В Windows вы можете очистить журналы событий Event Viewer с помощью графической оснастки eventvwr.msc, из командной строки и с помощью PowerShell.
Содержание:
- Очистка журнал событий из графической консоли Event Viewer
- Удаление логов Windows из командной строки
- Clear-EventLog: команда PowerShell для очистки журналов событий
Очистка журнал событий из графической консоли Event Viewer
Самый интуитивный способ очистки журналов событий Windows – воспользоваться графической консоль Event Viewer.
- Запустите консоль
eventvwr.msc
;
- Щелкните правой кнопкой по журналу и выберите Clear Log;
Такой способ позволяет быстро удалить все события из одного конкретного журнала. Однако в Windows используется несколько сотен журналов для разных компонентов операционной системы и стороннего ПО.
По умолчанию Windows хранит журналы в файлах с расширением EVTX в каталоге
%SystemRoot%\System32\Winevt\Logs\
.
Если вам нужно очистить их все – это будет утомительно вручную прощелкать все разделы Event Viewer и очистить каждый журнал. В этом случае для удаления событий лучше использовать PowerShell или командную строку.
Удаление логов Windows из командной строки
Для очистки журналов Windows из командной строки используется утилита wevtutil.exe.
Вывести список зарегистрированных в Windows журналов событий:
WevtUtil enum-logs
или короткий вариант:
WevtUtil el
Для удаления событий из одного конкретного журнала, скопируйте его имя и выполните команду:
WevtUtil cl Microsoft-Windows-GroupPolicy/Operational
Перед очисткой можно создать резервную копию событий в журнале в отдельный файл:
WevtUtil cl Microsoft-Windows-GroupPolicy/Operational /bu:GPOLOG_Bak.evtx
Можно очистить сразу все журналы событий из cmd.exe:
for /F "tokens=*" %1 in ('wevtutil.exe el') DO wevtutil.exe cl "%1"
Для BAT файла нужно использовать немного другой синтаксис:
for /F "tokens=*" %%1 in ('wevtutil.exe el') DO wevtutil.exe cl "%%1"
Clear-EventLog: команда PowerShell для очистки журналов событий
В PowerShell для получения списка журналов событий Windows и их очистки можно использовать командлеты Get-WinEvent и Clear-EventLog.
Откройте консоль PowerShell с правами администратора, выведите список всех имен журналов в Windows и их настройки:
Get-WinEvent -ListLog *
Команда выведет максимальные размеры и параметры всех журналов событий Windows.
Чтобы удалить все события из двух журналов (например, журналов Security и System), выполните команду:
Clear-EventLog –LogName Security,System
При этом журнал очищается, и в него записывается событие с EventID 104 или 1102 с временем очистки, пользователем, выполнившим и описанием:
The System log file was cleared The audit log was cleared.
Для очистки административных и операционных журналов событий Windows, выполните такую однострочную команду PowerShell:
Get-WinEvent -ListLog * -Force | % { Wevtutil.exe cl $_.Logname }
Или:
wevtutil el | Foreach-Object {wevtutil cl "$_"}
Примечание. В нашем примере не удалось очистить 3 журнала из-за ошибки доступа. Попробуйте вручную очистить содержимое этих журналов из консоли Event Viewer.
В процессе работы Windows постоянно ведёт запись различных системных событий в файлы журналов, которые можно просмотреть с помощью утилиты «Просмотр событий». Сами по себе журналы не занимают много места на диске, но общее количество операций записи на продолжительном отрезке времени значительно и потенциально может влиять на общий ресурс дисков, особенно SSD. При желании, запись событий в журнал можно отключить.
В этой инструкции подробно о способах отключить журнал событий полностью или частично для отдельных событий, очистить его и дополнительная информация, которая может быть полезной.
Отключение службы «Журнал событий Windows»
Самый очевидный и простой способ отключить журнал событий — отключение соответствующей службы, однако у этого способа есть минусы:
- От указанной службы зависят и другие службы, в частности могут возникнуть проблемы с работой планировщика заданий, службами сведений о подключенных сетях, списка сетей и автоматической настройки сетевых устройств.
- Полное отключение журнала событий может быть не лучшим вариантом: собираемые в журналах сведения о сбоях могут быть полезными для диагностики проблем с работой системы.
Список зависимостей службы отличается в разных версиях Windows: в Windows 11 проблем после отключения службы «Журнал событий» вы вероятнее всего не заметите, а в Windows 10 они могут быть.
Для того, чтобы отключить службу «Журнал событий Windows» (чего я не рекомендую) вы можете использовать оснастку «Службы»:
- Нажмите клавиши Win+R на клавиатуре, введите services.msc и нажмите Enter.
- В списке служб найдите «Журнал событий Windows» и дважды нажмите по этой службе.
- Нажмите кнопку «Остановить», измените тип запуска на «Отключена» и нажмите «Ок».
Ещё один способ — запустить командную строку от имени администратора и по порядку использовать следующие команды:
net stop eventlog sc config eventlog start= disabled
Это полностью отключит ведение журнала событий, но, при возникновении проблем с работой других системных служб не забудьте, что, возможно, они были вызваны описанными действиями.
Отключение записи отдельных событий или выбранных журналов
Вместо отключения журнала событий полностью, вы можете отключить запись лишь отдельных событий — тех, которые записываются чаще всего, при этом не несут полезной информации для большинства пользователей.
Прежде всего — это события «Аудит успеха» в журнале «Безопасность». Для отключения записи этих событий в командной строке от имени администратора используйте одну из следующих команд (первая — для русскоязычной версии Windows, вторая — для англоязычной или переведенной на русский язык путем установки языкового пакета):
auditpol /set /subcategory:"Подключение платформы фильтрации" /success:disable /failure:enable auditpol /set /subcategory:"Filtering Platform Connection" /success:disable /failure:enable
Указанные команды отключат запись событий типа «Успех», но оставят запись событий «Отказ». Аналогичным образом возможно отключение событий других подкатегорий, полный список подкатегорий можно получить с помощью команды auditpol /list /subcategory:*
Следующая возможность — отключение записи определенных событий по их GUID, шаги будут следующими (пример для журнала «Система»):
- В просмотре событий (Win+R — eventvwr.msc) найдите событие, запись которых нужно отключить, на вкладке «Подробности» включите режим XML, здесь нам потребуется значение параметра GUID.
- В редакторе реестра (Win+R — regedit) перейдите к разделу
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\WMI\Autologger\EventLog-System
- В этом разделе выберите подраздел с именем, совпадающим с GUID из первого шага, дважды нажмите по параметру с именем Enabled и установите значение 0 для него, повторите то же самое для параметра EnableProperty
- Закройте редактор реестра и перезагрузите компьютер.
И ещё один метод для журналов приложений, на примере журнала WFP (который у многих пользователей постоянно пишется с большой интенсивностью):
- В Просмотре событий откройте «Журналы приложений» и перейдите к нужному журналу, например: Microsoft — Windows — WFP — Operational
- Нажмите правой кнопкой мыши по журналу и выберите пункт «Отключить журнал».
Отдельно по журналу wfpdiag.etl: ещё одна возможность отключения — команда
netsh wfp set options netevents = off
Очистка журнала событий
Файлы журналов событий располагаются в папках
C:\Windows\System32\winevt\Logs C:\Windows\System32\LogFiles
И некоторых других расположениях, например — C:\ProgramData\Microsoft\Windows\wfp\
Очистка вручную путем удаления файлов нежелательна и не всегда удобна. Вы можете:
- Использовать опцию «Очистить журнал» для соответствующего журнала в «Просмотре событий» в контекстном меню журнала или его свойствах.
- Использовать одну из команд (первая — для командной строки, вторая — для PowerShell, в обоих случаях требуется запуск от имени администратора):
for /F "tokens=*" %1 in ('wevtutil.exe el') DO wevtutil.exe cl "%1" Get-EventLog -LogName * | ForEach { Clear-EventLog $_.Log }
Если остаются вопросы по журналам событий в Windows, задавайте их в комментариях — не исключено что я или кто-то из читателей сможет подсказать.
Привет, друзья. В этой публикации поговорим о таком системном компоненте, как журнал событий Windows 10. Это часть классического функционала операционной системы, унаследованная от версий-предшественниц, оснастка консоли управления MMC. Журнал событий являет собой административную функцию, фиксирующую значимые события самой системы, установленных драйверов и программ. Что за события ведёт журнал, и как можно использовать его данные — давайте в этом разбираться ниже.
Журнал событий Windows 10
Итак, журнал событий Windows 10. Это системное средство, фиксирующее различные технические события операционной системы. Может быть полезно при решении разного рода проблем на компьютере – при произвольных выключениях или перезагрузках, частых зависаниях, появлении BSOD, проблемах с обновлениями, сбоях работы драйверов и т.п. Журнал событий входит в число средств администрирования операционной системы.
Находится в составе оснастки консоли MMC «Просмотр событий».
Эту оснастку можно запустить в меню по клавишам Win+X.
Либо с помощью системного поиска, введя в него запрос «просмотр…».
Одной из веток оснастки и есть журнал событий – ветка «Журналы Windows»
События в журнале сгруппированы по категориям, самые значимые из них:
-
«Система» — категория, содержащая события самой операционной системы;
-
«Приложение» — категория, содержащая события установленных в Windows 10 программ;
-
«Безопасность» — категория, содержащая события, связанные со входом пользователей в операционную систему, участием в защищённых локальных сетях, запуском брандмауэра, операциями шифрования и т.п.
Именно в этих категориях преимущественно нужно искать события, которые могут что-то нам рассказать о проблемах с компьютером.
У событий в журнале есть уровни, они же, по сути, типы событий:
-
Сведения — это информационные сообщения, фиксирующие запуски и остановки системных и программных служб, которые выполнены обычно, без каких-то проблем и сбоев;
-
Предупреждения — сообщения, фиксирующие системные и программные события, при выполнении которых возникли проблемы. Эти проблемы потенциально могут быть причинами сбоя Windows 10 и программ;
-
Ошибки — сообщения, фиксирующие события, при выполнении которых произошёл критический сбой программ и Windows 10, влекущий за собой потерю данных. Ошибки бывают обычные и критические. Критические – это те, что повлекли за собой сбой работы системы.
Каждое из событий имеет общее и подробное описание, по формулировкам из которых в случае с предупреждениями и ошибками мы можем дополнительно наюзать в Интернете информацию, что это за проблема, и что с ней делать.
Но, друзья, пересматривать все предупреждения и ошибки журнала, заморачиваться ими, что-то выяснять – всё это без надобности делать не нужно. Наличие в журнале огромного числа ошибок и предупреждений не значит, что с компьютером что-то не то. В работе Windows 10 происходит множество различных процессов, их работа иногда завершается нештатно, но эти процессы перезапускаются и потом нормально работают. Чем больше на компьютере используется различного ПО, тем больше будет разного типа событий. Обращаться к журналу событий Windows 10 нужно только тогда, когда у нас есть какая-то проблема – сбои работы драйверов, произвольное разлогинивание системы, зависания, произвольные перезагрузки или выключения компьютера, появление BSOD и т.п. В таких случаях журнал событий, возможно, поможет нам отыскать причину проблемы или как минимум даст направления, в которых нужно искать причину. Также журнал позволит отследить частоту и закономерность сбоев работы системы и программ, что может быть важно при определении причины проблемы.
События в журнале можно фильтровать по ключевым словам и сортировать по различным критериям, в частности, по уровню критичности, дате и времени фиксации события. Например, можем отсортировать события по дате и времени, чтобы отследить, какие события в конкретный день предшествовали внезапному сбою работы компьютера. Другой пример: дабы отследить все сбои, можем отсортировать сообщения по уровню ошибок в начале списка и посмотреть дату и время каждого сбоя.
В контекстном меню или на панели консоли справа есть опции событий, которые нам могут пригодиться в процессе их отслеживания:
-
«Свойства событий» — открывает событие в отдельном окошке для удобства просмотра;
-
«Копировать» — копирует сведения события как таблицу или как простой текст;
-
«Сохранить выбранные события» — сохраняет событие в отдельный файл.
Если вы столкнулись с какой-то проблемой и отследили все важные события журнала, после этого можно очистить его. Дабы в будущем, если снова столкнётесь с необходимостью отслеживания событий, в журнале был, так сказать, меньший фронт работы. Для очистки вызываем на каждой очищаемой категории контекстное меню и выбираем «Очистить журнал».
Каждое событие Windows, имеющее значение средней важности и выше, записывается системой в особый лог. Он так и называется — журнал событий. Он содержит массу полезной информации, включая сведения об ошибках и сбоях, что может пригодиться при поиске и устранении их причин. Но иногда у пользователя возникает необходимость полностью очистить журнал событий, удалив из него все записи.
Конечно, сделать это можно через графический интерфейс просмотрщика eventvwr.msc, но на это придется потратить время так как журнал событий в Windows имеет несколько подразделов, и очищать каждый из них нужно отдельно. Гораздо удобнее использовать для этих целей консоль PowerShell или штатную утилиту Wevtutil. Для начала получим список всех имеющихся в Windows журналов.
Запустите PowerShell от имени администратора и выполните такую команду:
Get-EventLog –LogName *
Чтобы очистить конкретный раздел журнала выполните команду следующего вида:
Clear-EventLog –LogName NAME
При этом на место NAME подставьте нужное вам значение (название раздела) из колонки Entries Log. Обратите внимание, что при этом в очищенном разделе останется только одно событие — запись о самой очистке. Если же вам нужно разом очистить все разделы, придется воспользоваться рекурсией.
В этом случае команда будет такой:
Get-EventLog -LogName * | ForEach { Clear-EventLog $_.Log }
Второй способ очистки журналов событий Windows предполагает использование мощной консольной утилиты Wevtutil.
Этот инструмент является встроенным в систему и предназначается он как раз для работы с записями журнала. Его синтаксис довольно сложен, хотя это не удивительно, поскольку рассчитана Wevtutil в основном на системных администраторов. Но нам из всех ее команд нужно знать только две: вывод списка журналов и их удаление.
Для получения данных используем такую команду:
WevtUtil enum-logs
В результате вы получите внушительный список записей журналов.
Чтобы разом очистить все разделы, воспользуйтесь комбинацией командлета Get-WinEvent и самой утилиты Wevtutil.
Вот так:
Get-WinEvent -ListLog * -Force | % { Wevtutil.exe cl $_.LogName }
Если что-то не удастся очистить из-за ошибки доступа как в приведённом примере, ничего страшного, — попробовать удалить оставшиеся записи можно из графического интерфейса самого просмотрщика журнала событий.
This post explains how to view or clear the Event Log in the Event Viewer (eventvwr.msc) on a Windows PC. Windows 11/10 OS may occasionally throw up errors, and at such times, you may want to get a deeper understanding of the errors. That’s where the Event Log comes into play. Event Log files basically store all information regarding past errors. The problem is that the Event Log sometimes doesn’t automatically remove all the information it stores, and that can be a problem.
To fix this, users must manually clear the Event Log. Do you know what? Most computer users have no idea of how to do this. Worry not; we’ll help you through the entire process, and when we’re done, you’ll be a master.
Read: How to use Event Viewer in Windows 11
This post shows you how to clear the Event Log files via the Event Viewer UI or the Command line. You can delete all or selected even log files also from your Windows/Server, by following the steps laid down in this tutorial.
1] Clear the Event Log using the Event Viewer
Click on the Start button then type eventvwr.msc or Event Viewer. When you see the icon, right-click on it and select Run as Administrator to launch the Event Viewer. Finally, double-click on the folders in the left pane, right-click on the events you want to have deleted, and then choose Clear Log. This will clear all log files for that section. You may also select a log file and then click on Clear log which you see on the right-side panel.
2] Delete selected Event logs using the wevtutil tool
You can use the Command Prompt instead. So let us see how to clear the Event Log using the Command Prompt on a Windows 11/10 PC.
Click on the Start button, then type cmd and you’ll see the CMD icon. Right-click on the icon, then select Run as Administrator to fire up the Command Prompt.
The next step, then, is to type wevtutil el into the newly opened Command Prompt window and make sure to do this without the quotes. Click the Enter key on your keyboard, and in a moment, you should see a list of all the error logs that have been exported.
Finally, type wevtutil cl + the name of the log you want to remove. This option allows you to clear only the logs you do not want, so don’t expect it to clear everything at the same time.
WEVTUTIL.exe is a built-in tool that lets you to retrieve information about event logs and publishers. You can also use this command to install and uninstall event manifests, run queries, and export, archive, and clear logs.
Read: How to export Event Viewer logs in Windows
3] Remove all Event Log files using a .CMD file
To clear everything, launch the Notepad application then copy and paste the following piece of information which has been sourced from MSDN:
@echo off
FOR /F "tokens=1,2*" %%V IN ('bcdedit') DO SET adminTest=%%V
IF (%adminTest%)==(Access) goto noAdmin
for /F "tokens=*" %%G in ('wevtutil.exe el') DO (call :do_clear "%%G")
echo.
echo Event Logs have been cleared! ^<press any key^>
goto theEnd
:do_clear
echo clearing %1
wevtutil.exe cl %1
goto :eof
:noAdmin
echo You must run this script as an Administrator!
echo ^<press any key^>
:theEnd
pause>NUL
Be sure to save the data as a .bat file, then finally, right-click on the saved file and select Run as Administrator. From there, the Command Prompt should launch by itself, and all you need to do is allow it to finish doing its stuff.
I hope this helps!
Read: How to delete corrupt Event Viewer Log files
How to clear out the Event Logs in Windows?
To clear all event logs that have entries in Windows, open an elevated PowerShell prompt and execute the following:
Get-EventLog -LogName * | where {$_.Entries.Count -gt 0} | foreach {Clear-EventLog $_.Log}
Read: Enable or disable Protected Event Logging in Windows.
How to view and delete Event Viewer Saved Error Logs?
If you are a regular of Event Viewer and you frequently view many .evt or .evtx files in Event Viewer, you may have noticed that a large number of files end up accumulating under Saved Logs. These entries remain even if you delete the original .evt and .evtx files.
These Saved Logs are stored .xml format, in the ExternalLogs folder, which is hidden. To view this folder, first through the folder options, uncheck the hidden and system files options, and navigate to the following path:
C:\ProgramData\Microsoft\Event Viewer\ExternalLogs
You will see the .xml logs here. The contents of this folder are hidden so you must turn on Show Hidden Files and turn off Hide Protected Operating System Files to see them.
To open a saved event log, start Event Viewer. Now, in the Actions menu, click Open Saved Log and navigate to and select the Saved Log from its location.
You can delete the Saved Logs from the Actions Box. But when you delete the log from the Event Manager’s Actions Box, you are only removing it from the console tree; you are not deleting the log file from the system.
If you wish you can delete the logs from your system, you will have to navigate to the mentioned ExternalLogs folder and delete them manually. Make sure that the Event Viewer is closed when you delete these files.
Windows Event Viewer Plus, a portable freeware app that lets you view Event Logs faster than the default inbuilt Windows Event Viewer, may also interest you.
How do I delete the Windows activity log?
Press Win + I to open the Settings app. Click on Privacy & security in the left panel. Scroll down and select Activity history. Click the Clear history button next to the ‘Clear activity history for this account’ option. This will delete the activity history stored on your device. To delete activity history stored online in your Microsoft account, go to your Microsoft Privacy Dashboard. You will see various categories, such as Browsing and search, Apps and services, etc. Click the category for the type of data you want to delete and select the Clear all activities option.
What is clear Event log?
The Clear-EventLog cmdlet in PowerShell deletes all entries from a specified event log on a local or remote computer. It lets you clear event logs such as Application, System, Security, or a custom log. The cmdlet can be helpful for maintenance tasks, troubleshooting, or clearing out no longer required logs. Clearing event logs permanently deletes all entries in the specified log, so it’s essential to use the Clear-EventLog cmdlet carefully and only when necessary.
Related reads that are sure to interest you:
- How to view Event Logs in Windows in detail with Full Event Log View
- Use Event Viewer to check unauthorized use of Windows computer
- How to create Custom Views in Event Viewer on Windows
- Enhanced Event Viewer for Windows from Technet
- Event Log Manager Free event log management software
- Monitor Windows Event Log Files Checking with SnakeTail Windows tail utility
- Event Log Manager & Event Log Explorer software.