Aceeventlog что это за программа?

Удаление Eventlog: Удалите Eventlog Навсегда

Что такое Eventlog

Скачать утилиту для удаления Eventlog

Удалить Eventlog вручную

Получить проффесиональную тех поддержку

Читать комментарии

Описание угрозы

Название угрозы

Имя исполняемого файла:

Тип угрозы:

Поражаемые ОС:

Eventlog

prdtect.exe

Trojan

Win32 (Windows XP, Windows Vista, Windows Seven, Windows

Eventlog копирует свои файл(ы) на ваш жёсткий диск. Типичное имя файла prdtect.exe . Потом он создаёт ключ автозагрузки в реестре с именем Eventlog и значением prdtect.exe . Вы также можете найти его в списке процессов с именем prdtect.exe или Eventlog.

Если у вас есть дополнительные вопросы касательно Eventlog, пожалуйста, заполните эту форму и мы вскоре свяжемся с вами.

Скачать утилиту для удаления

Скачайте эту программу и удалите Eventlog and prdtect.exe (закачка начнется автоматически):

* SpyHunter был разработан американской компанией EnigmaSoftware и способен удалить удалить Eventlog в автоматическом режиме. Программа тестировалась на Windows XP, Windows Vista, Windows 7 и Windows 8.

Функции

Удаляет все файлы, созданные Eventlog.

Удаляет все записи реестра, созданные Eventlog.

Программа способна защищать файлы и настройки от вредоносного кода.

Программа может исправить проблемы с браузером и защищает настройки браузера.

Удаление гарантированно — если не справился SpyHunter предоставляется бесплатная поддержка.

Антивирусная поддержка в режиме 24/7 входит в комплект поставки.

Скачайте утилиту для удаления Eventlog от российской компании Security Stronghold

Если вы не уверены какие файлы удалять, используйте нашу программу Утилиту для удаления Eventlog.. Утилита для удаления Eventlog найдет и полностью удалит Eventlog и все проблемы связанные с вирусом Eventlog.

Быстрая, легкая в использовании утилита для удаления Eventlog защитит ваш компьютер от угрозы Eventlog которая вредит вашему компьютеру и нарушает вашу частную жизнь. Утилита для удаления Eventlog сканирует ваши жесткие диски и реестр и удаляет любое проявление Eventlog. Обычное антивирусное ПО бессильно против вредоносных таких программ, как Eventlog.

Скачать эту упрощенное средство удаления специально разработанное для решения проблем с Eventlog и prdtect.exe (закачка начнется автоматически):

Наша служба поддержки готова решить вашу проблему с Eventlog и удалить Eventlog прямо сейчас!

Оставьте подробное описание вашей проблемы с Eventlog в разделе Техническая поддержка. Наша служба поддержки свяжется с вами и предоставит вам пошаговое решение проблемы с Eventlog. Пожалуйста, опишите вашу проблему как можно точнее. Это поможет нам предоставит вам наиболее эффективный метод удаления Eventlog.

Как удалить Eventlog вручную

Эта проблема может быть решена вручную, путём удаления ключей реестра и файлов связанных с Eventlog, удалением его из списка автозагрузки и де-регистрацией всех связанных DLL файлов. Кроме того, отсутствующие DLL файлы должны быть восстановлены из дистрибутива ОС если они были повреждены Eventlog.

Чтобы избавиться от Eventlog, вам необходимо:

1. Завершить следующие процессы и удалить соответствующие файлы:

• dtreg.exe
• eventlog.exe
• fport.exe
• instsrv.exe
• kist.exe
• lill.exe
• spchk.exe
• support.dll
• winlog.exe

Предупреждение: вам необходимо удалить только файлы, контольные суммы которых, находятся в списке вредоносных. В вашей системе могут быть нужные файлы с такими же именами. Мы рекомендуем использовать Утилиту для удаления Eventlog для безопасного решения проблемы.

2. Удалите следующие папки:

3. Удалите следующие ключи и\или значения ключей реестра:

• Key: software\classes\clsid\{7b87a1e1-481a-47a5-b58f-bb1430dcc930}
• Key: CLSID\{7b87a1e1-481a-47a5-b58f-bb1430dcc930}

Предупреждение: Если указаны значения ключей реестра, вы должны удалить только указанные значения и оставить сами ключи нетронутыми. Мы рекомендуем использовать Утилиту для удаления Eventlog для безопасного решения проблемы.

Как предотвратить заражение рекламным ПО? Мы рекомендуем использовать Adguard:

4. Сбросить настройки браузеров

Eventlog иногда может влиять на настройки вашего браузера, например подменять поиск и домашнюю страницу.

Мы рекомендуем вам использовать бесплатную функцию «Сбросить настройки браузеров» в «Инструментах» в программе Stronghold AntiMalware для сброса настроек всех браузеров разом.

Учтите, что перед этим вам надо удалить все файлы, папки и ключи реестра принадлежащие Eventlog. Для сброса настроек браузеров вручную используйте данную инструкцию:

Для Internet Explorer

• Если вы используете Windows XP, кликните Пуск, и Открыть. Введите следующее в поле Открыть без кавычек и нажмите Enter: «inetcpl.cpl».
• Если вы используете Windows 7 или Windows Vista, кликните Пуск. Введите следующее в поле Искать без кавычек и нажмите Enter: «inetcpl.cpl».
• Выберите вкладку Дополнительно
• Под Сброс параметров браузера Internet Explorer, кликните Сброс. И нажмите Сброс ещё раз в открывшемся окне.
• Выберите галочку Удалить личные настройки для удаления истории, восстановления поиска и домашней страницы.
• После того как Internet Explorer завершит сброс, кликните Закрыть в диалоговом окне.

Предупреждение: В случае если это не сработает используйте бесплатную опцию Сбросить настройки браузеров в Инструменты в программе Stronghold AntiMalware.

Для Google Chrome

• Найдите папку установки Google Chrome по адресу: C:\Users\»имя пользователя»\AppData\Local\Google\Chrome\Application\User Data.
• В папке User Data, найдите файл Default и переименуйте его в DefaultBackup.
• Запустите Google Chrome и будет создан новый файл Default.
• Настройки Google Chrome сброшены

Предупреждение: В случае если это не сработает используйте бесплатную опцию Сбросить настройки браузеров в Инструменты в программе Stronghold AntiMalware.

Для Mozilla Firefox

• Откройте Firefox
• В меню выберите Помощь >Информация для решения проблем.
• Кликните кнопку Сбросить Firefox.
• После того, как Firefox завершит, он покажет окно и создаст папку на рабочем столе. Нажмите Завершить.

Предупреждение: Так вы потеряте выши пароли! Рекомендуем использовать бесплатную опцию Сбросить настройки браузеров в Инструменты в программе Stronghold AntiMalware.

Информация предоставлена: Aleksei Abalmasov

Most wanted pest: zlob trojan

« Вернуться в каталог

Источник: https://www.securitystronghold.com/ru/gates/eventlog.html

Как посмотреть логи windows

Всем привет, тема стать как посмотреть логи windows. Что такое логи думаю знают все, но если вдруг вы новичок, то логи это системные события происходящие в операционной системе как Windows так и Linux, которые помогают отследить, что, где и когда происходило и кто это сделал. Любой системный администратор обязан уметь читать логи windows.

Примером из жизни может служить ситуация когда на одном из серверов IBM, выходил из строя диск и для технической поддержки я собирал логи сервера, для того чтобы они могли диагностировать проблему. За собирание и фиксирование логов в Windows отвечает служба Просмотр событий. Просмотр событий это удобная оснастка для получения логов системы.

Как открыть в просмотр событий

Зайти в оснастку Просмотр событий можно очень просто, подойдет для любой версии Windows. Нажимаете волшебные кнопки

Win+R и вводите eventvwr.msc

Откроется у вас окно просмотр событий windows в котором вам нужно развернуть пункт Журналы Windows. Пробежимся по каждому из журналов.

Журнал Приложение, содержит записи связанные с программами на вашем компьютере. В журнал пишется когда программа была запущена, если запускалась с ошибкоу, то тут это тоже будет отражено.

Журнал аудит, нужен для понимания кто и когда что сделал. Например вошел в систему или вышел, попытался получить доступ. Все аудиты успеха или отказа пишутся сюда.

Пункт Установка, в него записывает Windows логи о том что и когда устанавливалось Например программы или обновления.

Так же есть логи windows для более специфических служб, например DHCP или DNS. Просмотр событий сечет все :).

Фильтрация в просмотре событий

Предположим у вас в журнале Безопасность более миллиона событий, наверняка вы сразу зададите вопрос есть ли фильтрация, так как просматривать все из них это мазохизм. В просмотре событий это предусмотрели, логи windows можно удобно отсеять оставив только нужное. Справа в области Действия есть кнопка Фильтр текущего журнала.

Вас попросят указать уровень событий:

• Критическое
• Ошибка
• Предупреждение
• Сведения
• Подробности

Все зависит от задачи поиска, если вы ищите ошибки, то смысла в других типах сообщение нету.  Далее можете для того чтобы сузить границы поиска просмотра событий укзать нужный источник событий  и код.

Так что как видите разобрать логи windows очень просто, ищем, находим, решаем. Так же может быть полезным быстрая очистка логов windows:

Посмотреть логи windows PowerShell

Было бы странно если бы PowerShell не умел этого делать, для отображения log файлов открываем PowerShell и вводим вот такую команду

Get-EventLog -Logname 'System'

В итоге вы получите список логов журнала Система

Тоже самое можно делать и для других журналов например Приложения

Get-EventLog -Logname 'Application'

небольшой список абревиатур

• Код события — EventID
• Компьютер — MachineName
• Порядковый номер события — Data, Index
• Категория задач — Category
• Код категории — CategoryNumber
• Уровень — EntryType
• Сообщение события — Message
• Источник — Source
• Дата генерации события — ReplacementString, InstanceID, TimeGenerated
• Дата записи события — TimeWritten
• Пользователь — UserName
• Сайт — Site
• Подразделение — Conteiner

Например, для того чтобы в командной оболочке вывести события только со столбцами «Уровень», «Дата записи события», «Источник», «Код события», «Категория» и «Сообщение события» для журнала «Система», выполним команду:

Get-EventLog –LogName ‘System’ | Format-Table EntryType, TimeWritten, Source, EventID, Category, Message

Если нужно вывести более подробно, то заменим Format-Table на Format-List

Get-EventLog –LogName ‘System’ | Format-List EntryType, TimeWritten, Source, EventID, Category, Message

Как видите формат уже более читабельный.

Так же можно пофильтровать журналы например показать последние 20 сообщений

Get-EventLog –Logname ‘System’ –Newest 20

Или выдать список сообщение позднее  1 ноября 2014

Get-EventLog –LogName ‘System’ –After ‘1 ноября 2014’

Дополнительные продукты

Так же вы можете автоматизировать сбор событий, через такие инструменты как:

• Комплекс мониторинга Zabbix
• Через пересылку событий средствами Windows на сервер коллектор
• Через комплекс аудита Netwrix
• Если у вас есть SCOM, то он может агрегировать любые логи Windows платформ
• Любые DLP системы

Так что вам выбирать будь то просмотр событий или PowerShell для просмотра событий windows, это уже ваше дело. Материал сайта pyatilistnik.org

Источник: http://pyatilistnik.org/kak-posmotret-logi-windows/

Дело об автозагрузке Windows

К послеобеденному кофе миссис Хадсон подала вкуснейший чизкейк. Когда мы с Холмсом рассыпались в комплиментах ее кулинарному искусству, она смущенно отмахнулась: «Увольте, его сделала моя племянница».

В ответ на мое шутливое замечание, что неплохо бы превратить это в традицию, миссис Хадсон немедленно вернула мне мяч: «Возможно, для этого вам надо познакомиться с мисс Финли? Кстати, есть хороший повод!»

Я всем своим видом выразил внимание, и она продолжила: «У нее там какая-то проблема с ноутбуком. Не затруднит ли вас взглянуть, доктор?»

Проблема мисс Финли

Назавтра, прихватив зонт и саквояж, я в приподнятом настроении отправился к мисс Финли. Дверь открыла стильно одетая молодая женщина. Она приветливо улыбнулась и быстро проговорила: «Здравствуйте, доктор! Как здорово, что вы согласились уделить время! Проходите же!»

Повесив пальто, я поинтересовался проблемой. Женщина смущенно моргнула огромными ресницами:

— При каждом включении ноутбука запускается Skype, и я ума не приложу, как от этого избавиться. Уже все перепробовала!
— Думаю, это несложно вылечить. И где же больной?

Мисс Финли проводила меня в небольшой, но очень уютный кабинет, где в воздухе отчетливо ощущался тонкий аромат ее духов. Она жестом указала на ноутбук, стоявший на рабочем столе.

«Прошу вас, доктор!» — женщина с надеждой посмотрела на меня. – «Не смею вам мешать». И взяв с полки Kindle, она грациозно покинула кабинет, тихо прикрыв дверь. Я сел в белое кожаное кресло и открыл крышку ноутбука.

В поисках решения

Первым делом я, конечно, проверил настройки Skype, но автоматический запуск при старте Windows был отключен.

Увеличить рисунок 

Я заглянул в msconfig, но и там Skype отсутствовал в списке. Усмехнувшись, я извлек из своего саквояжа утилиту Autoruns, которая показывает абсолютно всю автозагрузку.

К моему удивлению, на вкладках Logon и Scheduled Tasks следов программы тоже не обнаружилось.

Увеличить рисунок

Я нахмурился, снял пиджак, повесил его на спинку кресла и открыл вкладку Everything…

В течение следующего часа я перерыл все возможные места автозагрузки программ в Windows, перезагрузил ноутбук с десяток раз, но так и не нашел причины автоматического запуска Skype. «Несложно, говоришь?», — произнес я про себя, промокнув платком выступившую на лбу испарину.

Спустя минуту мисс Финли заглянула в кабинет:

— Что, доктор, все так плохо?— Гм… да, случай более запущенный, чем я ожидал…

— Не желаете ли кофе?

Я с удовольствием согласился, хотя не особо верил, что кофе поможет мне достойно выйти из сложившейся ситуации. Я вздохнул и бросил взгляд на свой список контактов Skype – Холмс был в сети.

Звонок другу

Уже через несколько секунд детектив приветствовал меня, ехидно прищурившись:

— Что, Ватсон, не можете решить проблему мисс Финли?
— Холмс, ваши дедуктивные способности как всегда на высоте…

Я быстро перечислил другу все свои действия и вопросительно посмотрел в камеру. Холмс пыхнул трубкой, и его лицо на миг скрылось в клубах дыма. Когда они рассеялись, детектив коротко произнес: «Пришлите мне журнал загрузки Process Monitor». Он быстро кинул мне две ссылки и отключился.

Едва я успел отправить детективу все необходимое, как владелица ноутбука вернулась с кофе и чизкейком.

Мисс Финли оказалась очень интересной собеседницей с отличным чувством юмора и заразительным смехом. Спустя примерно полчаса она, однако, бросила взгляд в сторону ноутбука: «Есть шансы починить?»

Причиной моего энтузиазма было ответное письмо от Холмса, которое он, оказывается, прислал всего спустя три минуты после получения файла от меня. Там была всего одна строка:

Skype запускает утилита «C:\Program Files (x86)\Samsung\Easy Settings\SCCSpeedBoot.exe» /s

Вооружившись этой информацией я быстро нашел программу Easy Settings и отключил в управлении загрузкой автозапуск Skype.

Увеличить рисунок

С торжествующей улыбкой я отправил ноутбук в перезагрузку и повернул его экраном к мисс Финли.  Должен признаться вам, что следующие несколько минут я чувствовал себя крайне неловко под градом комплиментов благодарной женщины.

Для меня, впрочем, оставалось загадкой, как Холмсу удалось так быстро найти причину проблемы. Покинув резиденцию мисс Финли, я отправился прямиком на Бейкер-стрит.

Разгадка

Заслышав мои шаги, детектив развернулся в кресле и, пряча улыбку, констатировал:

— Судя по вашему сияющему лицу, доктор, вы не только справились с проблемой, но и сделали большой шаг к тому, чтобы волшебные чизкейки мисс Финли стали доброй традицией.— Что бы я без вас делал, Холмс! Но я сгораю от нетерпения узнать, как вы пришли к решению.

— Это же элементарно, Ватсон!

Детектив жестом пригласил меня присесть рядом с ним. «Из вашего описания нетрудно было предположить, что Skype запускает какая-то другая программа», — он открыл присланный мной журнал в Process Monitor и нажал Ctrl + T, — «У каждого процесса Windows есть родительский процесс, и утилита это отлично показывает».

Действительно, Skype.ехе являлся дочерним процессом SCCSpeedBoot.exe, как и написал мне Холмс. Все выглядело элементарно, но я не мог удержаться от вопроса:

— Скажите, Холмс, почему вы просто не подсказали мне открыть дерево процессов?— Дело в том, друг мой, что после запуска программы процесс может завершиться, поэтому я и попросил вас прислать запись загрузки.

— Получается, что в программе Easy Settings утилита SCCSpeedBoot.exe отвечает за ускорение загрузки Windows. А за счет чего оно достигается?

Детектив не спеша раскурил трубку: «Посмотрите внимательно, Ватсон. У SCCSpeedBoot.exe тоже есть родительский процесс», — он указал мундштуком на taskeng.exe.

Я подметил, что все дочерние процессы taskeng.exe в Process Monitor присутствовали в окне программы Easy Settings. Холмс кивнул и улыбнулся: «Вы ведь должны были видеть задание для запуска утилиты в Autoruns на вкладке Scheduled Tasks».

Вычисление задания без планировщика

Детектив пустил кольцо дыма к потолку и задумчиво посмотрел сквозь него:

— Знаете, Ватсон, а ведь создатели Easy Settings не читали книгу об ускорении загрузки…— Откуда у вас такая уверенность?

— Пока вы любезничали с мисс Финли, мой коллега прислал мне установочный пакет программы.

Холмс открыл проводник, демонстрируя мне содержимое пакета.

Затем он нажал Alt  2, запуская в этой папке командную строку от имени администратора и выполнил:

msiexec /a EasySettingsSetup.msi

Я тут же поинтересовался, почему он просто не запустил установщик двойным щелчком. «Программа предназначена только для ноутбуков Samsung, поэтому в пакет MSI заложена проверка, препятствующая установке на других ПК. Но для наших целей подойдет обходной путь – точка административной установки!», — подмигнул он.

Он указал расположение для распаковки MSI и закончил установку, после чего перешел в папку и быстро применил фильтр по типу файлов: «Установщик программы определяет разрядность системы и выполняет соответствующий ей пакетный файл», — пояснил он.

Холмс открыл файл DMTaskAdd64.bat и выделил четвертую строку.

@echo Easy Settings is being added to Task Scheduler.. @schtasks /create /XML «%programfiles(x86)%\Samsung\Easy Settings\EasySettings64.xml» /tn «EasySettings» @schtasks /create /XML «%programfiles(x86)%\Samsung\Easy Settings\EasySettings64_nor.xml» /tn «EasySettings_config» @schtasks /create /XML «%programfiles(x86)%\Samsung\Easy Settings\SCCSpeedBoot-x64.xml» /tn «SCCSpeedBoot» @schtasks /create /XML «%programfiles(x86)%\Samsung\Easy Settings\WLANStartup64.xml» /tn «WLANStartup» SamsungDeviceConfiguration.exe -Install

— Получается, пакетный файл импортирует в планировщик задание с именем SCCSpeedBoot, описанное в файле SCCSpeedBoot-x64.xml?
— Вы делаете успехи, Ватсон! Мы уже почти добрались до сути.

Приоритет запланированного задания

Детектив открыл XML-файл и выделил несколько строк.

Увеличить рисунок

Стало понятно, что задание настроено на запуск утилиты SCCSpeedBoot.exe спустя 30 секунд после входа пользователя в систему. «А теперь самое интересное, Ватсон», — произнес мой друг, раскрывая узел Settings». – «Обратите внимание, что для задания установлен приоритет 7, стандартный для задач, запускаемых из планировщика».

Увеличить рисунок

Не прерывая своего рассказа, Холмс открыл планировщик и начал создавать задание.

— Планировщик предназначен для фоновых процессов, поэтому они выполняются с низким приоритетом.— По-моему, это логично.

— Конечно, Ватсон. Однако с помощью утилиты SCCSpeedBoot выполняются интерактивные программы, а запуск с пониженным приоритетом может снижать их производительность!

— Это можно как-нибудь обойти?

— Несомненно, и в книге об ускорении загрузки об этом написано!

Эксперимент с приоритетом программ, запущенных из планировщика

Детектив создал простое задние для запуска блокнота Notepad-BelowNormal, экспортировал его и открыл. Я убедился, что задан уровень приоритета 7. Далее он изменил 7 на 6, сохранил XML-файл с именем Notepad-Normal, после чего импортировал его в планировщик.

Холмс запустил оба задания и открыл Process Explorer: «В диспетчере задач Windows можно посмотреть базовый приоритет CPU для процесса. Приоритет I/O наследуется от него в Windows 7 и выше», — объяснил он, — «Однако Process Explorer показывает оба значения».

Добавив столбцы Priority и I/O Priority он жестом пригласил меня полюбоваться результатом.

Действительно, у первого процесса оба приоритета были ниже, чем у второго.

— Холмс, теперь мне все ясно. Создателям программы Easy Settings следовало установить в задании планировщика обычный приоритет, раз уж они взялись управлять запуском программ пользователя.
— Безусловно! К счастью, владельцы Windows 8 от этого не пострадают.

В ответ на мой недоуменный взгляд, детектив вернулся в папку с установочным пакетом программы.

Различие автозапуска программ в Windows 7 и Windows 8

На сей раз Холмс открыл подпапку win8, и я увидел, что в ней пакет MSI назывался немного иначе. В имени файла не было слово “Easy”.

Детектив повторил трюк с точкой административной установки и продемонстрировал мне отсутствие утилиты для ускорения загрузки Windows, равно как и связанных с ней заданий планировщика.

— Холмс, вы хотите сказать, что эту возможность убрали из версии программы для Windows 8?
— Да, потому что она не нужна. В Windows 8 в очередной раз предпринята попытка снизить влияние программ в автозагрузке на скорость запуска системы.
— И как это работает?

«Вы обращали внимание, что программы из автозагрузки начинают появляться только после отображения начального экрана и даже перехода на рабочий стол?»

Когда я пожал плечами, Холмс перезагрузил систему и стало понятно, о чем он говорил. «А что делать тем, кто не хочет ждать?», — я вопросительно посмотрел на детектива.

«Полностью это не отключается, но задержку запуска программ можно значительно сократить, используя секретный параметр StartupDelayInMSec в пользовательском разделе реестра»

— Холмс, но ведь найдутся те, кого и это не устроит…
— Они могут воспользоваться запуском программ… из планировщика заданий!

@echo off echo %time% Task Scheduler >> %userprofile%\desktop\results.txt@echo off echo %time% Startup Folder >> %userprofile%\desktop\results.txt

Для запуска первого файла он создал задние в планировщике, выполняющееся при входе в систему, а второй поместил в папку shell:startup, после чего завершил сеанс. Снова войдя в систему, он открыл файл с результатами выполнения команд.

«Как видите, доктор, из планировщика заданий команда отработала на две секунды раньше», — философски произнес детектив и отправил свой ноутбук в сон.

Он поднялся с кресла, достал из футляра скрипку и коснулся струн смычком…

По традиции напоминаю, что детективные истории о Холмсе я пишу для вашего и своего развлечения. Если вы не воспринимаете такой стиль изложения, в блоге есть другие записи в традиционном ключе. Вы также можете найти тему в форуме, из которой родился этот рассказ, и прочесть «оригинал»

Вы можете отметить интересные вам фрагменты текста, которые будут доступны по уникальной ссылке в адресной строке браузера.

Вадим является владельцем этого блога, и большинство записей здесь вышло из-под его пера. Подробности о блоге и авторе здесь.

Источник: http://www.outsidethebox.ms/14645/

Журналирование в Windows

11.05.2011 Андрей Вернигора

. Сначала поговорим о системе журналирования в целом.

Компоненты системы журналирования

Прежде всего, как и в предыдущих версиях Windows, частью этой системы является служба журнала событий. Это, можно сказать, классический механизм журналирования, известный со времен Windows NT.

Он обеспечивает поддержку нескольких стандартных журналов, в которые система и приложения могут писать различные сообщения при помощи специального API. Однако с появлением Windows Vista/Windows server 2008 этот механизм был значительно расширен.

Наиболее значительным нововведением, на мой взгляд, является реализация поддержки технологии Event Tracing for Windows (ETW). Благодаря этой функциональности система журналирования научилась получать данные от провайдеров ETW, как системных, так и пользовательских.

То есть появилась возможность расширять список отслеживаемых провайдеров за счет тех, которые могут предоставляться используемыми приложениями. Кроме того, теперь вы можете выполнять свой сценарий или приложение в ответ на определенное событие. Это может помочь в автоматизации работы системы.

Следующим расширением является встроенная возможность автоматически собирать данные журнала событий других компьютеров сети. Для этого в системе предусмотрена служба Windows Event Collector. Она создает и поддерживает подписки на события, которые регистрируются на удаленных машинах.

Каждая подписка может подключаться к нескольким удаленным компьютерам, которые, в свою очередь, служат источниками событий. Любая подписка может иметь фильтр. Это помогает ограничить количество сообщений, которые будут доставляться с удаленных источников. Подписки могут быть нескольких типов.

Тип подписки — это способ, которым будут собираться данные.

• Source-initiated subscriptions — события отправляются источником. Этот тип позволяет создать подписку на компьютере, который будет собирать события с удаленных источников. При этом удаленные компьютеры должны быть настроены при помощи глобальной политики таким образом, чтобы они отправляли свои события в единую точку. Такие подписки могут использоваться для сбора данных как с доменных машин, так и с машин, не входящих в ваш домен. Для проверки подлинности последних можно использовать сертификаты.
• Collector-initiated subscriptions — события собираются приемником. Если вы знаете список систем, с которых хотите собирать события, то вы можете настроить компьютер для сбора данных с систем, входящих в домен. При этом приемник будет самостоятельно опрашивать нужные системы и собирать с них данные. Этот тип подписки применим только в рамках домена.

Для работы в сети служба использует еще одну технологию — WS-Management, что накладывает определенные требования на компьютеры, которые могут служить источниками событий.

В дополнение к этим службам, к подсистеме журналирования событий условно можно отнести и службу планировщика заданий. Задания, которые вы создаете как реакции на различные события, исполняются в рамках этой службы.

Event Tracing for Windows

Сам по себе механизм Event Tracing for Windows имеет очень большие возможности. Основная его идея состоит в том, что многие компоненты как самой операционной системы, так и пользовательских приложений могут при помощи специального API отправлять сообщения о своем состоянии этому механизму по запросу.

Компоненты, которые реализуют передачу событий, называются провайдерами событий. При этом нагрузка на систему во время сбора данных растет незначительно: на 20000 событий/с приходится примерно 5% процессорных ресурсов. Основным назначением данной системы является не очень длительная диагностика состояния системы, приложений и взаимодействия между ними.

Сама по себе она не заменяет обычный журнал событий. Но другие внешние приложения, например служба журнала событий, могут подписываться на любые события, предоставляемые ETW через провайдеры событий. Для этого существуют так называемые каналы журнала событий, которые могут предоставляться провайдерами. То есть не все провайдеры предоставляют каналы для журнала событий.

Экран 1. Каналы и провайдеры для журнала событий

Кроме того, список провайдеров можно получить при помощи двух утилит командной строки: xperf и wevtutil. Утилита xperf (экран 2) является частью пакета Microsoft Windows Performance Toolkit, и здесь мы не будем ее рассматривать, а утилитой wevtutil (экран 3) займемся немного позднее.

Экран 2. Утилита xperf

Экран 3. Утилита wevtutil

Следующей составляющей инфраструктуры событий можно считать планировщик заданий. Теперь эта служба используется системой очень активно, достаточно посмотреть на список заданий, существующих в системе по умолчанию.

Теперь, например, можно привязать задание к определенному журналу или событию в журнале. А значит, реагировать на различные события в системе стало проще.

Для этого требуется всего лишь выбрать нужное событие в журнале и, щелкнув правой кнопкой мыши, выбрать соответствующий пункт меню (экран 4).

Экран 4. Привязка задания к определенному журналу или событию в журнале

В результате появится окно мастера, в котором можно выбрать нужное действие, как на экране 5.

Экран 5. Мастер создания задачи

Свойства созданной задачи можно будет увидеть после ее создания, в самом конце процедуры, или в самом планировщике заданий. Как мы видим, задание запускается при появлении события с заданным EventID в журнале Application. Проверить это можно при помощи простой утилиты:

eventcreate/T error/id 1000/l application /d «test event»

Данная команда создаст запись с необходимыми нам параметрами в нужном журнале, и мы сразу увидим сообщение, сгенерированное планировщиком заданий (экран 6).

Экран 6. Cообщение, сгенерированное планировщиком заданий

Кроме того, задание можно создать и из командной строки, следующим образом:

SCHTASKS/Create/TN EventLog/TR «msg */server: localhost Message» /SC ONEVENT/EC Application /MO * [System/EventID=999]

Эта функция планировщика заданий тоже основана на ETW.

Служба журнала событий

Теперь перейдем непосредственно к службе журнала событий и ее возможностям. Служба eventlog запускается в процессе svchost и принадлежит к группе служб LocalServiceNetworkRestricted. Права доступа к ней показаны на экране 7.

Экран 7. Права доступа к службе eventlog

Получить SDDL — строки, описывающие права доступа к службе, можно при помощи утилиты sc:

sc qtriggerinfo eventlog

В задачи службы входит регистрация событий, как в стандартных, так и в расширенных журналах. Кроме того, она может подписываться на различные каналы провайдеров ETW.

Служба поддерживает несколько основных каналов: «Система», «Приложение», «Установка» и «Безо­пасность». Каждому из этих каналов соответствует один журнал, который можно просматривать при помощи Event Viewer.

Каналы «Система» и «Приложение» предназначены для журналирования различных событий.

Канал «Установка» предназначен для сообщений, связанных с установкой и настройкой, а «Безопасность» — для сообщений, связанных с безопасностью.

Расширенные функции и дополнительные журналы находятся в разделе журналов приложений и служб. Представленные в нем журналы разделены на несколько типов: административный, журнал операций, аналитический и отладочный журналы.

События, содержащиеся в административном журнале, предназначены в первую очередь для конечных пользователей, администраторов и служб технической поддержки. Кроме самого описания проблемы, такой журнал предоставляет администратору всеобъемлющую информацию о способах ее решения.

Такие события либо подробно описаны в документации, либо с ними связаны сообщения с четкими инструкциями по устранению проблемы. Записи в журнале операций служат для анализа и диагностики проблем или событий. Они могут использоваться для запуска средств или задач при возникновении соответствующих проблем или событий.

Эти журналы предназначены для анализа производителями приложений и службы поддержки Microsoft. Там же можно создать собственные журналы событий при помощи powershell:

new-eventlog -source TestApp -logname TestLog

Каналы провайдеров ETW можно найти в папке Microsoft в этом разделе. Тут же вы найдете и примеры описанных выше типов журналов. Чтобы увидеть отладочные и аналитические журналы, нужно выбрать соответствующую настройку (экран 8).

Экран 8. Включение просмотра отладочных и аналитических журналов

После этого можно включить эти журналы для сбора событий своего провайдера, щелкнув правой кнопкой мыши по журналу и выбрав пункт «Включить журнал». Для того чтобы включить аналитический журнал из командной строки, можно сделать следующее:

wevtutil sl logname/e: true

Производители приложений могут предоставлять свои провайдеры для службы журнала событий. Для этого они должны разработать описание своего поставщика событий в виде XML документа — манифеста, затем откомпилировать этот манифест при помощи специальных утилит и импортировать его в журнал событий во время инсталляции продукта.

Отдельно стоит отметить журнал перенаправленных событий. Сюда по умолчанию сохраняются события, перенаправленные с других компьютеров сети. Об этом журнале мы поговорим позже.

Основной утилитой командной строки при работе с журналами является wevtutil. Некоторые примеры ее применения мы уже рассмотрели выше. Хочу обратить ваше внимание еще на некоторые ключи и результаты, позволяющие лучше понять нововведения в механизмах журналирования.

Как можно узнать, с каким поставщиком событий связан тот или иной журнал? Посмотрите на экран 9 и обратите внимание на выделенные строки. Параметр owningPublisher указывает на поставщика событий для этого журнала.

Характерно, что для классического журнала «Приложение» этот параметр пуст. Кроме того, обратите внимание на тип файла журнала. В случае расширенного журнала это файл с расширением etl — event trace.

В таких файлах сохраняются события ETW при их сборе утилитой xperf.

Экран 9. Работа с wevtutil

Следующая интересная функция — возможность делать выборки из журналов прямо из командной строки при помощи упрощенного запроса xpath. Например, используя стандартную утилиту wevtutil, можно выбрать все события с EventID=1000 из журнала «Приложение»:

wevtutil qe application «/q:* [System [(EventID=1000)]]»/f: text

Можно сделать то же самое, используя другой подход — сценарий на Powershell. В Powershell 2.0 появились команды, предназначенные для работы с расширенными возможностями службы журналирования. Одна из них — get-winevent. С ней запрос будет выглядеть вот так:

Get-WinEvent -LogName application -FilterXPath»* [System [(EventID=1000)]]»

Если вы хотите получить все ошибки и предупреждения, можно поступить так:

Get-WinEvent -LogName application -FilterXPath «* [System [(Level=1 or Level=2)]]»

Для того чтобы упростить себе задачу при написании таких запросов, можно пойти на хитрость. Графический интерфейс встроенного просмотровщика событий позволяет фильтровать представления журнала по определенным параметрам.

В таком виде его можно использовать для команды get-winevent с параметром -FilterXml или, взяв только запрос в квадратных скобках, можно применять его как в параметре -FilterXPath команды, так и в wevtutil.

Подписка на события

Перейдем, наконец, к самой интересной части — к подписке на события. За эту функцию отвечает служба Windows Event Collector. Запускается она со следующей командной строкой: C:\Windows\system32\svchost.exe -k NetworkService.

При помощи этой службы вы можете превратить свой сервер в единую точку сбора журналов событий с удаленных компьютеров. Однако для этого компьютеры должны удовлетворять некоторым требованиям.

WS-Management. Для сбора данных используется инфраструктура Windows remote management. Отсюда и вытекают все требования. Инфраструктура построена на протоколе ws-management, который в свою очередь использует HTTP, SOAP over HTTP (WS-I profile), SOAP 1.2, WS-Addressing, WS-Transfer, WS-Enumeration и WS-Eventing.

Таким образом, для того чтобы можно было собирать события с удаленных источников, необходимо, чтобы на клиентах и сервере работала эта инфраструктура. Что для этого нужно? Необходим WinRM http://support.microsoft.com/kb/968929 — компонент, реализующий Windows remote management для Windows. Отсюда вытекают следующие требования.

WinRM 2.0 и PowerShell 2.0. Вы должны тем или иным способом установить и настроить WinRM на всех своих клиентских машинах, с которых будут собираться данные. Отрадно, что в Windows Server 2008 R2 и Windows 7 эти компоненты, как и необходимая для наших целей оболочка Powershell, уже есть.

После установки вам потребуется настроить WinRM. Для этого существует два способа. В первом случае можно использовать сценарий winrm.vbs, он же утилита winrm, во втором — Powershell. При первом способе настройка сводится к выполнению команды winrm quickconfig.

Эта команда настроит сетевой экран, и, самое главное, создаст так называемый слушатель (Listener), который обеспечивает возможность подключения и сетевого взаимодействия с инфраструктурой. Слушатель по умолчанию создается для протокола HTTP по порту 5985. Для диагностических целей важно знать, как проверить наличие слушателя и его настроек.

Для проверки настроек и наличия слушателя можно указать следующую команду:

Источник: https://www.osp.ru/winitpro/2011/02/13008443