Журнал событий (event logging)

Get System Info – альтернатива стандартному просмотрщику Windows

Не нравится просматривать журналы через стандартное приложение винды? Существуют альтернативы, которые представляют информацию в более наглядной и удобной для анализа форме. Одна из них – утилита Лаборатории Касперского Get System Info .

Get System Info отображает различные сведения об операционной системе, установленных программах, настройках сети, устройствах, драйверах и т. д. Записи журнала событий – лишь один из его показателей.

Преимущество этой утилиты перед стандартным средством Виндовс заключается в удобстве просмотра и показе всесторонних сведений о компьютере, что облегчает диагностику неполадок. А недостаток – в том, что она записывает не все, а только последние и наиболее значимые события.

Get System Info не требует установки на ПК, но для прочтения результатов ее придется загрузить на сайт-анализатор, то есть нужен доступ в Интернет.

Как пользоваться Get System Info:

Запустите утилиту с правами амина. Перед нажатием кнопки «Start» укажите папку сохранения лога (по умолчанию это рабочий стол) и отметьте флажком пункт «IncludeWindowseventlogs».

Утилита собирает сведения из журналов «Система» и «Приложения». События отображаются в хронологическом порядке, каждый уровень выделен своим цветом. Для просмотра информации о конкретной записи достаточно щелкнуть мышью по строке.

Настраиваемых представлений и фильтрации здесь нет, зато есть поиск и функция сортировки записей.

Строка поиска по журналам и выпадающий список «Показывать количество элементов» расположены над таблицей. А чтобы отсортировать данные по типу, дате и времени, источнику, категории, коду, файлу или пользователю, достаточно нажать на заголовок нужного столбца.

Сведения о событиях, которые собирает Get System Info, очень помогают найти источник неполадки в работе компьютера, если он связан с оборудованием, Windows или программным обеспечением. Если же вас интересуют данные о конкретном приложении, системном компоненте или безопасности, придется воспользоваться стандартным просмотрщиком. Тем более что вы теперь знаете, как его открывать без лишних усилий.

Как проверить жёсткий диск на ошибки стандартными средствами windows 10

Как ни странно, но самая важная проверка компьютера должна начинаться не с операционной системы, а с железа, конкретнее — винчестера. Жёсткий диск — это важнейшая часть компьютера для работоспособности Windows. Мелкие поломки и ошибки на поверхности — частое явление, однако когда на секторах с ошибками находятся системные файлы, ОС может перестать функционировать.

Очень важно предупреждать появление неполадок и битых секторов: первые приведут к краху операционной системы, а вторые могут безвозвратно повредить даже личную информацию. Для анализа поверхности винчестера используется вшитая в систему утилита Check Disk

1. Открываем директорию System32, что находит в папке Windows, на системном разделе винчестера.
2. Находим файл cmd.exe, кликаем по нему правой кнопкой и выбираем пункт «Запуск от имени администратора».
3. В консоли прописываем команду chkdsk d: /f /r, где d — наименование проверяемого раздела, а параметры F и R — дополнительные команды для исправления ошибок и восстановления информации на повреждённых секторах. Запускаем утилиту в работу клавишей Enter, затем вовремя запросто соглашаемся с временным прекращением работы раздела (клавиша Y) и снова жмём «Ввод».
4. Повторяем процедуру для всех разделов. Однако для проверки системного диска потребуется перезагрузка ПК.

Важно помнить, что во время работы программы Check disk нельзя закрывать терминал, иначе программа остановится. И мало того, что ошибки могут не исправиться, но в связи с отключением программы могут появиться новые проблемы на поверхности

Как очистить журнал событий в Windows 10

Среди способов, как почистить журнал событий в Windows 10, можно выделить 5 основных.

Ручная очистка журнала

Этот способ весьма прост. Он не требует специальных навыков или дополнительного софта. Все что необходимо, это:

1. Открыть журнал событий.
2. Нажать правой кнопкой мыши на необходимый раздел.
3. Выбрать команду «Очистить журнал…».

Как вы, наверное, заметили, это самый простой способ. Однако некоторые ситуации требуют прибегнуть к иным методам.

Создание файла .bat

Этот способ также позволяет быстро провести очистку. Для его реализации вам потребуется код:

@echo off

FOR /F "tokens=1,2*" %%V IN ('bcdedit') DO SET adminTest=%%V

IF (%adminTest%)==(Access) goto theEnd

for /F "tokens=*" %%G in ('wevtutil.exe el') DO (call :do_clear "%%G")

goto theEnd

:do_clear

echo clearing %1

wevtutil.exe cl %1

goto :eof

:theEnd

Его необходимо использовать в следующем алгоритме:

1. Создайте текстовый документ.
2. Скопируйте в него код, указанный выше.
3. Сохраните документ с расширением .bat (подробнее о расширениях можно прочесть в статье «Расширения файлов Windows. Как открыть и изменить расширения файлов»)
4. Запустите полученный файл от имени администратора.

После этого все отчеты будут удалены.

Очистка через командную консоль

Очистить журнал событий в Windows 10 можно и при помощи данного инструмента. Для этого потребуется:

1. Нажать клавишу «Win».
2. Вести «Командная строка».
3. Запустить утилиту от имени администратора.
4. Ввести указанную ниже команду и нажать «Enter».

for /F “tokens=*” %1 in (‘wevtutil.exe el’) DO wevtutil.exe cl “%1″

Чистка журнала событий через PowerShell

PowerShell – более продвинутая версия командной строки. Очистка журнала событий с его помощью проводится аналогичным образом. За исключением вводимой команды. В данном случае она имеет следующий вид:

wevtutil el | Foreach-Object {wevtutil cl “$_”}

При помощи программы CCleaner

Эта прекрасная программа занимается очисткой системы Windows. В том числе и записей в журнале событий. А значит вы можете не только избавится от данных, но и ускорить работу системы. Для этого:

1. Скачайте и установите программу CCleaner.
2. Перейдите в раздел «Очистка».
3. На вкладке «Windows» установите галочку напротив необходимого пункта.
4. Запустите процесс.

По завершению процедуры журнал событий будет очищен, а работа ОС оптимизирована.

Сторонние программы для проверки системы на ошибки

Помимо вшитых инструментов для исправления ошибок и недочётов системы, существуют специализированные программы и утилиты от сторонних разработчиков. Большинство из них работают по принципу click to all repair (исправление по одному клику) — функция для упрощения взаимодействия программы и пользователя.

Windows Repair Toolbox — это комплексная утилита для обслуживания операционной системы с огромным количеством возможностей. Функционал программы почти неограничен, так как ею используются другие специализированные приложения. Они доступны для скачивания и установки прямо внутри интерфейса Windows Repair Toolbox.

Windows Repair Toolbox — это комплексная утилита для обслуживания операционной системы

К сожалению, программа не имеет русского интерфейса, однако по названиям граф и приложений очень просто ориентироваться. Кроме стандартных поисков ошибок системы, реестра и неполадок с жёстким диском, в возможности приложения входят также:

• удаление вредоносных программ;
• тест открытия типов файлов и возможности устройств;
• удаление программ;
• создание бэкапов и другое.

Работа с журналом событий (для начинающих)

Как его открыть

Этот вариант универсальный и работает во всех современных версиях ОС Windows.

1. нажать сочетание кнопок Win+R — должно появиться окно «Выполнить»;
2. ввести команду eventvwr и нажать OK ( примечание : также можно воспользоваться диспетчером задач (Ctrl+Shift+Esc) — нажать по меню «Файл/новая задача» и ввести ту же команду eventvwr ) ;

eventvwr — команда для вызова журнала событий

после этого у вас должно появиться окно «Просмотр событий» — обратите внимание на левую колонку, в ней как раз и содержатся всевозможные журналы Windows

1. сначала необходимо открыть панель управления и перейти в раздел «Система и безопасность» ;

Система и безопасность

далее необходимо перейти в раздел «Администрирование» ;

после кликнуть мышкой по ярлыку «Просмотр событий» .

Просмотр событий — Администрирование

Актуально для пользователей Windows 10.

1) Нажать по значку с «лупой» на панели задач, в поисковую строку написать «событий» и в результатах поиска ОС Windows предоставит вам ссылку на журнал (см. скрин ниже).

Windows 10 — события

2) Еще один способ: нажать сочетание Win+X — появится меню со ссылками на основные инструменты, среди которых будет и журнал событий.

Win+X — вызов меню

Журналы Windows

Наибольшую пользу (по крайней мере, для начинающих пользователей) представляет раздел «Журналы Windows» (выделен на скрине выше). Довольно часто при различных неполадках приходится изучать как раз его.

В нем есть 5 вкладок, из которых 3 основных: «Приложение», «Безопасность», «Система». Именно о них пару слов подробнее:

1. «Приложение» — здесь собираются все ошибки (и предупреждения), которые возникают из-за работы программ. Вкладка будет полезна в тех случаях, когда у вас какое-нибудь приложение нестабильно работает;
2. «Система» — в этой вкладке содержатся события, которые сгенерированы различными компонентами ОС Windows (модули, драйверы и пр.);
3. «Безопасность» — события, относящиеся к безопасности системы (входы в учетную запись, раздача прав доступа папкам и файлам, и т.д.).

Как найти и просмотреть ошибки (в т.ч. критические)

Надо сказать, что Windows записывает в журналы очень много различной информации (вы в этом можете убедиться, открыв любой из них). Среди стольких записей найти нужную ошибку не так просто. И именно для этого здесь предусмотрены спец. фильтры. Ниже покажу простой пример их использования.

И так, сначала необходимо выбрать нужный журнал (например «Система») , далее кликнуть в правой колонке по инструменту «Фильтр текущего журнала» .

Система — фильтр текущего журнала / Кликабельно

После указать дату, уровень события (например, ошибки), и нажать OK.

В результате вы увидите отфильтрованный список событий. Ориентируясь по дате и времени вы можете найти именно ту ошибку, которая вас интересует. Например, в своем примере я нашел ошибку из-за которой компьютер перезагрузился (благодаря коду ошибки и подробному описанию можно найти ее решение на сайте Microsoft) .

Представлены все ошибки по дате и времени их возникновения / Кликабельно

Т.е. как видите из примера — использование журнала событий очень даже помогает в решении самых разных проблем с ПК.

Можно ли отключить журналы событий

Можно! Только нужно ли? (хотя не могу не отметить, что многие считают, что на этом можно сэкономить толику дискового пространства, плюс система более отзывчива и меньше нагрузка на жесткий диск)

Для отключения журналов событий нужно:

1. открыть «службы» (для этого нажмите Win+R , введите команду services.msc и нажмите OK) ;

Открываем службы — services.msc (универсальный способ)

далее нужно найти службу «Журнал событий Windows» и открыть ее;

Службы — журналы событий

после перевести тип запуска в режим «отключена» и нажать кнопку «остановить» . Затем сохранить настройки и перезагрузить компьютер.

Winlogbeat configuration options

Winlogbeat has a number of configuration options that are worth mentioning before configuring our specific logging pipeline. These configurations are made in the Winlogbeat configuration file at C:\Program Files\Winlogbeat\winlogbeat.yml.

First, in the ‘Winlogbeat specific options’ section, you can define which specific event logs you want to monitor. By default, Winlogbeat is set to monitor application, security, and system logs.

A tip: If you’re not sure which event logs are available, just run Get-EventLog * in PowerShell. You should get an output like this:

Max(K) Retain OverflowAction        Entries Log

------ ------ --------------        ------- ---

20,480      0 OverwriteAsNeeded         386 Application

10,240      0 OverwriteAsNeeded          31 EC2ConfigService

20,480      0 OverwriteAsNeeded           0 HardwareEvents

   512      7 OverwriteOlder              0 Internet Explorer

20,480      0 OverwriteAsNeeded           0 Key Management Serv

20,480      0 OverwriteAsNeeded       1,724 Security

20,480      0 OverwriteAsNeeded         929 System

15,360      0 OverwriteAsNeeded          39 Windows PowerShell

Next, in the General section of the configuration file, you can add the name of the log shipper that is publishing the network data (the name is used for grouping data with a single name identifier). You can also add additional fields to the log messages such as application_name and environment.

The Outputs sections are where we configure the location to which we want to forward the logs. By default, a local Elasticsearch installation is defined as the output:

output.elasticsearch:
   hosts:
      - localhost:9200

Of course, you can decide to output the event logs to Logstash instead — as we will do in the next step.

Last but not least, we can set the logging level in the Logging section to critical, error, warning, info, or debug.

Классы протоколирования событий

Для записи журналов событий существуют два разных API-интерфейса Windows. Для одного из них, который доступен, начиная с Windows Vista, предусмотрены классы-оболочки в пространстве имен System.Diagnostics.Eventing, а для другого классы-оболочки находятся в пространстве имен System.Diagnostics.

Пространство имен System. Diagnostics содержит классы для протоколирования событий, перечисленные ниже:

EventLog

С помощью класса EventLog можно читать и записывать элементы журнала событий, а также устанавливать приложения в качестве источников событий.

EventLogEntry

Класс EventLogEntry представляет отдельный элемент журнала событий. С помощью EventLogEntryCollection можно выполнять итерации по элементам EventLogEntry.

EventLogInstaller

Класс EventLogInstaller — это установщик компонента EventLog. Для создания источника событий он обращается к EventLog.CreateEventSource().

EventLogTraceListener

С помощью EventLogTraceListener трассировки могут записываться в журнал событий. Этот класс является реализацией абстрактного класса TraceListener.

Ядром протоколирования событий является класс EventLog. Члены этого класс описаны в таблице:

Entries	С помощью свойства Entries можно читать журналы событий. Entries возвращает коллекцию EventLogEntryCollection, которая содержит объекты, хранящие информацию о событиях. Вызывать метод вроде Read() не понадобится. Коллекция заполняется при обращении к этому свойству.
Log	В свойстве Log указывается журнал для чтения или записи.
LogDisplayName	LogDisplayName — свойство только для чтения, которое возвращает отображаемое имя журнала.
MachineName	Посредством MachineName указывается система, на которой должно производиться чтение или запись элементов журнала.
Source	Свойство Source специфицирует источник элементов событий, подлежащих записи.
CreateEventSource()	CreateEventSource() создает новый источник событий и новый файл журнала, если он указан при вызове этого метода.
DeleteEventSource()	Метод вызывается DeleteEventSource(), когда необходимо избавиться от источника события.
SourceExists()	С помощью этого метода можно проверить, существует ли источник событий перед его созданием.
WriteEntry()	Запись элементов журнала событий. Метод WriteEntry() проще, так как ему необходимо только передать строку.
WriteEvent()	WriteEvent() более гибкий, поскольку можно использовать файлы сообщений, которые не зависят от приложения и поддерживают локализацию.
Clear()	Метод Clear() удаляет все элементы из журнала событий.
Delete()	Метод Delete() удаляет целиком журнал событий.

Перед записью событий потребуется создать источник событий. Для этого можно использовать метод CreateEventSource() класса EventLog либо класс EventLoglnstaller. Поскольку при создании источника событий нужны административные привилегии, программа установки является более подходящим выбором.

В следующем примере осуществляется проверка наличия источника событий по имени EventLogDemoApp. Если он не существует, создается объект типа EventSourceCreationData, который определяет имя источника EventLogDemoApp и имя журнала ProCSharpLog. Все события данного источника пишутся в журнал событий ProCSharpLog. По умолчанию это журнал приложений:

Имя источника событий — это идентификатор приложения, которое пишет элементы журнала событий. Системному администратору, читающему журнал, эта информация помогает идентифицировать элементы журнала событий для отображения их на категории приложения. Примерами имен источников событий могут служить LoadPerf — для монитора производительности, MSSQLSERVER — для Microsoft SQL Server, MsiInstaller — для Windows Installer, Winlogon, Tcpip, Time-Service и т.д.

Установка имени Application для журнала событий приводит к записи элементов событий в журнал приложений. Можно также создать собственный журнал, указав имя журнала событий. Файлы журнала располагаются в каталоге <windows>\System32\WinEvt\Logs.

С помощью EventSourceCreationData допускается также задавать еще несколько характеристик для журнала событий.

Описание интерфейса программы

Окно программы состоит из следующих компонентов:

Скриншот №3. Интерфейс программы

• Панель навигации позволяет выбрать конкретный журнал, записи которого необходимо просмотреть;
• Список событий, содержащийся в выбранном журнале. В колонках выведена базовая информация о событии. Их можно отсортировать по датам, типам, категориям событий и т.д.;
• Детальная информация о выбранном во второй панели событии. Также детальную информацию можно открыть в отдельном окне, если кликнуть по нужному событию два раза;
• Панель быстрых действий, которые можно совершить с данным журналом или событием. Действия также доступны в контекстном меню (клик правой кнопкой мыши по журналу или событию).

Для удобства просмотра и управления системные журналы разбиты по категориям:

• Приложения (Application) – как и гласит название, содержит события и ошибки приложений;
• Безопасность (Security) – если в операционной системе включена и настроена функция аудита, журнал будет содержать записи, связанные с отслеживанием соответствующих событий (например, авторизация пользователя или попытки неудачного входа в операционную систему);
• Система (System) – здесь регистрируются события операционной системы и системных сервисов;
• Установка (Setup) – события, связанные с инсталляцией обновлений Windows, дополнительных приложений.

В разделе Журналы приложений и служб (Applications and Services Logs) можно найти более детальную информацию о событиях отдельных служб и приложений, зарегистрированных в операционной системе, что бывает полезно при диагностике проблем в работе отдельных сервисов.

Сами события также разделяются на типы:

• Сведения (Information) — информируют о штатной работе приложений.
• Предупреждение (Warning) — событие, свидетельствующее о возможных проблемах в будущем (например, заканчивается свободное место на диске – приложения могут продолжать работу в штатном режиме, но когда место закончится совсем, работа будет невозможна).
• Ошибка (Error) — проблема, ведущая к деградации приложения или службы, потерям данных.
• Критическое (Critical) — значительная проблема, ведущая к неработоспособности приложения или службы.
• Аудит успеха (Success audit) — событие журнала Безопасность (Security), обозначающее успешно осуществленное действие, для которого включено отслеживание (например, успешный вход в систему).
• Аудит отказа (Failure audit) — событие журнала Безопасность (Security) обозначающее безуспешную попытку осуществить действие, для которого включено отслеживание (например, ошибка входа в систему).

Проблема № 1. Неудачная система управления параметрами аудита

Наличие проблемы подтверждено на Windows 7/10/Server 2019.

Объяснение

Наименование базовых политик аудита	Наименование расширенной политики аудита
Аудит доступа к службе каталогов	Доступ к службе каталогов (DS)
Аудит доступа к объектам	Доступ к объектам
Аудит использования привилегий	Использование прав
Аудит входа в систему	Вход/выход
Аудит событий входа в систему	Вход учетной записи
Аудит изменения политики	Изменение политики
Аудит системных событий	Система
Аудит управления учетными записями	Управление учетными записями
Аудит отслеживания процессов	Подробное отслеживание

1. Эффективные политики аудита — информация, хранящаяся в оперативной памяти и определяющая текущие параметры работы модулей операционной системы, реализующих функции аудита.
2. Сохраненные политики аудита — информация, хранящаяся в реестре по адресу HKEY_LOCAL_MACHINE\SECURITY\Policy\PolAdtEv и используемая для определения эффективных политик аудита после перезагрузки системы.

Наименование средства	Отображаемые политики аудита	Сохраняемые политики аудита
«Базовые политики аудита» оснастки «Локальные политики безопасности»	Эффективные политики аудита	Эффективные политики аудита, сохраненные политики аудита
«Расширенные политики аудита» оснастки «Локальные политики безопасности»	Файл
Утилита auditpol	Сохраненные параметры аудита	Эффективные параметры аудита, сохраненные параметры аудита

Пример 1Пример 2Пример 3Пример 4

В чем суть проблемы?

Рассмотрим вероятный сценарий4719 «Аудит изменения политики»

1. На атакуемой рабочей станции предоставили себе права на запись к ключу реестра HKEY_LOCAL_MACHINE\SECURITY\Policy\PolAdtEv и экспортировали этот ключ в файл c именем «+fs.reg».
2. На другом компьютере импортировали данный файл, перезагрузились, а затем с помощью auditpol отключили аудит файловой системы, после чего экспортировали указанный выше ключ реестра в файл «-fs.reg».
3. На атакуемой машине импортировали в реестр файл «-fs.reg».
4. Создали резервную копию файла %SystemRoot%\System32\GroupPolicy\Machine\Microsoft\Windows NT\Audit\audit.csv, расположенного на атакуемой машине, а затем удалили из него подкатегорию «Файловая система».
5. Перезагрузили атакуемую рабочую станцию, а затем подменили на ней файл %SystemRoot%\System32\GroupPolicy\Machine\Microsoft\Windows NT\Audit\audit.csv ранее сохраненной резервной копией, а также импортировали в реестр файл «+fs.reg»

Как искать в журналах событий интересующие сведения

Просмотр всех записей подряд неудобен и неинформативен. Для облегчения поиска только интересующих данных используют инструмент «Фильтр текущего журнала», который позволяет исключить из показа всё лишнее. Он становится доступным в меню «Действия» при выделении мышью какого-либо журнала.

Как пользоваться функцией фильтрации

Рассмотрим на конкретном примере. Допустим, вас интересуют записи об ошибках, критических событиях и предупреждениях за последнюю неделю. Источник информации – журнал «Система». Выбираем его в каталоге Windows и нажимаем «Фильтр текущего журнала».

Далее заполняем вкладку «Фильтр»:

• Из списка «Дата» выбираем последние 7 дней.
• В разделе «Уровень события» отмечаем критическое, ошибка и предупреждение.
• В списке «Источники событий» находим интересующий параметр. Если он неизвестен, выбираем все.
• Указываем коды событий (event ID), о которых собираем сведения.
• Если нужно, отмечаем ключевые слова для сужения круга поиска и определяем пользователя (если интересуют сведения о конкретной учетной записи).

Вот, как выглядит журнал после того, как в нем осталось только то, что мы искали:

Читать его стало гораздо удобнее.

Как создавать настраиваемые представления

Настраиваемые представления – это, как сказано выше, пользовательские выборки событий, сохраненные в отдельный каталог. Отличие их от обычных фильтров лишь в том, что они сохраняются в отдельные файлы и продолжают пополняться записями, которые попадают под их критерии.

Чтобы создать настраиваемое представление, сделайте следующее:

• Выделите в разделе каталогов интересующий журнал.
• Кликните пункт «Создать настраиваемое представление» в разделе «Действие».
• Заполните настройки окошка «Фильтр» по примеру выше.
• Сохраните фильтр под любым именем в выбранный каталог.

В дальнейшем настраиваемые представления можно редактировать, копировать, удалять, экспортировать в файлы .xml, сохранять как журналы событий формата .evtx и привязывать к ним задачи планировщика.

Источники, уровни и коды событий. Как понять, что означает конкретный код

Источники событий – это компоненты ОС, драйверы, приложения или даже их отдельные составляющие, которые создают записи в журналах.

Уровни событий – это показатели их значимости. Все записи журналов отнесены к одному из шести уровней:

• Критическая ошибка указывает на самый серьезный сбой, который привел к отказу породившего его источника без возможности самостоятельного восстановления. Пример внешнего проявления такого сбоя – синий экран смерти Windows (BSoD) или внезапная перезагрузка компьютера.
• Ошибка тоже указывает на сбой, но с менее критичными последствиями для работы системы. Например, вылет программы без сохранения данных из-за нехватки ресурсов, ошибки запуска служб и т. п.
• Предупреждение – запись, сообщающая о неполадках, которые негативно влияют на работу системы, но не приводят к сбоям, а также о возможности возникновения ошибок в дальнейшем, если не устранить их причину. Пример: приложение запускалось дольше, чем обычно, что привело к замедлению загрузки системы.
• Уведомление – обычное информационное сообщение, например, о том, что операционная система приступила к установке обновления.
• Успешный отчет (аудит) – сообщение, информирующее об успехе какого-либо события. Примеры: программа успешно установлена, пользователь успешно вошел в учетную запись.
• Неуспешный отчет (аудит) – сообщение о неуспешном завершении операции. Например, установка программы не была завершена из-за отмены действия пользователем.

Код (event ID) – это число, которое указывает на категорию события. Например, записи, имеющие отношение к загрузке Windows, обозначаются кодами 100-110, а к завершению ее работы – кодами 200-210.

Для поиска дополнительной информации по конкретному коду вместе с источником события удобно использовать веб-ресурс eventid.net Он хоть и англоязычный, но пользоваться им несложно.

Код, взятый из журнала событий (на скриншоте ниже), вводим в поле «Enter Windows event id», источник – в «Event source». Нажимаем кнопку «Search» – и внизу появляется табличка с расшифровкой события и комментариями пользователей, в которых люди делятся советами по устранению связанных с ним проблем.

просмотр журнала событий Windows PowerShell

журнал Windows PowerShell событий можно просмотреть в Просмотр событий или с помощью командлетов и. чтобы просмотреть содержимое журнала Windows PowerShell, введите:

Чтобы проверить события и их свойства, используйте командлет, командлет и командлеты, которые содержат команду ( командлеты).

Например, чтобы просмотреть события в журнале, сгруппированные по ИДЕНТИФИКАТОРу события, введите:

Или введите:

Чтобы просмотреть все классические журналы событий, введите:

кроме того, с помощью командлета можно использовать классы инструментарий управления Windows (WMI) (WMI), связанные с событиями, для просмотра журнала событий. Например, чтобы просмотреть все свойства файла журнала событий, введите:

Чтобы найти классы WMI, связанные с событиями Win32, введите:

Для получения дополнительных сведений введите «Get-Help Get-EventLog» и «Get-Help Get-WmiObject».

Другие вещи, которые вы можете сделать с Windows Journal

Если вы не хотите делать все с помощью пера, вы можете вставить текст с помощью клавиатуры. Нажмите меню « Вставка» , затем нажмите « Текстовое поле» . Нажмите и перетащите перо планшета в любое место заметки, чтобы создать текстовое поле, а затем введите все, что вы хотите.

Если поле окажется не в том месте, коснитесь инструмента выделения, а затем коснитесь текстового поля. Затем наведите курсор на границу текстового поля. Ваш указатель изменится на знакомую четырехконечную стрелку, и затем вы сможете изменить положение текстового поля в любом месте. Поначалу четырехконечная стрелка может быть немного сложна, потому что для ее появления необходимо навести курсор точно на границы поля.

Вы также можете импортировать текст в заметку журнала Windows , нажав меню « Импорт» . Это работает так же, как и в других продуктах Microsoft, но у него есть дополнительный бонус, который вы сможете пометить в документе с помощью журнала Windows и сохранить его с собственноручными аннотациями.

Как использовать средства просмотра событий Windows для устранения неполадок How to use Windows Event Viewer to troubleshoot problems

Сбои и другие ошибки могут быть не просто неприятностями

Они могут замедлить работу компьютера или, в некоторых случаях, могут даже привести к потере важной информации. В Windows есть некоторые полезные инструменты, которые могут помочь вам диагностировать и исправлять эти ошибки, чтобы помочь вам справиться с вашими действиями в кратчайшие сроки

Средство просмотра событий – один из самых важных диагностических инструментов Windows. Средство просмотра может отображать, какие ошибки возникли, и помочь вам выяснить, почему они произошли. Он также отображает уровень безотлагательности, начиная с low-high, используя значки в левой части экрана.

Windows 8 Запуск средства просмотра событий:

1. Нажмите Winkey + w . Это откроет окно поиска . Введите « ev » в поле поиска и нажмите Enter. Нажмите « Просмотреть журнал событий» .

2

Обратите внимание, что основное отличие между более старыми версиями средства просмотра событий и версией Windows 8 – это дизайн 3-х панелей. Это позволяет упростить просмотр, чтобы помочь вам проанализировать, как работают разные приложения

3

Для предварительной проверки события обратите внимание на панель « Обзор и сводка»

4

Обратите внимание на события, которые обозначены как « Критические » или « Ошибки ». события, которые могут вызывать проблемы приложений или сбои

Windows XP и Vista / 7 Запуск средства просмотра событий:

1. Войдите в меню « Пуск» и выберите « Панель управления» . Затем нажмите « Система и безопасность» , как только откроется это меню, нажмите « Администрирование» . Наконец, нажмите « Просмотр событий».

Экран ниже должен появиться после успешного завершения инструкций по запуску средства просмотра

Обратите внимание на красные круги с белым « X » внутри, это указывает на события ошибки

Вы можете увидеть много событий ошибок в средстве просмотра, это вполне нормально, так как Windows будет каталогизировать каждое событие, произошедшее на вашем ПК, с момента его включения.

Боковая панель может выглядеть так:

Эта боковая панель поможет вам сузить, какая система или программа испытывает события типа аварии. Лучшее место для запуска общих проблем с компьютерным сбоем – это область административного мероприятия.

Изучение конкретного события ошибки:

1. Дважды щелкните на Администрирование событий в боковом меню. Теперь события будут отображаться в главном окне просмотра событий .

2. Начните с двойного щелчка на последнем событии ошибки. Чтобы убедиться, что последнее событие, дважды проверьте дату и время его появления, это отображается в главном окне просмотра в столбце «Дата и время». Это предоставит вам информацию о событии ошибки.

3. Перейдите на вкладку « Сведения », в которой будут отображаться сведения об ошибке и возможных причинах. В приведенном выше снимке экрана произошла ошибка из-за устаревшей проблемы с прошивкой. Средство просмотра событий предлагает установить обновление для устранения проблемы.

4

Чтобы исправить этот тип проблемы, важно проверить системные обновления прошивки на веб-сайте Microsoft