который нужно очистить и выбираем Очистить журнал…

В открывшемся окошке мы можем просто очистить журнал и можем Сохранить его в файл перед очищением

Сохранить и очистить предпочтительно, так как удалить всегда успеем.

Настраиваемые представления

Настроенные сортировки и группировки пропадают при закрытии окошка Просмотр событий. Если вам приходится часто работать с событиями то можно создать настраиваемые представления. Это определенные фильтры которые сохраняются в соответствующем разделе дерева консоли и никуда не пропадают при закрытии Просмотра событий.

Для создания настраиваемого представления нажимаем на любом журнале правой кнопкой мышки и выбираем Создать настраиваемое представление…

В открывшемся окошке в разделе Дата выбираем из выпадающего списка диапазон времени за который нам нужно выбирать события

В разделе Уровень события ставим галочки для выбора важности событий. Мы можем сделать выборку по определенному журналу или журналам или по источнику

Переключаем радиобокс в нужное положение и из выпадающего списка устанавливаем необходимые галочки

Мы можем сделать выборку по определенному журналу или журналам или по источнику. Переключаем радиобокс в нужное положение и из выпадающего списка устанавливаем необходимые галочки

Можно выбрать определенные коды событий чтобы они показывались или не показывалась в созданном вами представлении.

Когда все параметры представления выбрали жмем ОК

В появившемся окошке задаем имя и описание настраиваемого представления и жмем ОК

Для примера создал настраиваемое представление для Ошибок и критических событий из журналов Приложение и Безопасность

Это представление в последствии можно редактировать и оно никуда не пропадет при закрытии утилиты Просмотр событий. Для редактирования нажимаем на представлении правой кнопкой мышки и выбираем Фильтр текущего настраиваемого представления…

В открывшемся окошке делаем дополнительные настройки в представлении.

Можно провести аналогию Настраиваемого представления с сохраненными условиями поиска в проводнике Windows 7.