Просмотр событий
 | |
 Просмотр событий в Windows 10 | |
| Разработчик(и) | Майкрософт |
|---|---|
| Операционная система | Microsoft Windows |
| Название службы | Журнал событий Windows ( журнал событий ) |
| Тип | Утилита |
Средство просмотра событий — это компонент Windows Microsoft NT операционной системы , который позволяет администраторам и пользователям просматривать журналы событий , обычно с расширениями файлов. .evt и .evtx, на локальном или удаленном компьютере. Приложения и компоненты операционной системы могут использовать эту службу централизованного журнала для сообщения о произошедших событиях, таких как сбой при запуске компонента или невозможности выполнения действия. В Windows Vista Microsoft переработала систему событий. [ 1 ]
Из-за того, что программа просмотра событий регулярно сообщает о незначительных ошибках запуска и обработки (которые на самом деле не наносят вреда и не повреждают компьютер), это программное обеспечение часто используется мошенниками из службы технической поддержки, чтобы заставить жертву думать, что на их компьютере содержатся критически важные файлы. ошибки, требующие немедленной технической поддержки. [ 2 ] Примером может служить поле «Административные события» в разделе «Пользовательские представления», в котором за месяц может быть зарегистрировано более тысячи ошибок или предупреждений.
Обзор
[ редактировать ]Windows NT поддерживает журналы событий с момента ее выпуска в 1993 году.
Средство просмотра событий использует идентификаторы событий для определения уникально идентифицируемых событий, с которыми может столкнуться компьютер Windows. пользователя Например, если аутентификация не удалась, система может сгенерировать событие с кодом 672.
В Windows NT 4.0 добавлена поддержка определения «источников событий» (т. е. приложения, создавшего событие) и выполнения резервного копирования журналов.
В Windows 2000 добавлена возможность приложениям создавать свои собственные источники журналов в дополнение к трем системным файлам журналов «Система», «Приложение» и «Безопасность». Windows 2000 также заменила средство просмотра событий NT4 оснасткой управления Microsoft (MMC) консоли .
В Windows Server 2003 добавлено AuthzInstallSecurityEventSource() Вызовы API, чтобы приложения могли регистрироваться в журналах событий безопасности и записывать записи аудита безопасности. [ 3 ]
Версии Windows, основанные на ядре Windows NT 6.0 ( Windows Vista и Windows Server 2008 ), больше не имеют ограничения на общий размер в 300 мегабайт. До NT 6.0 система открывала файлы на диске как файлы, отображенные в памяти в пространстве памяти ядра, которые использовали те же пулы памяти, что и другие компоненты ядра.
Файлы журналов просмотра событий с расширением имени файла evtx обычно появляются в таком каталоге, как C:\Windows\System32\winevt\Logs\
Интерфейс командной строки
[ редактировать ]| Разработчик(и) | Майкрософт |
|---|---|
| Первоначальный выпуск | 25 октября 2001 г |
| Операционная система | Microsoft Windows |
| Тип | Команда |
| Лицензия | Собственное коммерческое программное обеспечение |
| Веб-сайт | документы |
В Windows XP представлен набор из трех инструментов интерфейса командной строки , полезных для автоматизации задач:
eventquery.vbs– Официальный скрипт для запроса, фильтрации и вывода результатов на основе журналов событий. [ 4 ] Прекращено после XP.eventcreate– команда (продолжение в Vista и 7) для записи пользовательских событий в журналы. [ 5 ]eventtriggers– команда для создания событийно-ориентированных задач. [ 6 ] Прекращено после XP, заменено функцией «Прикрепить задачу к этому событию», то есть из списка событий. Right-Click для одного события и выберите его из всплывающего меню.
Windows Виста
[ редактировать ]Средство просмотра событий представляет собой переписанную архитектуру отслеживания и регистрации событий в Windows Vista. [ 1 ] Он был переписан на основе структурированного формата журнала XML и назначенного типа журнала, чтобы позволить приложениям более точно регистрировать события и облегчить специалистам службы поддержки и разработчикам интерпретацию событий.
XML-представление события можно просмотреть на вкладке «Сведения» в свойствах события. Также можно просмотреть все потенциальные события, их структуры, зарегистрированных издателей событий и их конфигурацию с помощью утилиты wevtutil еще до того, как события будут запущены.
Существует большое количество различных типов журналов событий, включая административные, операционные, аналитические и отладочные журналы. При выборе узла « Журналы приложений» на панели «Область» отображаются многочисленные новые журналы событий с подкатегориями, многие из которых помечены как журналы диагностики.
Аналитические и отладочные события, которые происходят с высокой частотой, сохраняются непосредственно в файле трассировки, тогда как административные и эксплуатационные события достаточно редки, чтобы обеспечить дополнительную обработку, не влияя на производительность системы, поэтому они доставляются в службу журнала событий.
События публикуются асинхронно, чтобы снизить влияние на производительность приложения публикации событий . Атрибуты событий также гораздо более подробны и отображают свойства EventID, Level, Task, Opcode и Ключевые слова.
Пользователи могут фильтровать журналы событий по одному или нескольким критериям или по ограниченному выражению XPath 1.0 , а также создавать собственные представления для одного или нескольких событий. Использование XPath в качестве языка запросов позволяет просматривать журналы, относящиеся только к определенной подсистеме или проблеме только с определенным компонентом, архивировать выбранные события и оперативно отправлять трассировки специалистам службы поддержки.
Фильтрация с использованием XPath 1.0
[ редактировать ] | Этот раздел содержит инструкции, советы и инструкции . ( август 2019 г. ) |
- Открыть журнал событий Windows
- Развернуть журналы Windows
- Выберите интересующий файл журнала (в примере ниже безопасности ). используется журнал событий
- Щелкните правой кнопкой мыши журнал событий и выберите «Фильтровать текущий журнал…».
- Измените выбранную вкладку с «Фильтр» на «XML».
- Установите флажок « Редактировать запрос вручную»
- Вставьте запрос в текстовое поле. Примеры запросов можно найти ниже.
Вот примеры простых пользовательских фильтров для нового журнала событий окна:
- Выберите все события в журнале событий безопасности, где имя учетной записи (TargetUserName) — «JUser».
<QueryList><Query Id="0" Path="Security"><Select Path="Security">*[EventData[Data[@Name="TargetUserName"]="JUser"]]</Select></Query></QueryList>
- Выберите все события в журнале событий безопасности, где любой узел данных раздела EventData представляет собой строку «JUser».
<QueryList><Query Id="0" Path="Security"><Select Path="Security">*[EventData[Data="JUser"]]</Select></Query></QueryList>
- Выберите все события в журнале событий безопасности, где любой узел данных раздела EventData имеет значение «JUser» или «JDoe».
<QueryList><Query Id="0" Path="Security"><Select Path="Security">*[EventData[Data="JUser" or Data="JDoe"]]</Select></Query></QueryList>
- Выберите все события в журнале событий безопасности, где любой узел данных раздела EventData имеет значение «JUser», а идентификатор события — «4471».
<QueryList><Query Id="0" Path="Security"><Select Path="Security">*[System[EventID="4471"]] and *[EventData[Data="JUser"]]</Select></Query></QueryList>
- Реальный пример пакета Goldmine с двумя @Names.
<QueryList><Query Id="0" Path="Application"><Select Path="Application">*[System[Provider[@Name='GoldMine' or @Name='GMService']]]</Select></Query></QueryList>
Предостережения:
- Существуют ограничения на реализацию XPath от Microsoft. [ 7 ]
- Запросы с использованием строковых функций XPath приведут к ошибке [ 8 ]
Подписчики событий
[ редактировать ]Основные подписчики событий включают службу Event Collector и Task Scheduler 2.0. Служба сбора событий может автоматически пересылать журналы событий в другие удаленные системы, работающие под управлением Windows Vista , Windows Server 2008 или Windows Server 2003 R2 , по настраиваемому расписанию. Журналы событий также можно просматривать удаленно с других компьютеров, или можно централизованно регистрировать и отслеживать несколько журналов событий без агента и управлять ими с одного компьютера. События также могут быть напрямую связаны с задачами, которые запускаются в обновленном планировщике задач и запускают автоматические действия при возникновении определенных событий.
См. также
[ редактировать ]- Общая файловая система журналов (CLFS)
- Список компонентов Microsoft Windows
- Консоль управления Microsoft
- Мошенничество с техподдержкой
Ссылки
[ редактировать ]- ^ Jump up to: а б «Новые инструменты для управления событиями в Windows Vista» . ТехНет . Майкрософт . Ноябрь 2006 г.
- ^ Андерсон, Нейт (4 октября 2012 г.). « Я звоню вам из Windows»: мошенник из техподдержки звонит в Ars Technica» . Арс Техника .
- ^ «Функция AuthzInstallSecurityEventSource» . MSDN . Майкрософт . Проверено 5 октября 2007 г.
- ^ LLC), Тара Мейер (Aquent. «Eventquery.vbs» . docs.microsoft.com .
- ^ LLC), Тара Мейер (Aquent. «Eventcreate» . docs.microsoft.com .
- ^ LLC), Тара Мейер (Aquent. «Eventtriggers» . docs.microsoft.com .
- ^ «Реализация Microsoft и ограничения XPath 1.0 в журнале событий Windows» . MSDN . Майкрософт . Проверено 7 августа 2009 г.
- ^ «Скрипт Powershell для фильтрации событий с помощью запроса Xpath» . Проверено 20 сентября 2011 г.
Внешние ссылки
[ редактировать ]
- Официальные источники:
- Просмотр событий — Inside Show на Microsoft Learn
- События и ошибки (Windows Server 2008) в Microsoft Learn
