Использование WEVTUTIL для управления журналом событий

Наконец-то наступил момент, когда компания Microsoft затратила время и энергию для предоставления нам полезного вьювера Event Viewer. Windows Vista и Windows Server 2008 идут с исправленным Event Viewer, а также некоторыми дополнительными инструментами, которые делают использование Event Viewer чем-то таким, чем легко управлять. Вдобавок к новым опциям подписки, которыми теперь обладает Event Viewer, появилась утилита командной строки, WEVTUTIL, позволяющая контролировать практически каждый аспект журналов Event Viewer.

Команды и синтаксис WEVTUTIL

Команда WEVTUTIL имеет огромный потенциал мощности, а ее параметры и переключатели являются прямым тому доказательством. Поскольку команда WEVTUTIL может контролировать практически каждый аспект Event Viewer и журналов регистрации событий, для контроля этих деталей должно быть множество параметров и переключателей.

Основная структура синтаксиса для WEVTUTIL представлена ниже:

<strong>wevtutil [{el | enum-logs}] [{gl | get-log} &lt;Logname&gt; [/

f:&lt;Format&gt;]]</strong>

<strong>wevtutil [{el | enum-logs}] [{gl | get-log} &lt;Logname&gt; [/

f:&lt;Format&gt;]]</strong>

<strong>[{sl | set-log} &lt;Logname&gt; [/e:&lt;Enabled&gt;] [/

i:&lt;Isolation&gt;] [/lfn:&lt;Logpath&gt;] [/rt:&lt;Retention&gt;] [/

ab:&lt;Auto&gt;] [/ms:&lt;Size&gt;] [/l:&lt;Level&gt;] [/k:&lt;Keywords&gt;] [/

ca:&lt;Channel&gt;] [/c:&lt;Config&gt;]]</strong>

<strong>[{ep | enum-publishers}]</strong>

<strong>[{gp | get-publisher} &lt;Publishername&gt; [/ge:&lt;Metadata&gt;] [/

gm:&lt;Message&gt;] [/f:&lt;Format&gt;]] [{im | install-manifest} &lt;Manifest&gt;]<!--

code--></strong>

<strong>[{um | uninstall-manifest} &lt;Manifest&gt;] [{qe | query-

events} &lt;Path&gt; [/lf:&lt;Logfile&gt;] [/sq:&lt;Structquery&gt;] [/

q:&lt;Query&gt;] [/bm:&lt;Bookmark&gt;] [/sbm:&lt;Savebm&gt;] [/rd:&lt;Direction&gt;] [/

f:&lt;Format&gt;] [/l:&lt;Locale&gt;] [/c:&lt;Count&gt;] [/e:&lt;Element&gt;]]</strong>



<strong>[{gli | get-loginfo} &lt;Logname&gt; [/lf:&lt;Logfile&gt;]]</strong>



<strong>[{epl | export-log} &lt;Path&gt; &lt;Exportfile&gt; [/lf:&lt;Logfile&gt;] [/

sq:&lt;Structquery&gt;] [/q:&lt;Query&gt;] [/ow:&lt;Overwrite&gt;]]</strong>



<strong>[{al | archive-log} &lt;Logpath&gt; [/l:&lt;Locale&gt;]]</strong>



<strong>[{cl | clear-log} &lt;Logname&gt; [/bu:&lt;Backup&gt;]] [/

r:&lt;Remote&gt;] [/u:&lt;Username&gt;] [/p:&lt;Password&gt;] [/a:&lt;Auth&gt;] [/

uni:&lt;Unicode&gt;]</strong>

Как и в любой другой команде и параметрах, существуют обязательные и необязательные переключатели. Синтаксис тоже крайне важен, поскольку некоторые ссылки требуют двоеточия (:), другие используют пробел между переключателями и путями, третьи используют кавычки (‘ ‘). В следующей таблице даны описания каждого параметра и синтаксиса для необязательных переключателей. Вы можете получить более подробный обзор и описание параметров и опций на сайте компании Microsoft на странице TechNet Wevtutil.

Полезные примеры использования WEVTUTIL

С таким количеством новых журналов и средств публикации в Windows Vista и Windows Server 2008 приятно осознавать тот факт, что вам нет необходимости запоминать их все. Конечно, вы всегда можете заглянуть в Event Viewer, чтобы просмотреть полный список. Проблема этой опции заключается в том, что вы не всегда знаете синтаксис для интересующего вас журнала или средства публикации. Вместо этого вы можете использовать следующие команды для получения полного списка всех журналов и средств публикации.

Пример 1: на рисунке 1 показано, как получать полный список всех журналов событий на вашем локальном компьютере.

Рисунок 1: Использование параметра el для получения полного списка журналов событий на локальном компьютере

Пример 2: на рисунке 2 показано, как получать список всех средств публикации событий на локальном компьютере.

Рисунок 2: Использование параметра ep для получения полного списка средств публикации на локальном компьютере

Пример 3: на рисунке 3 показано, как получать информацию об отдельном журнале событий.

Рисунок 3: Использование параметра gl и имени журнала для получения информации об этом журнале

Пример 4: на рисунке 4 показано, как можно экспортировать информацию о событиях из журнала событий event viewer в архивный файл или с целью сохранения.

Рисунок 4: Использование параметра epl для экспортирования журнала событий в файл

Пример 5: на рисунке 5 показано, как можно очищать журнал событий, а также создавать резервную копию журнала, прежде чем он будет очищен.

Рисунок 5: Использование параметра cl в комбинации с /bu:<path> переключателем для создания резервной копии и отчистки журнала

Заключение

Как вы видите, контроль, который можно получить над журналами событий с помощью WEVTUTIL гораздо лучше. Этот инструмент идет в комплекте с Windows Vista и Windows Server 2008, позволяя контролировать практически каждый аспект генерируемых журналов событий. Windows Vista и Windows Server 2008 идут с новым спектром журналов событий, которые можно использовать, а теперь с этой утилитой командной строки, вы можете гораздо эффективнее управлять ими. Вы также можете управлять и архивировать журналы, используя команду WEVTUTIL, либо с помощью сценариев VBScript, либо совместно со своим любимым инструментом для сценариев. Если вы используете PowerShell, вы можете управлять WEVTUTIL с помощью ее интерфейса.

www.windowsecurity.com

• Планировщик заданий Windows server 2008
• Посмотреть фрагментацию таблиц ms sql
• Установить сертификат на компьютер
• Локальная группа размеры
• Применение групповой политики

Tags: Windows Vista