Способ 1: Контекстное меню журнала
Очистить журнал событий в операционной системе Windows 10 можно путем использования функции контекстного меню соответствующего элемента. Делается это непосредственно в утилите просмотра событий, поэтому предварительно откройте ее. Если вы не знаете, как это сделать, ознакомьтесь с соответствующей статьей на нашем сайте, в ней автор предлагает несколько способов выполнения поставленной задачи.
Подробнее: Как посмотреть журнал событий в операционной системе Windows 10
После появления на экране окна «Просмотр событий» разверните на боковой панели слева каталог «Журналы Windows» и кликните правой кнопкой мыши по первому элементу из появившегося списка. На изображении ниже это пункт «Приложение». В появившемся контекстном меню нажмите по строке «Очистить журнал».
Подтвердите свои действия, щелкнув в открывшемся диалоговом окне по кнопке «Очистить». Сразу после этого все записи журнала исчезнут. Чтобы очистить журнал событий полностью, проделайте такие же действия с другими пунктами из списка «Журналы Windows».
В конечном итоге, какой бы журнал для просмотра вы не выбрали, он будет пустым, о чем свидетельствует отсутствие записей в соответствующем интерфейсе утилиты.
Способ 2: «Командная строка»
Если вы не хотите вручную чистить каждый журнал Windows 10, воспользуйтесь «Командной строкой». Для выполнения поставленной задачи потребуется ввести всего одну команду, но консоль обязательно должна быть запущена с повышенными привилегиями. Для этого можно воспользоваться поиском по системе. Установите курсор в соответствующее поле на панели задач, введите запрос «Командная строка», а затем в результатах щелкните по пункту «Запуск от имени администратора». Затем в появившемся диалоговом окне контроля учетных записей подтвердите запуск, кликнув по кнопке «Да».
Читайте также: Запуск «Командной строки» от имени администратора в Windows 10
В открывшейся консоли введите приведенную ниже команду и нажмите Enter для ее выполнения. Это мгновенно удалит все данные из журнала событий.
for /F "tokens=*" %1 in ('wevtutil.exe el') DO wevtutil.exe cl "%1"
Примечание! Не обязательно вписывать эту команду в консоль вручную, вы можете ее скопировать в буфер обмена сочетанием Ctrl + C (предварительно выделив), а затем вставить в «Командную строку», щелкнув правой кнопкой мыши.
Стоит отметить, что через консоль можно удалять журналы выборочно. Для этого достаточно знать только название нужного. Для отображения списка их имен воспользуйтесь приведенной ниже командой.
wevtutil el|more
Найдя в списке название журнала, выполните другую команду, показанную ниже, заменив [название_журнала] на выбранное из списка наименование. В примере ниже на скриншоте вы можете видеть как происходит очистка журнала «HradwareEvents».
wevtutil.exe cl [название_журнала]
Обратите внимание, что после выполнения команды никакого отчета не последует, необходимо дождаться только появления нового запроса на ввод команды — это будет символизировать удачное выполнение процедуры.
Способ 3: «PowerShell»
Очистить журнал событий в Windows 10 можно посредством ввода специальной команды в оболочку «PowerShell». Для успешного выполнения поставленной задачи она должна быть запущена от имени администратора. Для этого можно воспользоваться поиском по системе или контекстным меню кнопки «Пуск». Во втором случае щелкните правой кнопкой мыши по кнопке и в появившемся списке выберите пункт «Windows PowerShell (администратор)». В открывшемся после этого диалоговом окне нажмите «Да».
Читайте также: Запуск «PowerShell» в операционной системе Windows 10
Чтобы очистить все журналы событий в Windows 10, потребуется воспользоваться приведенной ниже командой. Скопируйте ее в буфер обмена и вставьте в консоль правой кнопкой мыши. После этого нажмите Enter для выполнения.
wevtutil el | Foreach-Object {wevtutil cl "$_"}
Обратите внимание! В течение выполнения операции на экране будут появляться надписи «Не удалось очистить журнал …» и «Отказано в доступе». Это происходит по той причине, что некоторые журналы являются важными для операционной системы и их удалить невозможно.
После этого вы можете убедиться в том, что процедура прошла успешно. Для этого откройте утилиту «Просмотр событий» и поочередно просмотрите все пункты в каталоге «Журналы Windows» — они будут пустыми.
Важно! После проделанных действий журнал событий со временем снова начнет заполняться новой информацией. Чтобы систематически не приходилось его чистить одним из описанных в статье способом, можно отключить в Windows 10 специальную службу, отвечающую за сбор информации. На эту тему у нас есть отдельная статья, в которой подробно рассказывается о том, как это сделать. При необходимости ознакомьтесь с ней, перейдя по ссылке ниже.
Подробнее: Как отключить «Журнал событий» в Windows 10
Наша группа в TelegramПолезные советы и помощь
В Windows вы можете очистить журналы событий Event Viewer с помощью графической оснастки eventvwr.msc, из командной строки и с помощью PowerShell.
Содержание:
- Очистка журнал событий из графической консоли Event Viewer
- Удаление логов Windows из командной строки
- Clear-EventLog: команда PowerShell для очистки журналов событий
Очистка журнал событий из графической консоли Event Viewer
Самый интуитивный способ очистки журналов событий Windows – воспользоваться графической консоль Event Viewer.
- Запустите консоль
eventvwr.msc
;
- Щелкните правой кнопкой по журналу и выберите Clear Log;
Такой способ позволяет быстро удалить все события из одного конкретного журнала. Однако в Windows используется несколько сотен журналов для разных компонентов операционной системы и стороннего ПО.
По умолчанию Windows хранит журналы в файлах с расширением EVTX в каталоге
%SystemRoot%\System32\Winevt\Logs\
.
Если вам нужно очистить их все – это будет утомительно вручную прощелкать все разделы Event Viewer и очистить каждый журнал. В этом случае для удаления событий лучше использовать PowerShell или командную строку.
Удаление логов Windows из командной строки
Для очистки журналов Windows из командной строки используется утилита wevtutil.exe.
Вывести список зарегистрированных в Windows журналов событий:
WevtUtil enum-logs
или короткий вариант:
WevtUtil el
Для удаления событий из одного конкретного журнала, скопируйте его имя и выполните команду:
WevtUtil cl Microsoft-Windows-GroupPolicy/Operational
Перед очисткой можно создать резервную копию событий в журнале в отдельный файл:
WevtUtil cl Microsoft-Windows-GroupPolicy/Operational /bu:GPOLOG_Bak.evtx
Можно очистить сразу все журналы событий из cmd.exe:
for /F "tokens=*" %1 in ('wevtutil.exe el') DO wevtutil.exe cl "%1"
Для BAT файла нужно использовать немного другой синтаксис:
for /F "tokens=*" %%1 in ('wevtutil.exe el') DO wevtutil.exe cl "%%1"
Clear-EventLog: команда PowerShell для очистки журналов событий
В PowerShell для получения списка журналов событий Windows и их очистки можно использовать командлеты Get-WinEvent и Clear-EventLog.
Откройте консоль PowerShell с правами администратора, выведите список всех имен журналов в Windows и их настройки:
Get-WinEvent -ListLog *
Команда выведет максимальные размеры и параметры всех журналов событий Windows.
Чтобы удалить все события из двух журналов (например, журналов Security и System), выполните команду:
Clear-EventLog –LogName Security,System
При этом журнал очищается, и в него записывается событие с EventID 104 или 1102 с временем очистки, пользователем, выполнившим и описанием:
The System log file was cleared The audit log was cleared.
Для очистки административных и операционных журналов событий Windows, выполните такую однострочную команду PowerShell:
Get-WinEvent -ListLog * -Force | % { Wevtutil.exe cl $_.Logname }
Или:
wevtutil el | Foreach-Object {wevtutil cl "$_"}
Примечание. В нашем примере не удалось очистить 3 журнала из-за ошибки доступа. Попробуйте вручную очистить содержимое этих журналов из консоли Event Viewer.
Наверняка, вы знаете о том, что журнал событий в Windows 10 представляет собой некое хранилище, которым возможно будет воспользоваться при условии, что необходимо будет взять из данного хранилища конкретную информацию. Понятное дело, что такого плана хранилище весьма практично и удобно для использования, вот только бывают ситуации, когда просто необходимо очистить журнал событий в Windows 10. Причин для очистки хранилища может быть очень много и разнообразны они могут быть до невероятности, так что, давайте попытаемся проделать очистку несколькими способами.
Способ № 1 – Ручная очистка журнала событий в Windows 10
В данном шаге все будет предельно просто и от вас не потребуется делать что-то сверх глобальное. Просто производим открытие оснастки событий через меню «Пуск» при условии, что мы разворачиваем журнал или же кликаем ПКМ по нужному разделу и соответственно выбираем в открывшемся меню опцию «Очистить журнал…».
Способ № 2 – Очистка журнала событий в Windows 10 при помощи командной строки
Если вам нужно очистить журнал событий в Windows 10 целиком и полностью, тогда стоит использовать «командную строку». Для этого, производим запуск консоли от имени Администратора и производим в ней выполнение следующей команды: for /F «tokens=*» %1 in (‘wevtutil.exe el’) DO wevtutil.exe cl «%1»
Как только вы пропишите вышеназванную команду и нажмете на клавишу «Enter», то тут же увидите на экране монитор лог действий по удалению всех записей подряд.
Если же, вам необходимо используя командную строку очистить не все разделы разом, а только какой-то один, тогда стоит использовать «первоначально команду»: «wevtutil el|more».
Которая покажет вам список доступных журналов, а уже после этого, произведите выбор необходимого для удаления журнала и произведите его очистку используя команду: wevtutil.exe cl NameLog
Обратите внимание на то, что в вышеназванной команде, «NameLog» — это имя того журнала, который необходимо будет удалить.
Способ № 3 – Очистка журнала событий в Windows 10 при помощи PowerShell
Для того, чтоб очистить журнал событий в Windows 10, вы можете использовать «PowerShell». Для данного действия вам необходимо произвести запуск консоли от имени Администратора и произвести в ней выполнение связки из пары команд следующего вида: wevtutil el | Foreach-Object {wevtutil cl «$_»}
Обратите внимание, что данный способ позволит вам очистить практически весь журнал событий, кроме нескольких событий, к которым вы не имеете не какого доступа.
Привет, друзья. В этой публикации поговорим о таком системном компоненте, как журнал событий Windows 10. Это часть классического функционала операционной системы, унаследованная от версий-предшественниц, оснастка консоли управления MMC. Журнал событий являет собой административную функцию, фиксирующую значимые события самой системы, установленных драйверов и программ. Что за события ведёт журнал, и как можно использовать его данные — давайте в этом разбираться ниже.
Журнал событий Windows 10
Итак, журнал событий Windows 10. Это системное средство, фиксирующее различные технические события операционной системы. Может быть полезно при решении разного рода проблем на компьютере – при произвольных выключениях или перезагрузках, частых зависаниях, появлении BSOD, проблемах с обновлениями, сбоях работы драйверов и т.п. Журнал событий входит в число средств администрирования операционной системы.
Находится в составе оснастки консоли MMC «Просмотр событий».
Эту оснастку можно запустить в меню по клавишам Win+X.
Либо с помощью системного поиска, введя в него запрос «просмотр…».
Одной из веток оснастки и есть журнал событий – ветка «Журналы Windows»
События в журнале сгруппированы по категориям, самые значимые из них:
-
«Система» — категория, содержащая события самой операционной системы;
-
«Приложение» — категория, содержащая события установленных в Windows 10 программ;
-
«Безопасность» — категория, содержащая события, связанные со входом пользователей в операционную систему, участием в защищённых локальных сетях, запуском брандмауэра, операциями шифрования и т.п.
Именно в этих категориях преимущественно нужно искать события, которые могут что-то нам рассказать о проблемах с компьютером.
У событий в журнале есть уровни, они же, по сути, типы событий:
-
Сведения — это информационные сообщения, фиксирующие запуски и остановки системных и программных служб, которые выполнены обычно, без каких-то проблем и сбоев;
-
Предупреждения — сообщения, фиксирующие системные и программные события, при выполнении которых возникли проблемы. Эти проблемы потенциально могут быть причинами сбоя Windows 10 и программ;
-
Ошибки — сообщения, фиксирующие события, при выполнении которых произошёл критический сбой программ и Windows 10, влекущий за собой потерю данных. Ошибки бывают обычные и критические. Критические – это те, что повлекли за собой сбой работы системы.
Каждое из событий имеет общее и подробное описание, по формулировкам из которых в случае с предупреждениями и ошибками мы можем дополнительно наюзать в Интернете информацию, что это за проблема, и что с ней делать.
Но, друзья, пересматривать все предупреждения и ошибки журнала, заморачиваться ими, что-то выяснять – всё это без надобности делать не нужно. Наличие в журнале огромного числа ошибок и предупреждений не значит, что с компьютером что-то не то. В работе Windows 10 происходит множество различных процессов, их работа иногда завершается нештатно, но эти процессы перезапускаются и потом нормально работают. Чем больше на компьютере используется различного ПО, тем больше будет разного типа событий. Обращаться к журналу событий Windows 10 нужно только тогда, когда у нас есть какая-то проблема – сбои работы драйверов, произвольное разлогинивание системы, зависания, произвольные перезагрузки или выключения компьютера, появление BSOD и т.п. В таких случаях журнал событий, возможно, поможет нам отыскать причину проблемы или как минимум даст направления, в которых нужно искать причину. Также журнал позволит отследить частоту и закономерность сбоев работы системы и программ, что может быть важно при определении причины проблемы.
События в журнале можно фильтровать по ключевым словам и сортировать по различным критериям, в частности, по уровню критичности, дате и времени фиксации события. Например, можем отсортировать события по дате и времени, чтобы отследить, какие события в конкретный день предшествовали внезапному сбою работы компьютера. Другой пример: дабы отследить все сбои, можем отсортировать сообщения по уровню ошибок в начале списка и посмотреть дату и время каждого сбоя.
В контекстном меню или на панели консоли справа есть опции событий, которые нам могут пригодиться в процессе их отслеживания:
-
«Свойства событий» — открывает событие в отдельном окошке для удобства просмотра;
-
«Копировать» — копирует сведения события как таблицу или как простой текст;
-
«Сохранить выбранные события» — сохраняет событие в отдельный файл.
Если вы столкнулись с какой-то проблемой и отследили все важные события журнала, после этого можно очистить его. Дабы в будущем, если снова столкнётесь с необходимостью отслеживания событий, в журнале был, так сказать, меньший фронт работы. Для очистки вызываем на каждой очищаемой категории контекстное меню и выбираем «Очистить журнал».
Всем привет!
Очистка следов работы в операционной системе — один из важнейших этапов для скрытия каких либо действий.
Во время расследования криминалисты проверяют следы активности на компьютерах для выявления каких либо действий. Это один из примеров, почему вам стоит научиться работать с логами и понять как это работает.
ВНИМАНИЕ!
Автор статьи никого не призывает к правонарушениям и отказывается нести ответственность за ваши действия. Вся информация предоставлена исключительно в ознакомительных целях. Спасибо!
Для начала разберёмся с некоторыми типами журналов и их расположением для примера.
Журналы DHCP-сервера — это журналы, в которых ведется учет присвоения IP-адресов в сети. В этом журнале хранятся все события при взаимодействии между потенциальным DHCP-клиентом и DHCP-сервером. Наибольший интерес здесь представляют MAC-адреса клиентов, которые будут занесены в соответствующий журнал событий.
Журналы DHCP хранятся в каталоге % SystemRoot% \ System32 \ dhcp
Журналы веб-сервера хранят сообщения обо всех действиях при взаимодействии между веб-сервером и клиентским веб-браузером.
Файлы журнала Internet Information Server (IIS) находятся в
% SystemDrive% \ inetpub \ logs \ LogFiles
Event logs фиксируют все, что происходит в системе, с момента ее включения и до выключения. В Windows 10 конфигурация журналов событий хранится в следующем разделе реестра:
HKLM \ System \ ControlSet00x \ Services \ EventLog
Чтобы просмотреть список имён доступных журналов событий в Windows 10, используйте команду
wevtutil el
Использование команды wevtutil gl <имя журнала> представит информацию о конфигурации для выбранного журнала:
Стоит отметить, что сами системные журналы Windows хранятся по пути C:\Windows\System32\winevt \Logs в локальной системе:
В Windows средство просмотра событий является приложением, которое объединяет журналы приложений, безопасности, установки и системы на единой информационной панели. Это приложение располагается в следующем каталоге:
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Administrative Tools\Просмотрщик событий
Также для открытия средства просмотра событий в Windows достаточно ввести сочетание к��авиш Win + R , и в окне «Выполнить» ввести eventvwr.msc и нажать OK:
В окне «Просмотр событий» журналы можно очистить, просто выбрав функцию «Очистить журнал» кнопкой на панели «Действия». Чтобы очистить журналы для определенной категории, например всех журналов, которые находятся в группе «Приложение», просто щелкните правой кнопкой мыши имя группы и выберите «Очистить журнал»:
Также можно очистить журналы с помощью консоли:
for / F «tokens = *»% 1 в (‘wevtutil.exe el’) DO wevtutil.exe cl «% 1»
Либо мы можем воспользоваться Powershell.
Для этого вводим следующую команду:
wevtutil el | Foreach-Object {wevtutil cl “$_”}
После выполнения команды журналы стираются, как показано в средстве просмотра событий:
Meterpreter разработан, чтобы быть скрытым, мощным и динамически расширяемым. После успешного закрепления в системы вы можете использовать команду clearev для очистки журналов приложений, системы и безопасности:
clearev
Meterpreter очищает журналы каждой категории в целевой системе. Также указано количество очищенных записей.
В этой статье мы рассмотрели способы скрытия активности во время тестирования на проникновение, а также обычного использования системы.
На этом мы заканчиваем. Спасибо за внимание.
Следите за мной в соц-сетях:
• Tik-Tok: aferium
• Группа ВК: aferium_vk
• Телеграм: aferium
• Яндекс Дзен: aferium
• VC.RU: aferium
• Teletype: aferium