Где найти журнал событий в системе Windows 7

Любая современная ОС с графическим интерфейсом основана на событиях. То же самое касается и программного обеспечения, для таких ОС разработанного. Событие – краеугольный камень этой инфраструктуры. Под событиями понимаются не только интерактивные действия пользователя, но и результаты разнообразных системных процессов, скрытых от глаз нажимающего на кнопки и щелкающего по клавишам оператора системы.

События бывают встроенные, то есть такие, что предопределены архитектурой, и создаваемые администратором или разработчиком. В нашей статье мы рассмотрим классификацию событий в Windows, средства их журналирования и просмотра, а также методы работы с ними.

Системный журналИнтерфейс для просмотра произошедших в системе событий носит название «системного журнала». Записи в журнале создаются в результате некоторых действий программ или пользователей, зарезервированных ОС в качестве событий. Разумеется, не каждое действие фиксируется в журнале. Для этого их слишком много.

Например, передвижение мыши хотя бы на один пиксель, уже порождает программное исключение и потенциально может обрабатываться «операционкой», что, в сущности, и происходит – такие действия в журнал не попадают. А вот предупреждения системы безопасности – протоколируются, так как составляют критически важные сведения.

Windows допускает тонкую настройку перечня критически важных системных исключений. До некоторой степени вы сами вольны решать, что именно протоколировать, а без какой информации можно и обойтись. Чтобы дать вам представления об этом, перечислим некоторые из стандартных операций с журналом:

  • Просмотр перечня событий.
  • Фильтрация перечня по определенным критериям.
  • Создание «триггеров» реакций на процессы в системе – так называемая «подписка».
  • Назначение типа реакции на то или иное событие.

Как осуществить просмотр?

Чтобы осуществлять просмотр содержимого журнала, нужно запустить соответствующее приложение. Делается это так:

  • Переходим в меню «Пуск» => «Панель управления».
  • Выбираем раздел «Администрирование».
  • В этом разделе щелкаем по имени компоненты «Просмотр событий».
  • Запустится программа с окном характерного вида – так называемая «оснастка». Эта оснастка и есть визуальный интерфейс для нашего протокола.

Того же самого можно добиться, если в окошке «Выполнить» (вызывается из того же меню «Пуск») набрать команду mmc. Эта команда запустит общий интерфейс для всех оснасток, в котором нужно будет перейти в меню «Консоль» => «Добавить или удалить оснастку» и из перечня всех оснасток вызвать нужную. В седьмой версии Windows все это проделывается так же, как и в предыдущей. Окошко «Выполнить» можно вызвать и при помощи клавиатурной комбинации «Win» + «R» — результат будет тем же. По итогу наших манипуляций появится окно такого вида:
Классификация

Классификация событий ОС

Далее мы приведем классификацию записей в журнале по их значению для пользователя. События делятся на те, что генерируются самой операционной системой, и те, что исходят от приложений и служб. Однако такая классификация не учитывает смысла фиксируемых явлений. Более подробная их группировка выглядит следующим образом:

  • Просмотр событийГруппа «Приложение» включает реакции системы на некоторые результаты работы приложений. Например, почтовый сервер может оставлять в журнале записи об отправке и получении электронной почты. Соответствующие данные хранятся в файле %SystemRoot%\System32\Winevt\Logs\Application.Evtx.
  • Группа «Безопасность» не нуждается в комментариях – сюда складируется все, что так или иначе затрагивает подсистему защиты от незаконных вторжений. Например, отмечаются удачные и неудачные попытки пользователя войти в систему. Адрес файла: %SystemRoot%\System32\Winevt\Logs\Security.Evtx.
  • Группа «Установка» — здесь журнал событий Windows 7 логирует успешные и неуспешные попытки инсталлировать те или иные компоненты в процессе установки ОС. Так что если установка не увенчалась успехом или привела к нестабильной работе поставленной системы – анализ этого лога может помочь выявить источник проблемы. Файл хранится тут: %SystemRoot%\System32\Winevt\Logs\Setup.Evtx.
  • Группа «Система» — самая обширная сюда помещаются результаты инициализации драйверов, запуска служб и прочие критически важные для ОС сообщения. Файл %SystemRoot%\System32\Winevt\Logs\System.Evtx – место хранения этих сведений.
  • Группа «Пересылаемые события» — это собрание информации о пересылках данных между серверами. Все результаты таких пересылок накапливаются в файле %SystemRoot%\System32\Winevt\Logs\ForwardedEvents.Evtx.
  • Хранилище «Internet Explorer» (%SystemRoot%\System32\Winevt\Logs\InternetExplorer.Evtx) содержит логи работы браузера.
  • Просмотреть логи взаимодействия пользователя с обновленным интерфейсом командной строки «Power Shell» можно тут: %SystemRoot%\System32\Winevt\Logs\WindowsPowerShwll.Evtx.
  • Регистрация неадекватного поведения оборудования ведется в файле %SystemRoot%\System32\Winevt\Logs\HardwareEvent.Evtx.

Все данные хранятся в популярном формате XML, поэтому для их чтения и обработки необходима оболочка наподобие журнала событий. Непосредственный просмотр событий в системе Windows 7 в файлах хотя и возможен, но крайне затруднителен. Однако заниматься этим нет нужды, так как журнал событий Windows 7 делает это за нас.

Параметры записей

Каждая запись в журнале ОС Windows имеет единообразный набор параметров, характеризующих ее свойства: указатель на источник происхождения, специальный идентифицирующий код, степень критичности и многие другие.

Некоторые параметры имеют смысл для любых событий, другие же относятся только к определенным их типам. Журнал имеет меню с множеством опций, упрощающих работу пользователя с его записями:

Очистить журналТеперь вы знаете, как в Windows 7 открыть журнал событий и что он собой представляет.

Добавить комментарий