Журнал событий windows что это за служба — Ваш верный помощник с OS Windows

Привет, друзья. В этой публикации поговорим о таком системном компоненте, как журнал событий Windows 10. Это часть классического функционала операционной системы, унаследованная от версий-предшественниц, оснастка консоли управления MMC. Журнал событий являет собой административную функцию, фиксирующую значимые события самой системы, установленных драйверов и программ. Что за события ведёт журнал, и как можно использовать его данные — давайте в этом разбираться ниже.

Журнал событий Windows 10

Итак, журнал событий Windows 10. Это системное средство, фиксирующее различные технические события операционной системы. Может быть полезно при решении разного рода проблем на компьютере – при произвольных выключениях или перезагрузках, частых зависаниях, появлении BSOD, проблемах с обновлениями, сбоях работы драйверов и т.п. Журнал событий входит в число средств администрирования операционной системы.

Находится в составе оснастки консоли MMC «Просмотр событий».

Эту оснастку можно запустить в меню по клавишам Win+X.

Либо с помощью системного поиска, введя в него запрос «просмотр…».

Одной из веток оснастки и есть журнал событий – ветка «Журналы Windows»

События в журнале сгруппированы по категориям, самые значимые из них:

«Система» — категория, содержащая события самой операционной системы;
«Приложение» — категория, содержащая события установленных в Windows 10 программ;
«Безопасность» — категория, содержащая события, связанные со входом пользователей в операционную систему, участием в защищённых локальных сетях, запуском брандмауэра, операциями шифрования и т.п.

Именно в этих категориях преимущественно нужно искать события, которые могут что-то нам рассказать о проблемах с компьютером.

У событий в журнале есть уровни, они же, по сути, типы событий:

Сведения — это информационные сообщения, фиксирующие запуски и остановки системных и программных служб, которые выполнены обычно, без каких-то проблем и сбоев;
Предупреждения — сообщения, фиксирующие системные и программные события, при выполнении которых возникли проблемы. Эти проблемы потенциально могут быть причинами сбоя Windows 10 и программ;
Ошибки — сообщения, фиксирующие события, при выполнении которых произошёл критический сбой программ и Windows 10, влекущий за собой потерю данных. Ошибки бывают обычные и критические. Критические – это те, что повлекли за собой сбой работы системы.

Каждое из событий имеет общее и подробное описание, по формулировкам из которых в случае с предупреждениями и ошибками мы можем дополнительно наюзать в Интернете информацию, что это за проблема, и что с ней делать.

Но, друзья, пересматривать все предупреждения и ошибки журнала, заморачиваться ими, что-то выяснять – всё это без надобности делать не нужно. Наличие в журнале огромного числа ошибок и предупреждений не значит, что с компьютером что-то не то. В работе Windows 10 происходит множество различных процессов, их работа иногда завершается нештатно, но эти процессы перезапускаются и потом нормально работают. Чем больше на компьютере используется различного ПО, тем больше будет разного типа событий. Обращаться к журналу событий Windows 10 нужно только тогда, когда у нас есть какая-то проблема – сбои работы драйверов, произвольное разлогинивание системы, зависания, произвольные перезагрузки или выключения компьютера, появление BSOD и т.п. В таких случаях журнал событий, возможно, поможет нам отыскать причину проблемы или как минимум даст направления, в которых нужно искать причину. Также журнал позволит отследить частоту и закономерность сбоев работы системы и программ, что может быть важно при определении причины проблемы.

События в журнале можно фильтровать по ключевым словам и сортировать по различным критериям, в частности, по уровню критичности, дате и времени фиксации события. Например, можем отсортировать события по дате и времени, чтобы отследить, какие события в конкретный день предшествовали внезапному сбою работы компьютера. Другой пример: дабы отследить все сбои, можем отсортировать сообщения по уровню ошибок в начале списка и посмотреть дату и время каждого сбоя.

В контекстном меню или на панели консоли справа есть опции событий, которые нам могут пригодиться в процессе их отслеживания:

«Свойства событий» — открывает событие в отдельном окошке для удобства просмотра;
«Копировать» — копирует сведения события как таблицу или как простой текст;
«Сохранить выбранные события» — сохраняет событие в отдельный файл.

Если вы столкнулись с какой-то проблемой и отследили все важные события журнала, после этого можно очистить его. Дабы в будущем, если снова столкнётесь с необходимостью отслеживания событий, в журнале был, так сказать, меньший фронт работы. Для очистки вызываем на каждой очищаемой категории контекстное меню и выбираем «Очистить журнал».

Источник

Журналы сбоев и ошибок Windows являются важным инструментом для диагностики и решения проблем в операционной системе. Они хранят информацию о различных событиях, включая ошибки, предупреждения и критические сбои, которые происходят на компьютере. Просмотр журналов позволяет пользователям получить более глубокое понимание того, что происходит с их системой и помогает выявить причины возникших проблем.

В этой статье мы рассмотрим, как можно просматривать журналы сбоев и ошибок в Windows, а также какие инструменты можно использовать для этой цели. Мы рассмотрим основные способы доступа к журналам событий, а также дадим обзор инструментов, таких как Средство просмотра событий и Монитор надежности, которые помогут вам анализировать и интерпретировать информацию из журналов.

Основные аспекты

Журналы событий Windows содержат данные о неисправностях, возникших в оборудовании и программном обеспечении, а также об успешных операциях.

Чтобы просмотреть журналы событий разной важности и по разным категориям, можно воспользоваться инструментом просмотра событий (eventvwr.msc) или монитором надежности (Панель управления > Система и безопасность > Безопасность и обслуживание > Обслуживание > Просмотр истории надежности).

Операционная система Windows аккуратно регистрирует и сохраняет информацию о своей деятельности, особенно если произошли какие-либо сбои. Эти данные собираются из различных приложений Windows и компонентов операционной системы.

Эти ошибки сохраняются в каталоге «C:\WINDOWS\system32\config\». Однако при попытке доступа к этому каталогу вы обнаружите файлы, которые невозможно открыть в обычных приложениях, что мешает просмотру журналов ошибок. Для этой цели в операционной системе Windows предусмотрены два полезных инструмента:

Средство просмотра событий Windows
Монитор надежности

Эти инструменты позволяют просматривать и анализировать различные ошибки и предупреждения, возникающие на вашем компьютере. Поэтому, если ваши приложения продолжают выдавать ошибки или вы сталкиваетесь с «синим экраном смерти» (BSoD) и не понимаете причину, вы можете обратиться к этим инструментам, чтобы выяснить причину возникновения ошибки и способы ее устранения.

Этот гайд описывает, как получить доступ к средству просмотра событий и монитору надежности на компьютере с операционной системой Windows, а также как использовать их для анализа различных типов ошибок и их причин.

Что такое журналы событий Windows?

Журналы событий Windows — это встроенный инструмент операционной системы, который записывает информацию о различных событиях, происходящих на компьютере. Эти события могут включать ошибки, предупреждения, информационные сообщения и другие сведения о работе системы.

Просмотр журналов событий Windows может помочь пользователям выявить и исправить различные проблемы, такие как сбои программного обеспечения, аномальное поведение системы, неполадки оборудования и другие ошибки, которые могут возникнуть в процессе работы операционной системы.

Журналы событий Windows содержат разнообразную информацию о различных событиях, происходящих на компьютере. Вот основные типы информации, которые могут содержаться в журналах событий:

Время и дата: Записи в журналах событий содержат информацию о точном времени и дате каждого события.
Идентификатор события: Каждое событие имеет уникальный идентификатор, который помогает идентифицировать его тип и характер.
Уровень критичности: События могут быть отмечены разными уровнями критичности, такими как ошибка, предупреждение или информационное сообщение. Это помогает пользователю определить важность события.
Описание события: Каждое событие сопровождается описанием, которое содержит подробную информацию о произошедшем событии, его причинах и последствиях.
Информация о приложениях и службах: Журналы событий могут содержать информацию о приложениях, службах и компонентах операционной системы, которые вызвали событие или на которые оно повлияло.
Дополнительные данные: В некоторых случаях журналы событий могут содержать дополнительные данные, такие как имена файлов, коды ошибок, сообщения от системных компонентов и другие сведения, которые помогают понять причину возникновения события.

Типы и категории журналов событий Windows

Журналы событий Windows разделены на различные типы и категории, чтобы облегчить организацию и поиск информации о событиях на компьютере.

Вот основные типы журналов событий:

Журналы приложений (Application): Этот тип журналов содержит информацию о событиях, связанных с приложениями, установленными на компьютере. Сюда входят ошибки, предупреждения и информационные сообщения, связанные с работой различных программ.
Журналы системы (System): В этом типе журналов содержится информация о событиях, связанных с работой операционной системы Windows. Сюда входят сообщения о запуске и выключении компьютера, драйверах устройств, системных службах и т. д.
Журналы безопасности (Security): Эти журналы содержат информацию о безопасности компьютера, включая попытки входа в систему, аудит доступа к файлам и папкам, а также другие события, связанные с безопасностью.
Журналы установки (Setup): В этом типе журналов содержится информация о процессе установки и удаления программного обеспечения на компьютере.
Журналы аппаратного обеспечения (Hardware Events): Эти журналы содержат информацию о событиях, связанных с аппаратным обеспечением компьютера, таких как ошибка чтения диска, отказ устройства и т. д.
Журналы служб (Forwarded Events): В этом типе журналов содержится информация о событиях, перенаправленных из других компьютеров в сети.

Вот пять основных категорий журналов событий в Windows:

Информация (Information): Указывает на нормальное функционирование службы или приложения. Например, когда служба Windows успешно запускается, в журнале событий будет зафиксировано информационное сообщение.
Предупреждение (Warning): Эти события указывают на потенциальные проблемы или ненормальные условия, которые могут потенциально привести к ошибкам или нежелательным последствиям.
Ошибка (Error): Эти события указывают на фактические ошибки или неудачные операции, которые произошли в системе, и могут потребовать вмешательства для их исправления.
Аудит успеха (Success Audit): Эти события отображают успешные операции или события, связанные с безопасностью, такие как успешные попытки входа в систему или успешное завершение операций аудита.
Аудит сбоев (Failure Audit): Эти события указывают на неудачные операции или события, связанные с безопасностью, такие как неудачные попытки входа в систему или другие сбои в безопасности.

Как просмотреть журналы событий в Windows

С помощью средства просмотра событий

Чтобы просмотреть журналы событий в Windows с помощью средства просмотра событий, следуйте этим шагам:

Откройте Средство просмотра событий: Нажмите на клавишу Windows, введите «Средство просмотра событий» в строке поиска и выберите соответствующий результат.
Навигация к журналам событий: В левой панели Средства просмотра событий выберите пункт «Журналы Windows». Здесь вы увидите список доступных журналов событий.

Картинка с сайта: bisv.ru
Выбор журнала событий: Выберите нужный журнал событий, например, «Система», «Приложение» или «Безопасность».
Просмотр журнала событий: После выбора журнала событий вы увидите список событий в правой части окна. Прокручивайте этот список для просмотра всех событий.
Фильтрация событий (опционально): Для удобства вы можете фильтровать события по различным критериям, таким как уровень важности, источник или ключевые слова.

Картинка с сайта: bisv.ru
Просмотр подробностей: Чтобы узнать подробности о конкретном событии, щелкните на нем. В нижней части окна появится информация о выбранном событии.
Закрытие Средства просмотра событий: После завершения просмотра журналов событий вы можете закрыть окно Средства просмотра событий.

С помощью монитора надежности

Чтобы просмотреть журналы событий в Windows с помощью монитора надежности, выполните следующие шаги:

Откройте Панель управления: Нажмите на клавишу Windows, введите «Панель управления» в строке поиска и выберите соответствующий результат.
Выберите категорию «Система и безопасность»: В Панели управления найдите и выберите категорию «Система и безопасность».
Откройте монитор надежности: В разделе «Система и безопасность» найдите и выберите опцию «Администрирование». Затем щелкните по ссылке «Техническое обслуживание».

Картинка с сайта: bisv.ru
Навигация к журналам событий: В техническом обслуживании выберите пункт «Просмотреть историю надежности».

Картинка с сайта: bisv.ru
Выбор журнала событий: В списке журналов событий выберите нужный журнал, например, «Система», «Приложение» или «Безопасность».

Картинка с сайта: bisv.ru
Просмотр журнала событий: После выбора журнала событий вы увидите список событий в правой части окна монитора надежности.
Фильтрация событий (опционально): При необходимости вы можете использовать фильтры для отображения определенных типов событий или определенного временного периода.
Просмотр подробностей: Чтобы узнать подробности о конкретном событии, выберите его в списке. Подробная информация об этом событии отобразится в нижней части окна.
Закрытие монитора надежности: После завершения просмотра журналов событий вы можете закрыть окно монитора надежности.

Заключительные слова

Понимание содержания журналов событий и ошибок является не менее важным, чем доступ к ним. Простое просматривание журналов событий не имеет смысла, если вы не способны понять их содержание и значение.

В этом подробном руководстве вы узнаете, как просматривать и интерпретировать журналы системных событий, а также как искать ошибки разной степени серьезности в различных категориях. Кроме того, вы сможете отыскать события за определенные периоды времени, если не знаете точно, когда произошла ошибка.

Источник

Просмотр событий в Windows отображает историю (журнал) системных сообщений и событий, генерируемых программами — ошибок, информационных сообщений и предупреждений. Кстати, мошенники иногда могут использовать просмотр событий для обмана пользователей — даже на нормально функционирующем компьютере в журнале всегда будут сообщения об ошибках.

Запуск просмотра событий

Для того, чтобы запустить просмотр событий Windows, наберите это самое словосочетание в поиске или же зайдите в «Панель управления» — «Администрирование» — «Просмотр событий»

События распределены по различным категориям. Например, журнал приложений содержит сообщения установленных программ, а журнал Windows — системных событий операционной системы.

Вы гарантированно обнаружите ошибки и предупреждения в просмотре событий, даже если с Вашим компьютером все в полном порядке. Просмотр событий Windows разработан для того, чтобы помочь системным администраторам следить за состоянием компьютеров и выяснять причины возникновения ошибок. Если с Вашим компьютеров нет видимых проблем, то скорее всего, отображаемые ошибки не являются важными. Например, часто можно увидеть ошибки о сбое определенных программ, которые произошли недели назад при однократном их запуске.

Системные предупреждения также обычно не являются важными для рядового пользователя. Если Вы решаете проблемы, связанные с настройкой сервера, то они могут оказаться полезными, в противном случае — скорее всего, нет.

Использование просмотра событий

Собственно, зачем вообще я об этом пишу, раз в просмотре событий Windows нет ничего интересного для обычного пользователя? Все-таки данная функция (или программа, утилита) Windows может быть полезной при возникновении проблем с компьютером — когда случайным образом появляется синий экран смерти Windows, или происходит произвольная перезагрузка — в просмотре событий можно отыскать причину данных событий. К примеру, ошибка в журнале системы может дать информацию о том, драйвер какого именно оборудования вызвал сбой для последующих действий по исправлению ситуации. Просто найдите ошибку, которая возникла в то время, когда компьютер перезагрузился, завис или отобразил синий экран смерти — ошибка будет отмечена как критическая.

Есть и другие применения просмотра событий. Например, Windows записывает время полной загрузки операционной системы. Или, если на вашем компьютере располагается сервер, Вы можете включить запись событий выключения и перезагрузки — всякий раз, когда кто-то будет выключать ПК, ему потребуется ввести причину этого, а вы сможете позже просмотреть все выключения и перезагрузки и введенную причину события.

Кроме этого, можно использовать просмотр событий совместно с планировщиком задач — кликните правой кнопкой мыши по любому событию и выберите «Привязать задачу к событию». Всякий раз, когда будет происходить данное событие, Windows будет запускать соответствующую задачу.

Пока все. Если Вы пропустили статью про еще один интересный (и более полезный, чем описанный), то очень рекомендую прочесть: использование монитора стабильности системы Windows.

Источник

In this article…

What is the Windows Event Log (EventLog) service?
What happens if I stop EventLog?
Is it OK to disable the Windows Event Log service?
Questions? Problems?

What is the Windows Event Log (EventLog) service?

The EventLog service manages event logs — repositories of events generated by services, scheduled tasks and applications working closely with the Windows operating system.

The service’s display name is Windows Event Log and it runs inside the service host process, svchost.exe. By default, the service is set to start automatically when your computer boots:

You can use the Windows Event Viewer to browse the event logs managed by the service. For example, here are some of the records captured in the Windows Security event log:

What happens if I stop EventLog?

You may find it virtually impossible to stop the Windows Event Log service.

That’s because the service supports several important system services. You can see that list on the service’s Dependencies tab:

And because of those dependency relationships, attempting to stop EventLog triggers a “cascade” that causes all dependent services to stop too. Here you can see Windows alerting us of that situation:

But after we clicked “Yes”, Windows failed to stop EventLog and the dependent services! A peculiar error was returned:

We tracked the issue to “Network List Service” (netprofm). That service refused every attempt to stop it, consistently failing with the error above. And since we could not stop “Network List Service”, we could not stop EventLog either.

Is it OK to disable the Windows Event Log service?

No — it’s not safe to disable the Windows Event Log service.

Indeed, in the very description of the service, Microsoft warns:

Stopping this service may compromise security and reliability of the system.

That advice makes sense because EventLog provides essential support for Windows Services, scheduled tasks, and other background programs. Those components typically run “headless”, without a user interface, and rely on the event logs to record important events.

If the EventLog service stops, those background components will have no way to chronicle their activities. There would be an ominous gap in the operating system’s low-level records.

With that in mind, it’s easy to see why the EventLog service is an alluring target for attackers looking to compromise a system. Once the service has been crippled, vital forensics records may not be captured and intruders could operate with impunity.

Questions? Problems?

If you would like to know more about the Windows Event Log service, or you have a specific problem, please feel free to get in touch. We will do our best to help you!

Работа с журналом событий (для начинающих)

❶

Как его открыть

Вариант 1

Этот вариант универсальный и работает во всех современных версиях ОС Windows.

нажать сочетание кнопок Win+R — должно появиться окно «Выполнить»;
ввести команду eventvwr и нажать OK (примечание: также можно воспользоваться диспетчером задач (Ctrl+Shift+Esc) — нажать по меню «Файл/новая задача» и ввести ту же команду eventvwr);

Картинка с сайта: ocomp.info

eventvwr — команда для вызова журнала событий
после этого у вас должно появиться окно «Просмотр событий» — обратите внимание на левую колонку, в ней как раз и содержатся всевозможные журналы Windows…

Картинка с сайта: ocomp.info

Просмотр событий

Вариант 2

сначала необходимо 👉 открыть панель управления и перейти в раздел «Система и безопасность»;

Картинка с сайта: ocomp.info

Система и безопасность
далее необходимо перейти в раздел «Администрирование»;

Картинка с сайта: ocomp.info

Администрирование
после кликнуть мышкой по ярлыку «Просмотр событий».

Картинка с сайта: ocomp.info

Просмотр событий — Администрирование

Вариант 3

Актуально для пользователей Windows 10/11.

1) Нажать по значку с «лупой» на панели задач, в поисковую строку написать «событий» и в результатах поиска ОС Windows предоставит вам ссылку на журнал (см. скрин ниже). 👇

Windows 10 — события

2) Еще один способ: нажать сочетание Win+X — появится меню со ссылками на основные инструменты, среди которых будет и журнал событий.

Win+X — вызов меню

❷

Журналы Windows

Журналы Windows

Наибольшую пользу (по крайней мере, для начинающих пользователей) представляет раздел «Журналы Windows» (выделен на скрине выше). Довольно часто при различных неполадках приходится изучать как раз его.

В нем есть 5 вкладок, из которых 3 основных: «Приложение», «Безопасность», «Система». Именно о них пару слов подробнее:

«Приложение» — здесь собираются все ошибки (и предупреждения), которые возникают из-за работы программ. Вкладка будет полезна в тех случаях, когда у вас какое-нибудь приложение нестабильно работает;
«Система» — в этой вкладке содержатся события, которые сгенерированы различными компонентами ОС Windows (модули, драйверы и пр.);
«Безопасность» — события, относящиеся к безопасности системы (входы в учетную запись, раздача прав доступа папкам и файлам, и т.д.).

❸

Как найти и просмотреть ошибки (в т.ч. критические)

Надо сказать, что Windows записывает в журналы очень много различной информации (вы в этом можете убедиться, открыв любой из них). Среди стольких записей найти нужную ошибку не так просто. И именно для этого здесь предусмотрены спец. фильтры. Ниже покажу простой пример их использования.

И так, сначала необходимо выбрать нужный журнал (например «Система»), далее кликнуть в правой колонке по инструменту «Фильтр текущего журнала».

Система — фильтр текущего журнала / Кликабельно

После указать дату, уровень события (например, ошибки), и нажать OK.

Критические ошибки

В результате вы увидите отфильтрованный список событий. Ориентируясь по дате и времени вы можете найти именно ту ошибку, которая вас интересует.

Например, на своем подопытном компьютере я нашел ошибку из-за которой он перезагрузился (благодаря коду ошибки и ее подробному описанию — можно найти решение на сайте Microsoft).

Представлены все ошибки по дате и времени их возникновения / Кликабельно

Т.е. как видите из примера — использование журнала событий очень даже помогает в решении самых разных проблем с ПК.

❹

Можно ли отключить журналы событий

Можно! Только нужно ли? (хотя не могу не отметить, что многие считают, что на этом можно сэкономить толику дискового пространства, плюс система более отзывчива и меньше нагрузка на жесткий диск)

Для отключения журналов событий нужно:

открыть «службы» (для этого нажмите Win+R, введите команду services.msc и нажмите OK);

Картинка с сайта: ocomp.info

Открываем службы — services.msc (универсальный способ)
далее нужно найти службу «Журнал событий Windows» и открыть ее;

Картинка с сайта: ocomp.info

Службы — журналы событий
после перевести тип запуска в режим «отключена» и нажать кнопку «остановить». Затем сохранить настройки и перезагрузить компьютер.

Картинка с сайта: ocomp.info

Отключена — остановить