Журнал просмотра событий Windows¶
Журнал просмотра событий (Event Viewer) — системный инструмент операционных систем Windows, предназначенный для регистрации, хранения и просмотра записей о произошедших в системе событиях: действиях пользователей, запуске программ, изменениях настроек, ошибках и предупреждениях служб. Через журнал событий можно узнать, какие программы запускались, когда происходили входы в учётную запись, какие изменения вносились в реестр и системные компоненты, — то есть фактически посмотреть последние действия на компьютере.
¶Состав журнала событий
В Windows журналы событий разделены на категории:
| Журнал | Содержание |
|---|---|
| Журнал приложений | События, порождённые установленными программами (ошибки, сбои, установки) |
| Журнал службы безопасности | Входы и выходы пользователей, обращения к файлам и правам доступа, аудит |
| Журнал системы | События компонентов Windows: драйверы, служба Windows Update, служба планировщика |
| Журнал переустановки | Записи о процессах обновления и переустановки системы |
Каждая запись содержит дату и время, уровень важности (информация, предупреждение, ошибка, критическая ошибка), источник события, код события и идентификатор (ID), а также имя пользователя, от имени которого произошло действие.
¶Как открыть журнал событий
Существует несколько способов:
- Через меню «Пуск» — в строке поиска ввести
eventvwr.mscили «Просмотр событий». - Через оснастку «Управление компьютером» — правый клик по значку «Этот компьютер» → «Управление» → «Просмотр событий».
- Через консоль MMC — нажать
Win + R, ввестиmmc, затем добавить оснастку «Просмотр событий». - Через PowerShell — команды
Get-EventLog,Get-WinEventпозволяют выбирать записи по фильтрам и экспортировать их.
¶Просмотр последних действий пользователя
Для просмотра последних действий на компьютере наиболее информативны следующие разделы:
¶Входы в систему
В журнале службы безопасности события с ID 4624 (успешный вход), 4634 (выход), 4648 (вход с явными учётными данными) и 4672 (предоставление особых привилегий) позволяют установить, кто и когда входил в систему, с какого устройства и по какому протоколу (локально, по RDP, по сети).
¶Запуск программ
События 4688 (создание нового процесса) фиксируют запуск приложений. Для их регистрации в Windows необходимо предварительно включить аудит создания процессов через оснастку «Локальная групповая политика» (gpedit.msc → «Конфигурация компьютера» → «Конфигурация Windows» → «Параметры безопасности» → «Аудит»).
¶Изменения реестра и файлов
При включённом аудите события 4657 фиксируют изменение значений реестра, 4663 — попытки доступа к объектам (файлам, папкам, ключам реестра).
¶Установка и удаление программ
В журнале приложений события источника MsiInstaller (ID 1033, 1034, 1040) отмечают установку и деинсталляцию программного обеспечения. Журнал системы содержит записи источника «Windows Update» о загруженных и установленных обновлениях.
¶Фильтрация и поиск
Просмотр событий поддерживает фильтрацию по:
- диапазону дат и времени;
- уровню важности;
- журналу и источнику;
- идентификатору события;
- текстовому содержанию (поиск по строке).
В PowerShell фильтрация выполняется командой:
``powershell Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4624; StartTime=(Get-Date).AddDays(-7)} ``
Этот запрос вернёт все успешные входы за последние семь дней.
¶Ограничения
Журнал событий не является полноценным средством контроля действий пользователя. По умолчанию многие категории аудита (создание процессов, доступ к файлам, изменения реестра) отключены, и их необходимо включать вручную. Записи хранятся в бинарных файлах .evtx в каталоге C:\Windows\System32\winevt\Logs\. Размер журнала ограничен политикой, старые записи перезаписываются новыми. Пользователь с правами администратора может очищать журналы, что делает их ненадёжным доказательством при попытке сокрытия действий.
¶Дополнительные средства мониторинга
Помимо журнала событий, для отслеживания активности на компьютере используются:
- Планировщик задач (журнал выполнения задач);
- Проводник Windows — история недавних файлов (раздел «Быстрый доступ»);
- Средство просмотра журнала PowerShell — журнал командной оболочки;
- Реестр Windows — ключи
Run,UserAssist,RecentDocs,TypedPaths, содержащие следы запуска программ и открытых файлов.
¶История
Подсистема журнала событий появилась в Windows NT 3.1 (1993) и с тех пор развивалась вместе с системой. В Windows Vista и более поздних версиях журнал был переведён на формат .evtx (XML-структура), добавлена возможность подписи записей и централизованного сбора событий с нескольких компьютеров через подписки WEC (Windows Event Collector).