Просмотр событий

Окно просмотра событий позволяет пользователям просматривать события, записанные в журналы приложений, безопасности и системы.

  • Справка по выполнению конкретных задач содержится в разделе Инструкции.
  • Общие сведения содержатся в разделе Основные понятия.
  • Инструкции по устранению неполадок содержатся в разделе Устранение неполадок.


Инструкции

  • Просмотр журналов событий
  • Управление журналами событий
  • Настройка журналов событий
  • Работа с журналом безопасности


Просмотр журналов событий

  • Обновление журнала событий
  • Просмотр сведений о событии
  • Добавление представления журнала событий
  • Поиск конкретных событий
  • Выбор другого компьютера


Обновление журнала событий

Рисунок Microsoft Windows

Чтобы обновить журнал событий

  1. Запустите программу Просмотр событий.
  2. В дереве консоли выберите журнал, который требуется обновить.
  3. В меню Действие выберите команду Обновить.

Примечания

  • XOX
  • Для обновления журнала безопасности необходимо войти в систему с учетной записью «Администратор» или члена группы «Администраторы».
  • Команда Обновить недоступна для журналов, сохраненных в файлах, поскольку эти файлы уже не могут быть обновлены.
  • При открытии журнала в окне просмотра событий выводится текущее содержимое этого журнала. Эти данные не обновляются во время просмотра журнала без команды пользователя. При переходе к другому журналу и обратно первый журнал автоматически обновляется.

См. также


Просмотр сведений о событии

Рисунок Microsoft Windows

Чтобы просмотреть сведения о событии

  1. Откройте окно Просмотр событий.
  2. В дереве консоли выберите нужный журнал.
  3. В области сведений выберите нужное событие.
  4. В меню Действие выберите команду Свойства.

Примечания

  • XOX
  • Чтобы просмотреть двоичные данные в виде символов, в поле Данные выберите переключатель Байты. Чтобы просмотреть данные в виде двойных слов, выберите переключатель Слова.
  • Чтобы просмотреть сведения о предыдущем или следующем событии, нажмайте кнопки со стрелками вверх или вниз. Чтобы скопировать сведения о событии, нажмите кнопку Копировать.
  • Двоичные данные генерируются не для всех событий. Двоичные данные предназначены для использования опытными программистами или сотрудниками службы поддержки, знакомыми с исходным приложением.
  • Чтобы сохранить описание события в двоичной форме, сохраните журнал в формате файла журнала (*.evt). При сохранении журнала в текстовом формате (*.txt) или в текстовом формате с разделителями (*.csv) двоичные данные теряются.

См. также


Добавление представления журнала событий

Рисунок Microsoft Windows

Чтобы добавить представление журнала событий

  1. Откройте окно Просмотр событий.
  2. В дереве консоли выберите журнал, для которого требуется создать новое представление.
  3. В меню Действие выберите команду Создать вид журнала.
  4. В меню Действие выберите команду Переименовать.
  5. Введите имя, которое будет отображаться в дереве консоли, и нажмите клавишу ENTER.

Примечания

  • Чтобы открыть окно просмотра событий, нажмите кнопку Пуск и выберите команды Настройка и Панель управления. Дважды щелкните значок Администрирование, а затем дважды щелкните значок Просмотр событий.
  • Представления журнала, добавляемые к дереву консоли, могут настраиваться и управляться как стандартные журналы.

См. также


Поиск конкретных событий

Рисунок Microsoft Windows

Чтобы найти конкретные события

Использование интерфейса Windows

  1. Откройте окно Просмотр событий.
  2. В дереве консоли выберите журнал, по которому требуется выполнить поиск.
  3. В меню Вид выберите команду Найти.
  4. В группе Типы событий выберите типы событий, которые требуется найти.
  5. В полях Источник события, Категория, Код события, Пользователь, Компьютер или Описание укажите дополнительные сведения о событиях, которые требуется найти.
  6. Нажмите кнопку Найти далее.

Примечания

  • XOX
  • В поле Описание можно ввести образец текста, который должен содержаться в описании записи о событии. Для получения дополнительных сведений об остальных полях, щелкните имя поля правой кнопкой мыши и выберите команду Что это такое?
  • Для восстановления стандартных условий поиска нажмите кнопку Восстановить умолчания перед нажатием кнопки Найти далее.
  • Параметры последнего поиска сохраняются в диалоговом окне Поиск в течение всего текущего сеанса. При следующем открытии окна просмотра событий будут восстановлены стандартные условия поиска.
  • Если производится поиск по группам событий, а не по нескольким отдельным событиям, журнал может быть отфильтрован. Для получения дополнительных сведений щелкните ссылку «См. также».

Использование командной строки

  1. Откройте окно Командная строка.
  2. Введите:

    eventquery[.vbs] [-?] [-s компьютер [-u домен\пользователь [-p пароль]]] [-fi имя_фильтра ] [-fo {TABLE|LIST|CSV}] [-r диапозон_событий [-nh] [-v] [-l {APPLICATION|SYSTEM|SECURITY|"DNS Server"|LOG|имя_каталога_журнала|*}]

Значение | Описание
-? | Выводит справку по Evenquery.vbs
/s компьютер | Задает имя одного или нескольких удаленных компьютеров. По умолчанию используется локальный компьютер.
-u Домен\пользователь | Используется, когда требуется пароль.
/p пароль | Используется по требованию политики безопасности сети.
/fi имя_фильтра | Задает типы событий, которые следует включить в запрос или исключить из него.
/fo {TABLE|LIST|CSV} | Задает формат выходных данных.
-r Диапазон_событий | События, включенные в список.
-nh | Удаляет заголовки колонок в выходных данных в формате таблицы и .cvs формате.
-v | Задает отображение подробных сведений о задании в выходных данных.
-l {APPLICATION|SYSTEM|SECURITY|"DNS Server"|LOG|имя_каталога_журнала|*} | Задает записи для просмотра.

Примечания

  • XOX
  • Чтобы просмотреть полный синтаксис этой команды, введите в командной строке:

    eventquery.vbs -?

  • Следующие параметры можно использовать со значением -fi Имя_фильтра

    ДатаВремя | eq, ne, ge, le, gt, lt | mm/dd/yy(yyyy), hh:mm:ssAM(/PM)
    Введите | eq, ne | ERROR|INFORMATION|WARNING|SUCCESSAUDIT|FAILUREAUDIT
    Код | eq, ne, ge, le, gt, lt | неотрицательное целочисленное
    Пользователь | eq, ne | Любая допустимая строка.
    Компьютер | eq, ne | Любая допустимая строка.
    Источник | eq, ne | Любая допустимая строка.
    Категория | eq, ne | Любая допустимая строка.

См. также


Выбор другого компьютера

Рисунок Microsoft Windows

Чтобы выбрать другой компьютер

С помощью интерфейса Windows

  1. Нажмите кнопку Пуск, выберите команду Выполнить, введите mmc и нажмите кнопку OK.
  2. В меню Консоль выберите команду Добавить или удалить оснастку.
  3. На вкладке Изолированная оснастка нажмите кнопку Добавить.
  4. Выберите из списка Просмотр событий и нажмите кнопку Добавить.
  5. Выберите переключатель Другой компьютер и введите путь и имя компьютера, например \\домен\компьютер.
  6. Нажмите кнопку Готово, кнопку Закрыть, а затем — кнопку OK.

Примечания

  • Если на шаге 1 окно консоли управления (MMC) не открывается, консоль MMC может не быть доступной на данном компьютере. Если окно консоли MMC открывается, но меню «Консоль» или команда «Добавить/Удалить оснастку» не доступны, значит консоль MMC работает в режиме пользователя и добавление или удаление оснастки не допускается. Для получения дополнительных сведений обратитесь к администратору сети или щелкните ссылку «См. также».
  • Другой компьютер может быть рабочей станцией с операционной системой Windows XP Home Edition, Windows XP Professional, Windows 2000 Professional или Windows NT Workstation, сервером или контроллером домена с Windows 2000 Server, Windows NT Server или сервером LAN Manager 2.x.
  • Если для нового компьютера требуется подключение по медленной линии, щелкните правой кнопкой журнал для просмотра, а затем выберите команду Свойства. На вкладке Общие установите флажок Подключение по медленной линии.

С помощью командной строки

  1. Откройте окно Командная строка.
  2. Введите:

    eventquery[.vbs] [-?] [-s компьютер [-u домен\пользователь [-p пароль]]] [-fi имя_фильтра ] [-fo {TABLE|LIST|CSV}] [-r диапозон_событий [-nh] [-v] [-l {APPLICATION|SYSTEM|SECURITY|"DNS Server"|LOG|имя_каталога_журнала|*}]

Значение | Описание
-? | Выводит справку по Evenquery.vbs
/s компьютер | Задает имя одного или нескольких удаленных компьютеров (без символов обратной косой черты (\\)). По умолчанию используется локальный компьютер.
-u Домен\пользователь | Используется, когда требуется пароль.
-p пароль | Используется по требованию политики безопасности сети.
-fi Имя_фильтра | Задает типы событий, которые следует включить в запрос или исключить из него.
-fo {TABLE|LIST|CSV} | Задает формат выходных данных.
-r Диапазон_событий | События, включенные в список.
-nh | Удаляет заголовки столбцов в выходных данных в формате таблицы и .cvs формате.
-v | Задает отображение подробных сведений о задании в выходных данных.
-l {APPLICATION|SYSTEM|SECURITY|"DNS Server"|LOG|имя_каталога_журнала|*} | Задает записи для просмотра.

Примечания

  • XOX
  • Чтобы просмотреть полный синтаксис этой команды, введите в командной строке:

    eventquery.vbs -?

  • Другой компьютер может быть рабочей станцией с операционной системой Windows XP Home Edition, Windows XP Professional, Windows 2000 Professional или Windows NT Workstation, сервером или контроллером домена с Windows 2000 Server, Windows NT Server или сервером LAN Manager 2.x.
  • Следующие параметры можно использовать со значением -fi Имя_фильтра

    ДатаВремя | eq, ne, ge, le, gt, lt | mm/dd/yy(yyyy), hh:mm:ssAM(/PM)
    Введите | eq, ne | ERROR|INFORMATION|WARNING|SUCCESSAUDIT|FAILUREAUDIT
    Код | eq, ne, ge, le, gt, lt | Неотрицательное целочисленное.
    Пользователь | eq, ne | Любая допустимая строка.
    Компьютер | eq, ne | Любая допустимая строка.
    Источник | eq, ne | Любая допустимая строка.
    Категория | eq, ne | Любая допустимая строка.

См. также


Управление журналами событий

  • Очистка журнала событий
  • Сохранение журнала в файле
  • Открытие журнала, сохраненного в файле
  • Очистка журнала событий при его переполнении


Очистка журнала событий

Рисунок Microsoft Windows

Чтобы очистить журнал событий

  1. Откройте окно Просмотр событий.
  2. В дереве консоли выберите журнал, который нужно очистить.
  3. В меню Действие выберите команду Стереть все события.
  4. Чтобы сохранить журнал перед очисткой, нажмите кнопку Да.

    Нажмите кнопку Нет для уничтожения текущих записей журнала и начала регистрации новых событий.

Примечания

  • XOX
  • Чтобы очистить журнал событий, необходимо войти в систему с учетной записью «Администратор» или члена группы «Администраторы».
  • После очистки в журнале будут отображаться только новые записи.
  • Если в диалоговом окне Свойства был выбран параметр Не затирать события (чистка журнала вручную), необходимо периодически проводить очистку журнала либо после достижения определенного размера, либо после уведомлении о переполнении журнала.
  • Невозможно очистить журнал, сохраненный в файле. Вместо этого следует удалить файл журнала.

См. также


Сохранение журнала в файле

Рисунок Microsoft Windows

Чтобы сохранить журнал в файле

  1. Запустите программу Просмотр событий.
  2. В дереве консоли выберите журнал, который требуется сохранить в файле.
  3. В меню Действие выберите команду Сохранить файл журнала как.
  4. В поле Имя файла введите имя файла, в котором будет сохранен журнал.
  5. В поле со списком Тип файла выберите формат файла и нажмите кнопку Сохранить.

Примечания

  • XOX
  • Журнал событий, сохраненный в основном формате файла журнала, может впоследствии быть изучен в окне просмотра событий. В журнале, сохраненном в формате файла журнала событий (*.evt), хранятся двоичные данные для каждого записанного события.
  • Журнал, сохраненный в текстовом формате или формате с разделением записей запятыми (*.txt и *.csv, соответственно), может быть открыт в других программах, например в текстовых редакторах или в программах обработки электронных таблиц. Двоичные данные журнала, сохраненного в текстовом формате или в формате с разделением записей запятыми, теряются.
  • При сохранении файла журнала сохраняется весь журнал, вне зависимости от установленного фильтра.
  • При сохранении журнала порядок сортировки будет утерян.
  • Сохранение журнала в файле не влияет на содержимое текущего журнала событий. Чтобы очистить журнал, в меню Действие выберите команду Стереть все события.

См. также


Открытие журнала, сохраненного в файле

Рисунок Microsoft Windows

Чтобы открыть журнал, сохраненный в файле

  1. Откройте окно Просмотр событий.
  2. В меню Действие выберите команду Открыть файл журнала.
  3. Выберите файл, который требуется открыть. Возможно, потребуется найти диск или папку, в которой находится файл.
  4. В поле со списком Тип журнала выберите тип открываемого журнала.
  5. В поле Выводимое имя введите имя, которое должно отображаться в дереве консоли, а затем нажмите кнопку Открыть.

Примечания

  • Чтобы открыть окно просмотра событий, нажмите кнопку Пуск и выберите команды Настройка и Панель управления. Дважды щелкните значок Администрирование, а затем дважды щелкните значок Просмотр событий.
  • Содержимое файла можно просматривать в окне просмотра событий только в том случае, если журнал был сохранен в формате файла журнала (*.evt).
  • При просмотре файла журнала команды Обновить и Стереть все события становятся недоступными.
  • Чтобы уничтожить файл журнала, следует удалить файл в окне проводника Windows.

См. также


Очистка файла журнала событий при его переполнении

Рисунок Microsoft Windows

Чтобы очистить файл журнала событий при его переполнении.

  1. Запустите программу Просмотр событий.
  2. В дереве консоли выберите журнал, который нужно освободить.
  3. В меню Действие выберите команду Стереть все события.

Примечания

  • XOX
  • Чтобы очистить файл журнала событий, необходимо войти в систему с учетной записью «Администратор» или члена группы «Администраторы».
  • При заполнении файла журнала событий запись новых событий прекращается. Удаление всех записей является одним из способов освободить журнал и начать запись новых событий.
  • Очистить файл журнала и начать запись новых событий можно также, заменяя старые события новыми. Для этого в меню Действие выберите команду Свойства, а затем выберите параметр Затирать старые события по необходимости. После этого в журнал будут записываться новые события, даже если он заполнен.
  • Чтобы начать запись новых событий, можно также увеличить максимальное значение размера журнала. Чтобы увеличить размер журнала, в меню Действие выберите команду Свойства, а затем увеличьте значение в поле Максимальный размер журнала.

См. также


Настройка журналов событий

  • Выбор порядка сортировки событий журнала
  • Фильтрация событий журнала
  • Установка параметров журнала событий
  • Восстановление параметров журнала событий, используемых по умолчанию
  • Изменение размера журнала событий


Выбор порядка сортировки событий журнала

Рисунок Microsoft Windows

Чтобы выбрать порядок сортировки событий журнала

  1. Откройте окно Просмотр событий.
  2. В дереве консоли выберите журнал, который требуется отсортировать.
  3. Щелкните заголовок столбца, по которому требуется выполнить сортировку.

Примечания

  • XOX
  • Чтобы выполнить сортировку в обратном порядке, щелкните заголовок столбца еще раз.
  • Для сортировки событий в хронологическом порядке выберите в меню Вид команду От новых к старым или От старых к новым. По умолчанию используется режим сортировки От новых к старым.
  • При сохранении журнала в файл порядок сортировки не сохраняется.

См. также


Фильтрация событий журнала

Рисунок Microsoft Windows

Чтобы отфильтровать события журнала

С помощью интерфейса Windows

  1. Откройте окно Просмотр событий.
  2. В дереве консоли выберите журнал, который требуется фильтровать.
  3. В меню Вид выберите команду Фильтр.
  4. На вкладке Фильтр укажите требуемые характеристики.

Примечания

  • XOX
  • Чтобы восстановить задающиеся по умолчанию критерии фильтра, нажмите кнопку Восстановить умолчания.
  • Чтобы отключить фильтр, установите в меню Вид метку у команды Все события.

С помощью командной строки

  1. Откройте окно Командная строка.
  2. Введите:

    eventquery[.vbs] [-?] [-s компьютер [-u домен\пользователь [-p пароль]]] [-fi имя_фильтра ] [-fo {TABLE|LIST|CSV}] [-r диапозон_событий [-nh] [-v] [-l {APPLICATION|SYSTEM|SECURITY|"DNS Server"|LOG|имя_каталога_журнала|*}]

Значение | Описание
-? | Выводит справку по Evenquery.vbs
/s компьютер | Выбирает имя одного или нескольких удаленных компьютеров. По умолчанию используется локальный компьютер.
-u Домен\пользователь | Используется, когда требуется пароль.
/p пароль | Используется по требованию политики безопасности сети.
/fi Имя_фильтра | Задает типы событий, которые следует включить в запрос или исключить из него.
/fo {TABLE|LIST|CSV} | Задает формат выходных данных.
-r Диапазон_событий | События, включенные в список.
/nh | Удаляет заголовки колонок в выходных данных в формате таблицы и .cvs формате.
-v | Задает отображение подробных сведений о задании в выходных данных.
-l {APPLICATION|SYSTEM|SECURITY|"DNS Server"|LOG|имя_каталога_журнала|*} | Задает записи для просмотра.

Примечания

  • XOX
  • Чтобы просмотреть полный синтаксис этой команды, введите в командной строке:

    eventquery.vbs -?

  • Следующие параметры можно использовать со значением -fi Имя_фильтра

    ДатаВремя | eq, ne, ge, le, gt, lt | mm/dd/yy(yyyy), hh:mm:ssAM(/PM)
    Введите | eq, ne | ERROR|INFORMATION|WARNING|SUCCESSAUDIT|FAILUREAUDIT
    Код | eq, ne, ge, le, gt, lt | Неотрицательное целочисленное.
    Пользователь | eq, ne | Любая допустимая строка.
    Компьютер | eq, ne | Любая допустимая строка.
    Источник | eq, ne | Любая допустимая строка.
    Категория | eq, ne | Любая допустимая строка.

См. также


Установка параметров журнала событий

Рисунок Microsoft Windows

Чтобы установить параметры журнала событий

  1. Запустите программу Просмотр событий.
  2. В дереве консоли выберите журнал, параметры которого требуется установить.
  3. В меню Действие выберите команду Свойства.
  4. На вкладке Общие установите требуемые параметры.

Примечания

  • XOX
  • Для выполнения этой процедуры необходимо войти в систему с учетной записью «Администратор» или члена группы «Администраторы».
  • Чтобы восстановить параметры по умолчанию, нажмите кнопку Восстановить умолчания.
  • Чтобы очистить журнал, нажмите кнопку Очистить журнал.
  • В группе Размер журнала выберите один из следующих параметров.
    • Если не требуется сохранять данный журнал в файле, выберите переключатель Затирать старые события по необходимости.
    • Чтобы периодически сохранять журнал, выберите переключатель Затирать события старее и укажите соответствующее число дней. Значение в поле Максимальный размер журнала должно быть достаточно большим, чтобы вместить все события за период.
    • Чтобы сохранять все события в журнале, выберите переключатель Не затирать события (чистка журнала вручную). Данный параметр требует ручной очистки журнала. При достижении журналом максимального размера новые события не заносятся в журнал.

См. также


Восстановление параметров журнала событий, используемых по умолчанию

Рисунок Microsoft Windows

Чтобы восстановить параметры журнала событий, используемые по умолчанию

  1. Запустите программу Просмотр событий.
  2. В дереве консоли выберите журнал, параметры по умолчанию которого требуется восстановить.
  3. В меню Действие выберите команду Свойства.
  4. На вкладке Общие нажмите кнопку Восстановить умолчания.

Примечания

  • XOX
  • Чтобы восстановить параметры по умолчанию, необходимо войти в систему с учетной записью «Администратор» или члена группы «Администраторы».

См. также


Изменение размера журнала событий

Рисунок Microsoft Windows

Чтобы изменить размер журнала событий

  1. Запустите программу Просмотр событий.
  2. В дереве консоли выберите журнал, размер которого требуется изменить.
  3. В меню Действие выберите команду Свойства.
  4. На вкладке Общие в поле Максимальный размер журнала укажите новый размер журнала в килобайтах.
  5. Чтобы новые параметры вступили в действие, нажмите кнопку Очистить журнал.

    6. Чтобы сохранить данные журнала, нажмите кнопку Да в сообщении с вопросом о сохранении исходного журнала перед очисткой, а затем нажмите кнопку OK.

Примечания

  • XOX
  • Чтобы изменить размер журнала событий, необходимо войти в систему с учетной записью «Администратор» или члена группы «Администраторы».

См. также


Работа с журналом безопасности

В этом разделе рассмотрены следующие темы.

  • Включение журнала безопасности
  • Включение журнала безопасности контроллера домена
  • Настройка аудита файлов и папок
  • Выбор файлов и папок для аудита
  • Остановка работы компьютера при переполнении журнала безопасности


Включение журнала безопасности

Рисунок Microsoft Windows

Чтобы включить журнал безопасности

  1. Нажмите кнопку Пуск, выберите команду Выполнить, введите mmc /a (обратите внимание на наличие пробела между mmc и /a) и нажмите кнопку OK.
  2. В меню Файл выберите команду Добавить/удалить оснастку и нажмите кнопку Добавить.
  3. В поле Оснастка, выберите Групповая политика, затем нажмите кнопку Добавить.
  4. В поле Выбор объекта групповой политики выберите Локальный компьютер, нажмите кнопку Готово, затем кнопку Закрыть и затем кнопку OK.
  5. В узле Корень консоли дважды щелкните компонент Политика «Локальный компьютер» и дважды щелкните Политика аудита.

    Где?

    • Политика «Локальный компьютер»
    • Конфигурация компьютера
    • Конфигурация Windows
    • Параметры безопасности
    • Локальные политики
    • Политика аудита
  6. В области сведений выберите атрибут или событие для аудита.
  7. В окне Свойства выберите соответствующие параметры и нажмите кнопку OK.
  8. Повторите шаги 6 и 7 для других событий, подлежащих аудиту.

Примечания

  • Чтобы включить занесение сведений в журнал безопасности, необходимо войти в систему с учетной записью «Администратор» или члена группы «Администраторы». Компонент «Групповая политика» доступен только для администраторов.
  • Если консоль была предварительно сохранена с помощью групповой политики, можно открыть сохраненную консоль и перейти к шагу 5.
  • Если компьютер подключен к сети, ведение журнала безопасности может быть запрещено или отключено параметрами сетевой политики.
  • Размер журнала безопасности ограничен, поэтому надо разумно подходить к выбору событий для аудита, учитывая максимальный размер дискового пространства, предоставленного для журнала. Сведения о том, как изменить размер журнала безопасности, см. по ссылке «См. также».
  • Данная процедура применяется на компьютерах с Windows XP Professional и Windows XP 64-bit Edition, а также на компьютерах с Windows 2000, работающих как автономные или рядовые серверы. Сведения о том, как включить ведение журнала безопасности для контроллера домена, см. по ссылке «См. также».
  • Если на удаленном компьютере разрешен аудит безопасности, удаленные журналы событий отображаются в окне просмотра событий. Откройте консоль MMC в режиме автора и добавьте к ней просмотр событий. В диалоговом окне с вопросом, каким компьютером будет управлять оснастка, выберите Другим компьютером и введите имя удаленного компьютера.
  • Аудит безопасности для рабочих станций, рядовых серверов и контроллеров домена может быть удаленно включен только администраторами домена. О включении удаленного аудита см. последнее примечание в разделе Включение занесения сведений в журнал безопасности для контроллера домена.

См. также


Включение журнала безопасности контроллера домена

Рисунок Microsoft Windows

Чтобы включить журнал безопасности контроллера домена

  1. Откройте оснастку Пользователи и компьютеры Active Directory.
  2. В дереве консоли выберите узел Контроллеры домена.

    Где?

    • Пользователи и компьютеры Active Directory
    • имя домена
    • Контроллеры домена
  3. В меню Действие выберите команду Свойства.
  4. На вкладке Групповая политика выберите политику, которую требуется изменить, и нажмите кнопку Изменить.
  5. В дереве консоли окна Групповая политика выберите раздел Политика аудита.

    Где?

    • Конфигурация компьютера
    • Конфигурация Windows
    • Параметры безопасности
    • Локальные политики
    • Политика аудита
  6. В области сведений выберите атрибут или событие для аудита.
  7. В окне Свойства выберите соответствующие параметры и нажмите кнопку OK.
  8. Повторите шаги 6 и 7 для других событий, подлежащих аудиту.

Примечания

  • Чтобы открыть окно «Пользователи и компьютеры Active Directory», нажмите кнопку Пуск и выберите команды Программы, Администрирование и Пользователи и компьютеры Active Directory.
  • Размер журнала безопасности ограничен. Надо разумно подходить к выбору событий для аудита, учитывая максимальный размер дискового пространства, предоставленного для журнала.
  • Если на удаленном компьютере разрешен аудит безопасности, удаленные журналы событий отображаются в окне просмотра событий. Откройте консоль MMC в режиме автора и добавьте к ней просмотр событий. В диалоговом окне с вопросом, каким компьютером будет управлять оснастка, выберите Другим компьютером и введите имя удаленного компьютера.
  • Аудит безопасности для рабочих станций, рядовых серверов и контроллеров домена может быть удаленно включен только администраторами домена. Для этого создайте подразделение (OU), добавьте к нему учетные записи нужных компьютеров, а затем с помощью компонента «Пользователи и компьютеры Active Directory» создайте политику для включения аудита безопасности. Выполняйте эти же процедуры для включения журнала безопасности контроллера домена, только вместо выбора узла контроллера домена в дереве консоли, выберите имя домена

См. также


Настройка аудита файлов и папок

Рисунок Microsoft Windows

Чтобы настроить аудит файлов и папок

  1. Нажмите кнопку Пуск, выберите команду Выполнить, введите mmc /a (обратите внимание на наличие пробела между mmc и /a) и щелкните кнопку OK.
  2. В меню Файл выберите команду Добавить/удалить оснастку и затем нажмите кнопку Добавить.
  3. В поле Оснастка, выберите Групповая политика, затем нажмите кнопку Добавить.
  4. В поле Выбор объекта групповой политики выберите Локальный компьютер, нажмите кнопку Готово, затем кнопку Закрыть и затем кнопку OK.
  5. В узле Политика «Локальный компьютер» выберите Политика аудита.

    Где?

    • Политика «Локальный компьютер»
    • Конфигурация компьютера
    • Конфигурация Windows
    • Параметры безопасности
    • Локальные политики
    • Политика аудита
  6. В области сведений дважды щелкните значок Безопасность.
  7. В диалоговом окне Аудит доступа к объектам выберите нужные параметры и нажмите кнопку ОК.

Примечания

  • Чтобы иметь настраивать параметры аудита файлов и папок, необходимо войти в систему с учетной записью «Администратор» или члена группы «Администраторы». Компонент «Групповая политика» доступен только для администраторов.
  • Если консоль была предварительно сохранена с помощью групповой политики, можно открыть сохраненную консоль и перейти к шагу 5.
  • После включения аудита файлов и папок необходимо указать файлы и папки для аудита. Для получения дополнительных сведений щелкните ссылку «См. также».

См. также


Выбор файлов и папок для аудита

Рисунок Microsoft Windows

Выбор файлов и папок для аудита

  1. В проводнике Windows щелкните правой кнопкой мыши файл или папку, для которых требуется выполнить аудит, и выберите в меню команду Свойства.
  2. На вкладке Безопасность нажмите кнопку Дополнительно.
  3. На вкладке Аудит нажмите кнопку Добавить.
  4. В диалоговом окне Выбор: пользователь, компьютер или группа выберите имя пользователя или группы, для действий которых требуется провести аудит, и нажмите кнопку OK.
  5. В диалоговом окне Элемент аудита в группе Доступ установите флажки Успех, Отказ или оба эти флажка напротив действий, для которых требуется провести аудит, а затем нажмите кнопку OK.

Примечания

  • Чтобы иметь возможность указать файлы и папки для аудита, необходимо войти в систему с учетной записью «Администратор» или члена группы «Администраторы». В противном случае на шаге 2 не будет отображаться вкладка Безопасность или она будет доступна только для чтения.
  • Вкладка Безопасность отображается только для файлов и папок на томах NTFS.
  • Прежде чем указывать файлы и папки для аудита, необходимо включить его в компоненте «Групповая политика». Для получения дополнительных сведений щелкните ссылку «См. также».

См. также


Действия для остановки работы компьютера при переполнении журнала безопасности

Рисунок Microsoft Windows

Действия для остановки работы компьютера при переполнении журнала безопасности

  1. Запустите программу Просмотр событий.
  2. В дереве консоли щелкните правой кнопкой мыши компонент Безопасность и выберите команду Свойства.
  3. На вкладке Общие установите переключатель Затирать события старее n дней, либо Не затирать события (чистка журнала вручную).
  4. Создайте или назначьте следующее значение раздела с помощью редактора реестра.

    Куст | HKEY_LOCAL_MACHINE\SYSTEM
    Раздел | \CurrentControlSet\Control\Lsa
    Имя | CrashOnAuditFail
    Тип | REG_DWORD
    Значение | 1

  5. Перезагрузите компьютер.

Внимание!

  • Ошибка при изменении реестра может серьезно повредить систему. Необходимо заархивировать все ценные данные на компьютере, прежде чем вносить изменения в реестр.

Важно!

  • После завершения этой процедуры, когда журнал безопасности переполнится, Windows XP перестанет отвечать на запросы и будет выведено сообщение "Неудачная попытка аудита". Чтобы восстановить после остановки Windows XP, необходимо очистить журнал безопасности. Для получения дополнительных сведений щелкните ссылку «См. также».

Примечания

  • XOX
  • Для выполнения этой процедуры необходимо войти в систему с учетной записью «Администратор» или члена группы «Администраторы».
  • Если работа системы Windows XP остановлена в результате переполнения журнала аудита, необходимо перезагрузить систему и повторить данную процедуру, чтобы компьютер останавливался при переполнении журнала безопасности в будущем.
  • Для запуска редактора реестра нажмите кнопку Пуск, выберите команду Выполнить, введите regedit и нажмите кнопку OK. Для получения дополнительных сведений о редакторе реестра выберите команду Вызов справки в меню Справка этой программы.

См. также


Основные понятия

В этом разделе собраны общие фундаментальные сведения о просмотре событий.

  • Окно просмотра событий
  • Использование окна просмотра событий
  • Управление журналами событий из командной строки


Общие сведения о просмотре событий

Рисунок Microsoft Windows

Общее представление о просмотре событий

В журналах событий средства просмотра событий отображаются сведения о неполадках оборудования, приложений и системы. Можно также просматривать события безопасности Windows XP.

Если компьютер работает под управлением любой из версий Windows XP, запись событий выполняется с помощью трех типов журнала.

Журнал приложений

В журнале приложений содержатся данные, относящиеся к работе приложений и программ. Записи этого журнала создаются самими приложениями. События, вносимые в журнал приложений, определяются разработчиками соответствующих приложений.

Журнал безопасности

Журнал безопасности содержит записи о таких событиях, как успешные и безуспешные попытки доступа в систему, а также о событиях, относящихся к использованию ресурсов, например о создании, открытии и удалении файлов и других объектов. Решение о событиях, сведения о которых заносятся в журнал безопасности, принимает администратор. Например, после разрешения аудита входа в систему сведения обо всех попытках входа заносятся в журнал безопасности.

Журнал системы

В журнале системы содержатся события системных компонентов Windows XP. Например, в журнале системы регистрируются сбои при загрузке драйвера или других системных компонентов при запуске системы. Типы событий, заносимых в журнал системными компонентами, предварительно определены в Windows XP.

Если компьютер, работающий под управлением Windows, настроен в качестве контроллера домена, запись событий выполняется с помощью двух дополнительных журналов.

Журнал службы каталогов

В журнале службы каталогов содержатся события, заносимые службой каталогов Windows. Например, проблемы соединения между сервером и общим каталогом записываются в журнал службы каталогов

Журнал службы репликации файлов

В журнале службы репликации файлов содержатся события, заносимые службой репликации файлов Windows. В журнал репликации файлов, например, записываются неудачи при репликации файлов и события, которые происходят, пока контроллеры домена обновляются данными об изменениях sysvol.

Если компьютер, работающий под управлением Windows, настроен в качестве системы имен доменов (DNS), запись событий выполняется в дополнительный журнал.

Журнал DNS-сервера

В журнал DNS-сервер записываются сообщения об событиях, зарегистрированных службой DNS-сервер Windows. События, связанные с разрешением имен DNS адресам IP записываются в этот журнал.

В окне «Просмотр событий» отображаются события нескольких типов.

Ошибка

Серьезные трудности, такие как потеря данных или функциональности. Например, если происходит сбой загрузки службы при запуске, в журнал заносится сообщение об ошибке.

Предупреждение

События, которые в момент записи в журнал не были существенными, но могут привести к сложностям в будущем. Например, если на диске осталось мало свободного места, в журнал заносится предупреждение.

Уведомление

Событие, описывающее удачное завершение действия приложением, драйвером или службой. Например, после успешной загрузки драйвера в журнал заносится событие уведомления.

Аудит успехов

Событие, соответствующее успешно завершенному действию, связанному с поддержкой безопасности системы. Например, в случае успешного входа пользователя в систему, в журнал заносится событие с типом «Аудит успехов».

Аудит отказов

Событие, соответствующее неудачно завершенному действию, связанному с поддержкой безопасности системы. Например, в случае неудачной попытки доступа пользователя к сетевому диску в журнал заносится событие типа «Аудит отказов».

Служба журнала событий запускается автоматически при запуске Windows. Все пользователи могут просматривать журналы приложений и системы. Журналы безопасности доступны только системному администратору.

По умолчанию сведения в журнал безопасности не заносятся. Для включения записи событий в журнал безопасности можно воспользоваться компонентом «Групповая политика». Администратор может настроить параметры реестра для политики аудита так, что работа системы будет прекращаться в случае невозможности дальнейшей записи сведений в журнал безопасности.

Дополнительные сведения см. в следующих разделах.

  • Просмотр сведений о событии
  • Сохранение журнала в файле
  • Установка параметров журнала событий
  • Описание события
  • Настройка параметров занесения событий в журнал


Использование окна просмотра событий

Использование средства просмотра событий и журналов событий позволяет собирать сведения о неполадках оборудования, программного обеспечения и системы, а также наблюдать за событиями безопасности Windows XP.

Компьютер с любой установленной версией Windows XP записывает события в три вида журналов.

Журнал приложений

В журнале приложений содержатся данные, относящиеся к работе приложений и программ. Записи этого журнала создаются самими приложениями. События, вносимые в журнал приложений, определяются разработчиками соответствующих приложений.

Журнал безопасности

Журнал безопасности содержит такие события, как успешные и безуспешные попытки доступа в систему, и события, относящиеся к использованию ресурсов, например создание, открытие и удаление файлов и других объектов. Решение о событиях, сведения о которых заносятся в журнал безопасности, принимает администратор. Например, после разрешения аудита входа в систему сведения обо всех попытках входа заносятся в журнал безопасности.

Журнал системы

Журнал системы содержит записи о событиях, внесенные компонентами системы Windows XP. Например, в журнале системы регистрируются сбои при загрузке драйвера или других системных компонентов при запуске системы. Типы событий, заносимых в журнал системы, предварительно определены Windows XP.

Если компьютер, работающий под управлением Windows, настроен в качестве контроллера домена, запись событий выполняется с помощью двух дополнительных журналов.

Журнал службы каталогов

Журнал системы содержит записи о событиях, внесенные компонентами системы Windows. Например, проблемы соединения между сервером и общим каталогом записываются в журнал службы каталогов.

Журнал службы репликации файлов

Журнал службы репликации файлов содержит записи о событиях, внесенные службой репликации файлов Windows. В журнал репликации файлов, например, записываются неудачи при репликации файлов и события, которые происходят пока контроллеры домена обновляются данными об изменениях sysvol.

Компьютер, работающий как DNS-сервер, записывает события в дополнительный журнал.

Журнал DNS-сервера

Журнал системы содержит записи о событиях, внесенные компонентами системы Windows. В этот журнал записываются события, связанные с разрешением имен DNS адресам IP.

Примечания

  • Служба EventLog запускается автоматически при запуске Windows.
  • Все пользователи могут просматривать журналы приложений и системы. Журналы безопасности доступны только системным администраторам.
  • По умолчанию сведения в журнал безопасности не заносятся. Чтобы включить аудит событий безопасности, воспользуйтесь оснасткой «Групповая политика». Администратор может настроить параметры реестра для политики аудита так, что работа системы будет прекращаться в случае невозможности дальнейшей записи сведений в журнал безопасности.

Дополнительные сведения см. в следующих разделах.

  • Анализ событий
  • Просмотр и запись журнала в файл
  • Наблюдение за событиями безопасности


Анализ событий

В этом разделе рассмотрены следующие темы.

  • Заголовок события
  • Описание события
  • Просмотр событий политики применения URL


Заголовок события

Заголовок события содержит следующие сведения.

Сведения | Описание
Дата | Дата, соответствущая событию.
Время | Локальное время, когда произошло данное событие.
Пользователь | Имя пользователя, действия которого привели к данному событию. Это имя соответствует коду процесса клиента, если событие было вызвано процессом-сервером, и коду основного процесса в случае, если пользователь не причастен к событию. В некоторых случаях запись журнала безопасности содержит оба кода. Олицетворение происходит в тех случаях, когда в Windows XP один процесс присваивает атрибуты безопасности другого процесса.
Компьютер | Имя компьютера, на котором произошло событие. Обычно это имя локального компьютера, если только просмотр событий не выполняется с другого компьютера Windows XP.
Код события | Число, определяющее конкретный тип события. В первой строке описания обычно содержится название типа события. Например, 6005 — это идентификатор события, которое происходит при запуске службы ведения журналов событий. Соответственно, в начале описания этого события находится строка "Запущена служба журнала событий". Код события и имя источника записи могут использоваться представителями группы поддержки программного продукта для устранения неполадок.
Источник | Программа, занесшая событие. Это может быть как имя программы, например, "SQL Server," так и название компонента системы или большого приложения например, название драйвера. Например, "Elnkii" определяет EtherLink II драйвер.
Тип | Уровень важности события: «Ошибка», «Уведомление» или «Предупреждение» в журналах системы и приложений; «Аудит успехов» или «Аудит отказов» в журнале безопасности. В окне просмотра событий тип события представлен соответствующим значком.
Категория | Категория события в зависимости от источника события. Эти сведения используются преимущественно в журнале безопасности. Например, для аудита событий безопасности категория соответствует одному из типов событий, для которых в групповой политике может быть включен аудит успехов или отказов.

Дополнительные сведения см. в разделах.

  • Просмотр сведений о событии
  • Сохранение журнала в файле
  • Установка параметров журнала событий
  • Описание события
  • Настройка параметров событий, заносимых в журнал


Описание события

Формат и содержание описания события зависят от типа события. Описание события обычно содержит наиболее полезные сведения, относящиеся к причине и значимости события.

В журналы событий заносятся события пяти различных типов.

Тип события | Описание
Ошибка | Серьезные трудности, такие как потеря данных или функциональности. Например, если происходит сбой загрузки службы при запуске, в журнал заносится сообщение о событии типа «Ошибка».
Предупреждение | События, которые в момент записи в журнал не были существенными, но могут привести к сложностям в будущем. Например, если на диске осталось мало свободного места, в журнал заносится предупреждение.
Уведомление | Событие, описывающее удачное завершение действия приложением, драйвером или службой. Например, после успешной загрузки драйвера в журнал заносится событие уведомления.
Аудит успехов | Событие, соответствующее успешно завершенному действию, связанному с поддержкой безопасности системы. Например, в случае успешного входа пользователя в систему в журнал заносится событие типа «Аудит успехов»
Аудит отказов | Событие, соответствующее неудачно завершенному действию, связанному с поддержкой безопасности системы. Например, в случае неудачной попытки доступа пользователя к сетевому диску в журнал заносится событие типа «Аудит отказов».

Примечания

  • Поле дополнительных данных может содержать двоичные данные, которые могут отображаться в виде байтов или слов. Эти данные генерируются программой-источником записи журнала событий. Они отображаются в шестнадцатеричном формате. Их смысл может разъяснить специалист службы поддержки исходной программы.
  • При просмотре журнала приложений или системы на сервере LAN Manager 2.x отображаются только дата, время, источник и код события. При просмотре журнала безопасности на сервере LAN Manager 2.x отображаются только дата, время, категория, пользователь и компьютер.

Дополнительные сведения см. в следующих разделах.

  • Просмотр сведений о событии
  • Сохранение журнала в файле
  • Установка параметров журнала событий
  • Заголовок события
  • Настройка параметров событий, заносимых в журнал


Просмотр событий политики применения URL

Рисунок Microsoft Windows

Заявление о соблюдении конфиденциальности при использовании URL-адреса в программе «Просмотр событий»

События, записанные в программе «Просмотр событий», включают ссылку на веб-узел корпорации Майкрософт. При щелчке ссылки и в случае вашего согласия сведения о событии передаются через Интернет в корпорацию Майкрософт в форме запроса, который используется затем для поиска более подробных сведений на веб-узле корпорации Майкрософт. Данные, собираемые для строки запроса, включают сведения о типе сообщений о событии, об источнике в реестре, время и дату, название и версию продукта компании Майкрософт, а также имя и версию файла. Собираются только данные, необходимые для получения дополнительных сведений о событии из базы знаний на веб-узле корпорации Майкрософт. Имена пользователей и адреса электронной почты, названия файлов, несвязанных с записанным событием, машинные адреса и любая другая персональная информация не используется для запроса.


Просмотр и запись журнала в файл

В этом разделе рассмотрены следующие темы.

  • Поиск конкретных событий в журнале
  • Настройка параметров событий, заносимых в журнал
  • Сохранение журнала в файле


Поиск конкретных событий в журнале

С выбранным в окне просмотра событий журналом можно выполнять следующие действия.

Поиск событий

Поиск бывает полезен при работе с журналами больших объемов. Можно, например, найти все события типа «Предупреждения», относящиеся к конкретному приложению, или осуществить поиск всех событий типа «Ошибка», полученных из любых источников. Чтобы найти в журнале события, соответствующие определенному типу, источнику или категории, выберите в меню Вид команду Найти.

Параметры диалогового окна Поиск описаны ниже в таблице параметров фильтра.

Фильтр событий

В окне просмотра событий отображаются все события, записанные в выбранный журнал. Чтобы просмотреть только события с выбранными параметрами, выберите в меню Вид команду Фильтр и задайте на вкладке Фильтр требуемые условия.

Фильтрация не влияет на содержимое журналов событий, она лишь изменяет режим представления сведений в окне. В журналы последовательно заносятся все события независимо от того, включена ли фильтрация. Фильтрация также не влияет на сохранение журналов в файлах всех поддерживаемых форматов.

Следующая таблица содержит описание параметров диалогового окна Свойства: Журнал системы.

Применение | Режим фильтрации
С | В окне просмотра отображаются события, произошедшие после указанных даты и времени. По умолчанию это дата и время занесения в журнал первого события.
По | В окне просмотра отображаются события, произошедшие до указанных даты и времени. По умолчанию это дата и время занесения в журнал последнего события.
Уведомление1 | Редкие важные сообщения, описывающие успешные операции основных служб. Например, запись о событии типа «Уведомление» может быть занесена в журнал в случае успешной загрузки программы поддержки баз данных.
Предупреждение1 | События, необязательно являющиеся важными, но означающие наличие потенциальных неполадок. Например, запись о событии типа «Предупреждение» может быть занесена в журнал в случае, если на диске осталось мало свободного места.
Ошибка1 | Значительные неполадки, такие как потеря данных или функциональности. Например, запись о событии типа «Ошибка» может быть занесена в журнал в случае невозможности запуска какой-либо службы при загрузке Windows XP.
Аудит успехов1 | Успешные попытки безопасного доступа при включенном аудите. Например, запись о событии типа «Аудит успехов» заносится в журнал в случае успешного входа пользователя в систему.
Аудит отказов1 | Неудачные попытки безопасного доступа при включенном аудите. Например, в журнал может быть занесена запись о событии типа «Аудит отказов» в случае, если пользователь безуспешно пытался получить доступ к сетевому диску.
Источник события2 | Источник событий журнала, такой как приложение, компонент системы или драйвер.
Категория3 | Классификация событий, определяемая источником. Например, в журналах безопасности определены следующие категории событий: «Вход и выход», «Изменение политики», «Использование прав», «Системное событие», «Доступ к объектам», «Подробное отслеживание» и «Учетные записи».
Пользователь3 | Существующее имя пользователя, вызвавшего событие. Текст в это поле вводится без учета регистра.
Компьютер3 | Конкретный компьютер, события которого требуется просмотреть. Текст в это поле вводится без учета регистра.
Код события2 | Число, соответствующее конкретному событию.

1 Этот параметр не поддерживается серверами LAN Manager 2.x.

2 Этот параметр не поддерживается журналами аудита на серверах LAN Manager 2.x.

3 Этот параметр не поддерживается журналами ошибок на серверах LAN Manager 2.x.

Сортировка событий

По умолчанию в окне просмотра событий выполняется сортировка событий по дате и времени с последнего до первого события. Чтобы задать порядок сортировки, установите в меню Вид флажок От новых к старым или От старых к новым.

По умолчанию используется режим сортировки «От новых к старым». При сохранении журнала в файле также сохраняется порядок сортировки.

Просмотр подробных сведений о событиях

О многих событиях можно получить более подробные сведения, дважды щелкнув соответствующее событие.

В диалоговом окне Свойства: Событие отображаются подробное текстовое описание выбранного события и все доступные двоичные данные. Двоичные данные, отображаемые в шестнадцатеричном формате, представляют собой сведения, сгенерированные программой-источником записи события. Их смысл может разъяснить специалист службы поддержки исходной программы. Двоичные данные генерируются не для всех событий.

Аудит событий безопасности разного типа включается в разделе «Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Локальные политики\Политика аудита» групповой политики. Аудит файлов и папок задается в окне Свойства соответствующего объекта.

Дополнительные сведения см. в следующих разделах.

  • Просмотр сведений о событии
  • Сохранение журнала в файле
  • Установка параметров журнала событий
  • Описание события
  • Настройка параметров событий, заносимых в журнал


Настройка параметров событий, заносимых в журнал

Ведение журналов приложений и системы начинается автоматически при запуске компьютера. Ведение журналов прекращается, когда журнал полон, а его перезапись запрещена, либо если очистка журнала выполняется только вручную, а первое событие в журнале еще не устарело. Настройка журнала безопасности выполняется в оснастке «Групповая политика».

Чтобы определить параметры ведения журналов всех типов, в дереве консоли просмотра событий щелкните требуемый журнал правой кнопкой мыши и выберите команду Свойства. На вкладке Общие задайте максимальный размер журнала и выберите режим удаления старых событий.

По умолчанию политика ведения журнала предусматривает перезапись журнала при необходимости и хранение событий не менее 7 дней. Можно выбрать специальную политику замены записей для журнала каждого типа.

Возможны следующие варианты действий по достижении максимального размера журнала.

Применение | Действие
Затирать старые события по необходимости | Новые записи продолжают заноситься в журнал после его заполнения. Каждое новое событие заменяет в журнале наиболее старое. Этот выбор хорош в тех случаях, когда нет необходимости в жестком контроле за работой системы.
Затирать события старее [x] дней | Перезапись событий, хранящихся дольше указанного времени. По умолчанию события хранятся 7 дней. Этот выбор хорош для еженедельной архивации журнала. Такой подход минимизирует вероятность потери важных записей и позволяет выдерживать размер журнала в разумных пределах.
Не затирать события | Очистка журнала только вручную. Этот режим следует выбирать в тех случаях, когда потеря записей абсолютно недопустима (например, для журнала безопасности, когда безопасность системы исключительно важна).

Примечания

  • Если журнал переполнен и не позволяет добавлять новые записи, можно вручную освободить его, очистив от записей. Сокращение срока хранения записей также приводит к освобождению журнала для регистрации новых событий.
  • По умолчанию максимальный размер всех файлов журналов — 512 Кбайт. Максимальный размер файла журнала можно увеличить, насколько позволяет диск или память, либо уменьшить. Перед уменьшением размера журнала необходимо очистить его от записей.


Сохранение журнала в файле

Журнал событий можно сохранить в файле одного из трех форматов.

  • Журнал событий (*.evt). Позволяет просматривать сохраненный файл журнала в окне просмотра событий.
  • Текст (разделители — табуляция) (*.txt). Позволяет использовать сведения журнала в таких программах, как текстовый процессор.
  • Текст CSV (разделители — запятые) (*.csv). Позволяет использовать сведения журнала в таких программах, как средства работы с электронными таблицами и базами данных.

Описания событий сохраняются во всех форматах. Данные каждой отдельной записи события сохраняются в следующем порядке.

Порядок | Тип данных
1. | Дата
2. | Время
3. | Источник
4. | Тип
5. | Категория
6. | Событие
7. | Пользователь
8. | Компьютер
9. | Описание

Примечания

  • Двоичные данные сохраняются в файлах типа «Журнал событий», но не сохраняются в текстовых файлах любого типа.
  • Сохранение журнала в файле не влияет на содержимое текущего журнала событий. Чтобы очистить исходный журнал, выберите в меню Действие команду Стереть все события.
  • Сохраненные файлы журналов удаляются так же, как и любые другие.

Дополнительные сведения см. в следующих разделах.

  • Просмотр сведений о событии
  • Установка параметров журнала событий
  • Описание события
  • Настройка параметров событий, заносимых в журнал


Наблюдение за событиями безопасности

  • Наблюдение за событиями безопасности Windows XP
  • Управление политикой аудита
  • Аудит доступа к файлам и папкам
  • Остановка работы компьютера при переполнении журнала безопасности


Наблюдение за событиями безопасности Windows XP

Аудит, включаемый в оснастке «Групповая политика», позволяет отслеживать события безопасности Windows XP. Можно включить режим записи в журнал безопасности событий, связанных с выполнением определенных действий или доступом к файлам. Каждая запись в журнале содержит сведения о выполненном действии, о пользователе, который его выполнил, а также о дате и времени события. Можно проводить аудит как успешных, так и неудачных попыток выполнения некоторых действий. При этом в журнал безопасности будут заноситься записи обо всех пользователях, которые пытались выполнить разрешенные или запрещенные для них действия.

По умолчанию аудит событий не производится. При наличии разрешений администратора можно включить аудит системных событий требуемых типов в разделе «Групповая политика\Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Локальные политики\Политика аудита».

Что касается доступа к файлам и другим объектам, то можно определить конкретные файлы и принтеры, за которыми следует наблюдать. Можно также указать типы доступа к файлам и объектам, а также пользователей и группы, на которые будет распространяться аудит. Например, если включен Аудит доступа к объектам, можно с помощью проводника на вкладке Аудит диалогового окна Свойства файлов и папок задать объекты и тип доступа, подлежащие аудиту.

Примечание

  • Аудит доступа к файлам и папкам возможен только на дисках NTFS.

Дополнительные сведения см. в разделе

  • Настройка, просмотр, изменение и отмена аудита файла или папки


Управление политикой аудита

В Windows XP предусмотрена запись событий различных типов, от разнообразных системных событий, таких как вход пользователя в систему, до попытки чтения каким-либо пользователем определенного файла. В журнал могут записываться сведения как об успешных, так и о неудачных попытках выполнения действий.

Политика аудита позволяет выбрать типы событий безопасности, подлежащих аудиту. При возникновении такого события в журнал безопасности компьютера будет добавлена запись. Для просмотра журнала безопасности служит окно просмотра событий.

Размер журнала безопасности ограничен, поэтому надо разумно подходить к выбору событий для аудита, учитывая максимальный размер дискового пространства, предоставленного для журнала. Максимальный размер журнала безопасности задается в окне просмотра событий.

Дополнительные сведения см. в следующих разделах.

  • Просмотр сведений о событии
  • Сохранение журнала в файле
  • Установка параметров журнала событий
  • Описание события
  • Настройка параметров событий, заносимых в журнал


Аудит доступа к файлам и папкам

Имеется возможность аудита доступа к файлам или папкам на дисках NTFS для отслеживания различных действий, выполняемых с ними.

После разрешения аудита файлов или папок в окне просмотра событий журнала безопасности появляются записи при каждой попытке выполнить над этими ресурсами какие-либо действия. Можно указать, за какими файлами и папками следует наблюдать, чьи действия отслеживать, а также конкретные типы отслеживаемых действий.

Включите аудит файлов и папок в оснастке «Групповая политика». Затем в проводнике выберите конкретные файлы и задайте действия, подлежащие аудиту.

Возможен аудит как успешных, так и неудачных попыток выполнения следующих действий над файлами и папками:

Действия над папками | Действия над файлами
Просмотр имен файлов в папке | Просмотр содержимого файла
Просмотр атрибутов папки | Просмотр атрибутов файла
Изменение атрибутов папки | Просмотр разрешений и имени владельца
Создание подпапок и файлов | Изменение файла
Переход в подпапки | Изменение атрибутов файла
Просмотр разрешений и имени владельца | Выполнение файла
Удаление папки | Удаление файла
Изменение разрешений для папки | Изменение разрешений для файла
Смена владельца папки | Смена владельца файла

Примечание

  • Для аудита файлов и папок следует войти в систему под учетной записью члена группы «Администраторы».

Дополнительные сведения см. в следующих разделах.

  • Просмотр сведений о событии
  • Сохранение журнала в файле
  • Установка параметров журнала событий
  • Описание события
  • Настройка параметров событий, заносимых в журнал


Остановка работы компьютера при переполнении журнала безопасности

Для гарантии занесения в журнал всех событий аудита можно останавливать работу компьютера при переполнении журнала безопасности. Для этого выберите вариант Затирать события старее n дней или Не затирать события (очистка журнала вручную). Создайте или назначьте следующее значение раздела с помощью редактора реестра.

Куст | HKEY_LOCAL_MACHINE\SYSTEM
Раздел | \CurrentControlSet\Control\Lsa
Имя | CrashOnAuditFail
Тип | REG_DWORD
Значение | 1

Внесенные изменения вступят в действие при следующей загрузке компьютера.

Примечания

  • Если работа Windows XP будет остановлена в результате переполнения файла журнала, следует перезапустить и перенастроить систему для предотвращения возникновения событий аудита после переполнения журнала.
  • После перезагрузки в систему могут входить только администраторы до тех пор, пока журнал безопасности не будет очищен от старых записей.
  • Чтобы сохранить изменения реестра в процессе архивации, включите данные о состоянии системы в архив при выполении архивации.

Дополнительные сведения см. в следующих разделах.

  • Просмотр сведений о событии
  • Сохранение журнала в файле
  • Установка параметров журнала событий
  • Описание события
  • Настройка параметров событий, заносимых в журнал


Управление журналами событий из командной строки

В дополнение к журналу просмотра событий можно использовать служебные программы командной строки для создания и выполнения запросов в журналах событий и связи программ с конкретно занесенными в журнал событиями. Например, программа Eventcreate.exe позволяет создавать пользовательские журналы событий. Программа Eventquery.vbs служит для вывода списка событий и их свойств из одного или нескольких журналов событий. Программа Eventtriggers.exe позволяет создать события триггеров, которые запустят программы из числа определенных журналов событий.

Сведения о других служебных программах командной строки см. в разделе Справочник по параметрам командной строки.


Устранение неполадок

В этом разделе собраны сведения об устранении неполадок, связанных с использованием журналов событий.

  • Восстановление при остановке работы Windows XP
  • Использование журналов событий для устранения неполадок


Восстановление при остановке работы операционной системы

Рисунок Microsoft Windows

Чтобы восстановить работу при остановке операционной системы

  1. Перезагрузите компьютер и войдите в систему с учетной записью из группы администраторов.
  2. Откройте окно Просмотр событий, при необходимости сохраните события текущего журнала, а затем очистите все события из журнала безопасности.
  3. Откройте редактор реестра и найдите следующий раздел:

    4. HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa

  4. Удалите и замените значение параметра CrashOnAuditFail типом данных REG_DWORD и значением 1.
  5. Закройте редактор реестра и перезагрузите компьютер.

Внимание!

  • Ошибка при изменении реестра может серьезно повредить систему. Необходимо заархивировать все ценные данные на компьютере, прежде чем вносить изменения в реестр.

Примечания

  • Если реестр уже был настроен с параметром CrashOnAuditFail = 1 и журнал безопасности переполняется, Windows XP перестает отвечать на запросы и выводится сообщение "Неудачная попытка аудита". В этом случае выполните процедуру, описанную выше.
  • Для запуска редактора реестра нажмите кнопку Пуск, выберите команду Выполнить, введите regedit и нажмите кнопку OK. Для получения дополнительных сведений о редакторе реестра выберите команду Вызов справки в меню Справка этой программы.
  • Чтобы сохранить изменения реестра в процессе архивации, включите данные о состоянии системы в архив при выполении архивации.

См. также


Использование журналов событий для устранения неполадок

Тщательный анализ журналов событий поможет предотвратить неполадки в работе системы и определить причины их возникновения. Например, если в журнале присутствует предупреждение о том, что драйверу диска удается считать или записать какой-либо сектор только после нескольких попыток, по всей видимости, этот сектор в ближайшем будущем станет непригодным для использования. Журналы могут также помочь в разрешении вопросов, связанных с работой приложений. Например, если какая-либо программа аварийно завершается, в журнале приложений могут присутствовать записи о событиях, которые привели к этому.

Следующие рекомендации помогут в разрешении вопросов с помощью журналов событий.

Журналы следует сохранять (архивировать) в основном формате файлов журналов

Двоичные данные, связанные с событием, сохраняются при архивации (сохранении) журнала в основном формате файлов журналов (.evt), но уничтожаются при сохранении журнала в текстовом формате (. txt) или в формате с разделением записей запятыми (.csv) Двоичные данные могут помочь разработчику или специалисту службы технической поддержки определить причину неисправности.

Следует записывать идентификаторы событий

Эти числа соответствуют текстовому описанию в файле сообщений. Представители поддержки программного продукта используют эти числа, чтобы понять, что случилось в системе.

Неполадки оборудования

Если есть предположение, что причиной неполадок является некоторый аппаратный компонент, рекомендуется выбрать для просмотра журнала режим фильтрации, при котором будут отображаться лишь события, связанные с этим устройством.

Неполадки системы

Если предполагается, что причиной какой-либо проблемы является некоторое конкретное событие, следует попытаться найти в журнале другие записи, соответствующие тому же событию, или оценить частоту возникновения ошибки.

См. также


Просмотр журналов событий

  • Обновление журнала событий
  • Просмотр сведений о событии
  • Поиск конкретных событий
  • Добавление представления журнала событий
  • Выбор другого компьютера


Работа с журналом безопасности

  • Включение журнала безопасности
  • Включение журнала безопасности контроллера домена
  • Настройка аудита файлов и папок
  • Выбор файлов и папок для аудита
  • Остановка работы компьютера при переполнении журнала безопасности


Устранение неполадок

  • Восстановление при остановке работы Windows


Общее представление о просмотре событий

В этом разделе
  • Общие сведения о просмотре событий