Где найти журнал событий в windows 8. Использование журнала событий в Windows. Инструкция — где находится журнал windows

Думаю, что каждый из пользователей, который работает с компьютером, сталкивался с проблемами и ошибками. Пора вам научиться читать журнал событий Windows , который отображает сообщения приложений и самой системы: ошибки, информационные сообщения, предупреждения. Здесь содержится информация о событиях, кои система посчитала записать для администратора. Просто так, на всякий пожарный.

В нормально работающей системе пользователь сюда дорогу не знает – просто незачем. Однако при появлении ошибок (лагов) в Windows поводов заглянуть сюда появляется немало, благо отсюда есть что почерпнуть.

Где находится Журнал событий?

Самый быстрый способ попасть в него, это набрать в строке поиска после нажатия клавиши WIN слова «журналы событий». И щёлкнуть по соответствующей ссылке:

Или наберите Пуск – команда eventvwr.msc . По умолчанию, Просмотр событий откроет вкладки, в том числе со сводкой административных событий, где перечислена информация по важности для администратора. Важнейшая из них Критический тип события. Погуляйте по разделу Журналы Windows , ключевые директории Приложения и Система .

Всё происходящее в системе записывается в нескольких документах. И скорее всего, вы обнаружите там несколько ошибок. Это не значит пока ровным счётом ничего. Если система стабильна, эти ошибки не критичны и не побеспокоят вас никогда. Кстати, можете присмотреться – ошибки сохраняются для программ, которых на компьютере давно уже и нет.

Игра была закрыта с помощью клавиш Alt + F4 – мама, видимо, зашла в комнату.

Теоретически, остальным программам также велено записывать важные и не очень события в Журнал, однако, на моей памяти, они эти почти не занимаются.

Читателю уже может показаться, что внимание к Журналу можно не уделять.

Журнал поможет внимательному и думающему пользователю в случаях появления серьёзных сбоев в работе, например, при появлении или при неожиданных перезагрузках системы. Так, в Журнале легко обнаружиться «погибший» драйвер. Вам нужно лишь внимательно посмотреть на появившиеся красные значки с надписью Критический уровень и удалить указанный драйвер, а может подумать о замене устройства.

ничего страшного ещё не произошло

а здесь уже всё серьёзно: компьютер отключался

Ищем нужные события: процессы и логи результатов

К примеру, после некоторого времени работы мы обнаружили залипание мыши, пропажу некоторых папок и неработающие пути: первый признак появления на диске. Для работы с ними необходимо последовательно запустить утилиту проверки состояния диска chkdsk /f , которая начнёт работу после перезагрузки, а затем проверим на целостность файловую систему самой Windows sfc /scannow . Так вот, на результаты работы как этих, так и прочих утилит можно посмотреть в том же журнале:

Так как одна из этих утилит запускается системой только перед загрузкой (для тома, который эту систему содержит), есть смысл поискать результаты по флагу Wininit (от Win dows Init ialisation).

Как научиться читать журнал событий windows ?

Впрочем, можно не гадать. Microsoft имеет официальную страницу поддержки по сообщениям системы. Если вас интересует конкретное событие, вы можете посетить страницу в сети:

Однако, по моему мнению, очень хорошим сервисом, который поможет читать журнал событий Windows , является сервис

В России ему аналогов нет, однако для владеющих английским и просто любопытствующих я покажу как им пользоваться. Так, для взятого выше примера, на странице сервиса введите в поля код ошибки и службу, которая её вызвала:

Остаётся закинуть наши условия в поиск, щёлкнув по кнопке Search и на странице появятся результаты с объяснением возникновения ошибки. Формально, они будут ненамного подробнее объяснений, даваемых самим Журналом, однако, если вы прокрутите страницу результатов ниже, то в описании на английском увидите ссылку на своеобразный форум с готовыми решениями проблемы или причинами, с которыми уже сталкивались пользователи при возникновении одноимённой ошибки. Всё на английском. Учиться надо было… И, если честно, ваш покорный слуга дальше этого сайта редко уходит: всё нечто похожее где-то когда-то уже происходило.

Как всегда, просмотр журнала событий – это не панацея. Однако от бессмысленных гаданий пользователя может спасти, сэкономив на поиске проблемы кучу времени.

Журнал событий Windows – как очистить?

Итак, с проблемами справились, система стабильна. Тогда давайте избавимся от ненужных в Журнале записей: если вы Журнал посещали, некую захламлённость по числу записей в нём наблюдать могли.

Способов очистки существует несколько. Можно это сделать через PowerShell Windows:

Wevtutil el | Foreach-Object {Write-Host "Clearing $_"; wevtutil cl "$_"}

Можно через консоль:

For /f %x in ("wevtutil el") do wevtutil cl "%x"

Я же предложу вам небольшой скрипт, который вы можете поместить в текстовый документ, сохранить с расширением .bat . Я свой так и назвал Очистка логов (итоговый файл запускайте с правами админа):

Вот скрипт:

@echo off FOR /F "tokens=1,2*" %%V IN ("bcdedit") DO SET adminTest=%%V IF (%adminTest%)==(Access) goto noAdmin for /F "tokens=*" %%G in ("wevtutil.exe el") DO (call:do_clear "%%G") echo. echo goto theEnd:do_clear echo clearing %1 wevtutil.exe cl %1 goto:eof:noAdmin exit

Дождитесь окончания работы скрипта, окно консоли само захлопнется:

Всем привет, тема стать как посмотреть логи windows. Что такое логи думаю знают все, но если вдруг вы новичок, то логи это системные события происходящие в операционной системе как Windows так и Linux, которые помогают отследить, что, где и когда происходило и кто это сделал. Любой системный администратор обязан уметь читать логи windows.

Примером из жизни может служить ситуация когда на одном из серверов IBM, выходил из строя диск и для технической поддержки я собирал логи сервера , для того чтобы они могли диагностировать проблему. За собирание и фиксирование логов в Windows отвечает служба Просмотр событий. Просмотр событий это удобная оснастка для получения логов системы.

Как открыть в просмотр событий

Зайти в оснастку Просмотр событий можно очень просто, подойдет для любой версии Windows. Нажимаете волшебные кнопки

Win+R и вводите eventvwr.msc

Откроется у вас окно просмотр событий windows в котором вам нужно развернуть пункт Журналы Windows. Пробежимся по каждому из журналов.

Журнал Приложение, содержит записи связанные с программами на вашем компьютере. В журнал пишется когда программа была запущена, если запускалась с ошибкоу, то тут это тоже будет отражено.

Журнал аудит, нужен для понимания кто и когда что сделал. Например вошел в систему или вышел, попытался получить доступ. Все аудиты успеха или отказа пишутся сюда.

Пункт Установка, в него записывает Windows логи о том что и когда устанавливалось Например программы или обновления.

Самый важный журнал Это система. Сюда записывается все самое нужное и важное. Например у вас был синий экран bsod , и данные сообщения что тут заносятся помогут вам определить его причину.

Так же есть логи windows для более специфических служб, например DHCP или DNS . Просмотр событий сечет все:).

Предположим у вас в журнале Безопасность более миллиона событий, наверняка вы сразу зададите вопрос есть ли фильтрация, так как просматривать все из них это мазохизм. В просмотре событий это предусмотрели, логи windows можно удобно отсеять оставив только нужное. Справа в области Действия есть кнопка Фильтр текущего журнала.

Вас попросят указать уровень событий:

Критическое
Ошибка
Предупреждение
Сведения
Подробности

Все зависит от задачи поиска, если вы ищите ошибки, то смысла в других типах сообщение нету. Далее можете для того чтобы сузить границы поиска просмотра событий укзать нужный источник событий и код.

Так что как видите разобрать логи windows очень просто, ищем, находим, решаем. Так же может быть полезным быстрая очистка логов windows:

Посмотреть логи windows PowerShell

Было бы странно если бы PowerShell не умел этого делать, для отображения log файлов открываем PowerShell и вводим вот такую команду

Get-EventLog -Logname "System"

В итоге вы получите список логов журнала Система

Тоже самое можно делать и для других журналов например Приложения

Get-EventLog -Logname "Application"

небольшой список абревиатур

Код события - EventID
Компьютер - MachineName
Порядковый номер события - Data, Index
Категория задач - Category
Код категории - CategoryNumber
Уровень - EntryType
Сообщение события - Message
Источник - Source
Дата генерации события - ReplacementString, InstanceID, TimeGenerated
Дата записи события - TimeWritten
Пользователь - UserName
Сайт - Site
Подразделение - Conteiner

Например, для того чтобы в командной оболочке вывести события только со столбцами «Уровень», «Дата записи события», «Источник», «Код события», «Категория» и «Сообщение события» для журнала «Система», выполним команду:

Get-EventLog –LogName ‘System’ | Format-Table EntryType, TimeWritten, Source, EventID, Category, Message

Если нужно вывести более подробно, то заменим Format-Table на Format-List

Get-EventLog –LogName ‘System’ | Format-List EntryType, TimeWritten, Source, EventID, Category, Message

Как видите формат уже более читабельный.

Так же можно пофильтровать журналы например показать последние 20 сообщений

Get-EventLog –Logname ‘System’ –Newest 20

Дополнительные продукты

Так же вы можете автоматизировать сбор событий, через такие инструменты как:

Комплекс мониторинга Zabbix
Через пересылку событий средствами Windows на сервер коллектор
Через комплекс аудита Netwrix
Если у вас есть SCOM, то он может агрегировать любые логи Windows платформ
Любые DLP системы

Так что вам выбирать будь то просмотр событий или PowerShell для просмотра событий windows, это уже ваше дело. Материал сайта

Удаленный просмотр логов

Первый метод

Не так давно в появившейся операционной системе Windows Server 2019 , появился компонент удаленного администрирования Windows Admin Center . Он позволяет проводить дистанционное управление компьютером или сервером, подробнее он нем я уже рассказывал. Тут я хочу показать, что поставив его себе на рабочую станцию вы можете подключаться из браузера к другим компьютерам и легко просматривать их журналы событий, тем самым изучая логи Windows. В моем примере будет сервер SVT2019S01, находим его в списке доступных и подключаемся (Напомню мы так производили удаленную настройку сети в Windows).

Далее вы выбираете вкладку "События", выбираете нужный журнал, в моем примере я хочу посмотреть все логи по системе. С моей точки зрения тут все просматривать куда удобнее, чем из просмотра событий. Плюсом будет, то что вы это можете сделать из любого телефона или планшета. В правом углу есть удобная форма поиска

Если нужно произвести более тонкую фильтрацию логов, то вы можете воспользоваться кнопкой фильтра.

Тут вы так же можете выбрать уровень события, например оставив только критические и ошибки, задать временной диапазон, код событий и источник.

Вот пример фильтрации по событию 19.

Очень удобно экспортировать полностью журнал в формат evxt, который потом легко открыть через журнал событий. Так, что Windows Admin Center, это мощное средство по просмотру логов.

Второй метод

Второй способ удаленного просмотров логов Windows, это использование оснастки управление компьютером или все той же "Просмотр событий". Чтобы посмотреть логи Windows на другом компьютере или сервере, в оснастке щелкните по верхнему пункту правым кликом и выберите из контекстного меню "".

Указываем имя другого компьютера, в моем примере это будет SVT2019S01

Если все хорошо и нет блокировок со стороны брандмауэра или антивируса, то вы попадете в удаленный просмотр событий.если будут блокировки, то получите сообщение по типу, что не пролетает трафик COM+.

Так же хочу отметить, что есть целые системы агрегации логов, такие как Zabbix или SCOM, но это уже другой уровень задач..

Операционная система Windows Vista тщательно и неустанно следит за всем, что с ней происходит. Абсолютно все действия, которые называются «событиями», постоянно фиксируются и распределяются по различным категориям. Программу Просмотр событий (которая является, если вам интересно, оснасткой MMC) можно представить в качестве журнала, который ведет скрупулезная и въедливая старушка на скамейке у подъезда. Она фиксирует, кто входит в дом и выходит из него, какие ведутся разговоры между жильцами, кто с кем развелся и подрался. Иными словами, имеет полную картину того, чем живет дом.

Подобную функцию соглядатая и выполняет программа Просмотр событий, которая, в отличие от любопытства старушки, предназначена для диагностики и выявления тех проблем в работе ОС, о которых пользователь и не догадывался.

Все события, происходящие в системе, записываются в специальных системных журналах. Программа Просмотр событий позволяет просматривать содержимое этих журналов, архивировать и удалять их. Как именно можно использовать данную программу? Основное предназначение - выявлять возникшие проблемы и причину их появления. Если произошел сбой в работе устройства, жесткий диск «забился под завязку», какая-то программа постоянно «зависает» или произошло другое неприятное событие, информация об произошедшем будет зафиксирована в соответствующем системном журнале. Далее достаточно запустить Просмотр событий и получить полную и наглядную информацию из системного журнала.

Запустить программу Просмотр событий можно одним из следующих способов.

Выберите команду Пуск>Панель управления , щелкните на ссылке Система и ее обслуживание , затем на ссылке Администрирование и, наконец, на ссылке Просмотр событий .
Второй способ для нетерпеливых: введите в командной строке команду eventvwr .

Напомним, что, кроме щелчка на кнопке Пуск , вызвать окно командной строки можно, нажав комбинацию клавиш . Также не забывайте, что для использования всех возможностей инструмента Просмотр событий требуются административные права доступа.

В любом случае откроется окно, показанное далее.

Просмотр событий из нескольких системных журналов.
Создание фильтров событий в виде настраиваемых представлений.
Возможность создать задачу, выполняемую автоматически с определенным событием.

Рассмотрим более внимательно окно, показанное выше. Окно разделено на три панели. На левой панели Просмотр событий представлено несколько папок, содержащих настраиваемые представления, журналы и подписки. На центральной панели содержится несколько вложенных меню, таких как и Недавно просмотренные узлы . Наконец, на правой панели Действия можно выбрать определенные действия, например, создать настраиваемое представление или подключиться к другому компьютеру.

Панель позволяет быстро выявить все важные события, зафиксированные за прошедший час, день или неделю. Каждый тип события можно раскрыть, чтобы узнать подробную информацию о событии. Панель дает общую картину происходящего в системе, а для получения конкретной информации следует перейти к определенному событию.

Поскольку программа Просмотр событий используется для просмотра системных журналов, щелкните на значках в виде папок и Журналы приложений и служб на левой панели, чтобы раскрыть список доступных журналов. Рассмотрим его более подробно. В папке представлены следующие журналы.

Приложение . События в данном журнале генерируются приложениями, включая установленные программы, поставляемые с Windows Vista, и службы операционной системы. То, какие именно события записываются в данном журнале, зависит от конкретной программы.
Безопасность . В этом журнале перечислены попытки пользователей зайти в систему (удачные и неудачные), а также действия, связанные с общедоступными ресурсами, такие как действия по созданию, изменению или удалению файлов или папок.
Настройки . События в данном журнале создаются при установке программ.
Система . Системные события генерируются самой Windows и устанавливаемыми компонентами, такими как драйверы устройств. Журнал удобно использовать для обнаружения драйверов, в загрузке которых при запуске Windows произошел сбой.
Пересланные события . В этом журнале можно найти события, собранные с других компьютеров в сети.

В папке Журналы приложений и служб можно найти записи для отдельных приложений и служб. В то время как в других журналах представлены общие записи, в этом журнале можно найти сведения о работе конкретных программ. Обратите внимание на вложенную папку Microsoft, в которой, в свою очередь, расположена вложенная папка Windows. В этой папке можно найти записи для самых разнообразных компонентов Windows Vista, представленных в отдельных папках.

В ОС линейки Виндовс производится регистрация всех основных событий, которые происходят в системе с последующей их записью в журнале. Записываются ошибки, предупреждения и просто различные уведомления. На основе этих записей опытный пользователь может подкорректировать работу системы и устранить ошибки. Давайте узнаем, как открыть журнал событий в Windows 7.

Журнал событий хранится в системном инструменте, который имеет название «Просмотр событий» . Посмотрим, как с помощью различных способов в него можно перейти.

Способ 1: «Панель управления»

Один из самых распространенных способов запуска описываемого в данной статье инструмента, хотя далеко не самый легкий и удобный, осуществляется с помощью «Панели управления» .

Способ 2: Средство «Выполнить»

Намного проще инициировать активацию описываемого инструмента при помощи средства «Выполнить» .

Базовый недостаток этого быстрого и удобного способа заключается в необходимости удержать в уме команду вызова окна.

Способ 3: Поле поиска меню «Пуск»

Очень похожий метод вызова изучаемого нами инструмента осуществляется с задействованием поля поиска меню «Пуск» .

Способ 4: «Командная строка»

Вызов инструмента через «Командную строку» довольно неудобен, но и такой способ существует, а поэтому он тоже стоит отдельного упоминания. Сначала нам потребуется вызвать окно «Командной строки» .

Способ 5: Прямой старт файла eventvwr.exe

Можно воспользоваться таким «экзотическим» вариантом решения поставленной задачи, как прямой старт файла из «Проводника» . Тем не менее, и данный способ может пригодиться на практике, например, если сбои достигли такого масштаба, что другие варианты запустить инструмент просто недоступны. Такое бывает крайне редко, но вполне возможно.

Прежде всего, необходимо перейти в место нахождения файла eventvwr.exe. Он расположен в системном каталоге по такому пути:

C:\Windows\System32

Способ 6: Введение пути к файлу в адресной строке

При помощи «Проводника» можно запустить интересующее нас окно и быстрее. При этом даже не придется искать eventvwr.exe в каталоге «System32» . Для этого в адресном поле «Проводника» просто нужно будет указать путь к данному файлу.

Способ 7: Создание ярлыка

Если вы не хотите запоминать различные команды или переходы по разделам «Панели управления» считаете слишком неудобными, но при этом часто пользуетесь журналом, то в таком случае можете сформировать иконку на «Рабочем столе» или в другом удобном для вас месте. После этого запуск инструмента «Просмотр событий» будет осуществляться максимально просто и без необходимости что-то запоминать.

Проблемы с открытием журнала

Бывают такие случаи, когда возникают проблемы с открытием журнала вышеописанными способами. Чаще всего это происходит из-за того, что отвечающая за работу данного инструмента служба деактивирована. При попытке запуска инструмента «Просмотр событий» отобразится сообщение, где говорится о том, что служба журнала событий недоступна. Тогда необходимо произвести её активацию.

Прежде всего, нужно перейти в «Диспетчер служб» . Это можно сделать из раздела «Панели управления» , который называется «Администрирование» . Как в него перейти, подробно описывалось при рассмотрении Способа 1 . Попав в данный раздел, ищите пункт «Службы» . Кликните по нему.

В «Диспетчер служб» можете перейти с помощью средства «Выполнить» . Вызовите его, набрав Win+R . В область для ввода вбейте:

Жмите «OK» .

Независимо от того, совершили вы переход через «Панель управления» или использовали ввод команды в поле инструмента «Выполнить» , запускается «Диспетчер служб» . В списке ищите элемент «Журнал событий Windows» . Чтобы облегчить поиск, можете выстроить все объекты перечня в алфавитном прядке, кликнув по названию поля «Имя» . После того, как нужная строка найдена, взгляните на соответствующее ей значение в колонке «Состояние» . Если служба включена, то там должна находиться надпись «Работает» . Если же там пусто, то это означает, что служба деактивирована. Также посмотрите на значение в колонке «Тип запуска» . В нормальном состоянии там должна находиться надпись «Автоматически» . Если там стоит значение «Отключена» , то это означает, что служба не активируется при запуске системы.

Чтобы это исправить, перейдите в свойства службы, кликнув по наименованию дважды ЛКМ .

Открывается окно. Кликните по области «Тип запуска» .

Из раскрывшегося списка выбирайте «Автоматически» .

Жмите по надписям «Применить» и «OK» .

Возвратившись в «Диспетчер служб» , отметьте «Журнал событий Windows» . В левой области оболочки кликните по надписи «Запустить» .

Запуск службы произведен. Теперь в соответствующем ей поле колонки «Состояние» отобразится значение «Работает» , а в поле колонки «Тип запуска» появится надпись «Автоматически» . Теперь журнал можно открыть любым из тех способов, которые мы описывали выше.

Существует довольно много вариантов активировать журнал событий в Виндовс 7. Конечно, самые удобные и популярные способы – это переход через «Панель инструментов» , активация при помощи средства «Выполнить» или поля поиска меню «Пуск» . Для удобного доступа к описываемой функции можете создать иконку на «Рабочем столе» . Иногда возникают проблемы с запуском окна «Просмотр событий» . Тогда нужно проверить, активирована ли соответствующая служба.

Просмотр событий в Windows отображает историю (журнал) системных сообщений и событий, генерируемых программами - ошибок, информационных сообщений и предупреждений. Кстати, мошенники иногда могут использовать просмотр событий для обмана пользователей - даже на нормально функционирующем компьютере в журнале всегда будут сообщения об ошибках.

Запуск просмотра событий

Для того, чтобы запустить просмотр событий Windows, наберите это самое словосочетание в поиске или же зайдите в «Панель управления» - «Администрирование» - «Просмотр событий»

Собственно, зачем вообще я об этом пишу, раз в просмотре событий Windows нет ничего интересного для обычного пользователя? Все-таки данная функция (или программа, утилита) Windows может быть полезной при возникновении проблем с компьютером - когда случайным образом появляется синий экран смерти Windows, или происходит произвольная перезагрузка - в просмотре событий можно отыскать причину данных событий. К примеру, ошибка в журнале системы может дать информацию о том, драйвер какого именно оборудования вызвал сбой для последующих действий по исправлению ситуации. Просто найдите ошибку, которая возникла в то время, когда компьютер перезагрузился, завис или отобразил синий экран смерти - ошибка будет отмечена как критическая.

Есть и другие применения просмотра событий. Например, Windows записывает время полной загрузки операционной системы. Или, если на вашем компьютере располагается сервер, Вы можете включить запись событий выключения и перезагрузки - всякий раз, когда кто-то будет выключать ПК, ему потребуется ввести причину этого, а вы сможете позже просмотреть все выключения и перезагрузки и введенную причину события.

Кроме этого, можно использовать просмотр событий совместно с планировщиком задач - кликните правой кнопкой мыши по любому событию и выберите «Привязать задачу к событию». Всякий раз, когда будет происходить данное событие, Windows будет запускать соответствующую задачу.