Windows ține evidența a ceea ce face, imediat ce pornește, după care continuă să salveze informații în fișiere jurnal care pot să îți ofere o mulțime de informații utile atunci când ceva nu merge cum trebuie, dar și atunci când lucrurile funcționează OK.
În termeni tehnici, Microsoft se referă la lucruri precum instalările de aplicații, operațiunile de management al securității și operațiile de configurare a sistemului ca fiind "evenimente".
Un eveniment este o manifestare semnificativă în sistem sau într-un program, care necesită notificarea utilizatorilor sau introducerea unei intrări în jurnal.
Windows păstrează jurnale cu tot ce se întâmplă, de la pornire la închidere. Acesta stochează detalii despre erorile aplicațiilor, avertismentele date de diferite servicii de sistem, informații despre starea driverilor și serviciilor. Jurnalele de evenimente ajută la identificarea și diagnosticarea surselor problemelor curente de sistem sau la prevenirea problemelor potențiale de sistem.
Poți vedea toate aceste jurnale folosind aplicația Event Viewer (Vizualizator Evenimente). Event Viewer (Vizualizatorul de evenimente) oferă o metodă ușoară de a accesa și vizualiza jurnalele de evenimente.
Serviciul pentru jurnalul de evenimente (Event Log Service) înregistrează evenimentele aplicațiilor, de securitate și de sistem în Event Viewer.
Event Viewer (Vizualizatorul de evenimente) este o aplicație standard din Windows care oferă posibilitatea de a verifica evenimentele care au loc pe calculatorul, oferindu-ți acces la jurnale despre programe, securitate și evenimente din sistem. Cu informațiile din Event Viewer poți să îți depanezi calculatorul cu Windows și poți să vezi care sunt problemele hardware sau software pe care le are.
Prin intermediul jurnalelor de evenimente din Event Viewer aveți posibilitatea să obțineți informații despre componentele hardware, software și de sistem și să monitorizați evenimentele de securitate de pe computerul local sau de pe un computer la distanță.
Sunt cinci tipuri de evenimente importante înregistrate de către Event Viewer în Windows:
Application (Aplicații): arată evenimente care au legătură cu software-ul instalat pe calculatorul tău. Jurnalul de aplicații conține evenimentele înregistrate de programe. De exemplu, un program de baze de date poate înregistra o eroare de fișier în jurnalul de aplicații. Evenimentele ce se scriu în jurnalul de aplicații sunt determinate de dezvoltatorii programului software.
Security (Securitate): conține evenimentele legate de securitatea calculatorului. Jurnalul de securitate înregistrează evenimente precum încercările valide și nevalide de Log on, precum și evenimentele legate de utilizarea resurselor, cum ar fi crearea, deschiderea sau ștergerea de fișiere. De exemplu, când este activată auditarea la Log on, este înregistrat un eveniment în jurnalul de securitate de fiecare dată când un utilizator face Log on pe computer. Trebuie să faceți Log on ca administrator sau ca membru al grupului de administratori pentru a activa, utiliza și specifica evenimentele de înregistrat în jurnalul de securitate.
Setup (Instalare): se referă la evenimente de control din domeniu, lucruri care nu sunt folosite de utilizatorii de acasă, dar sunt folosite de către companii.
System (Sistem): arată evenimente care au legătură cu fișierele de sistem din Windows. Jurnalul de sistem conține evenimente înregistrate de componentele de sistem Windows. De exemplu, dacă un driver nu reușește să se încarce în timpul pornirii, va fi înregistrat un eveniment în jurnalul de sistem.
Forwarded Events (Evenimente redirecționate): sunt evenimente de pe alte calculatoare din rețea care au fost redirecționate către calculatorul tău.
Fiecare eveniment din fiecare categorie poate avea unul dintre aceste niveluri:
Error (Eroare): înseamnă că este posibil să fi existat pierderi de date sau că un program nu funcționează corect, ori că un driver pentru un dispozitiv nu a reușit să se încarce. Evenimentul a fost critic și ar trebui să îl investighezi.
Warning (Atenționare): este mai puțin sever decât un mesaj de eroare. Poți să primești un mesaj de atenționare dacă rămâi fără spațiu pe un card de memorie, de exemplu. Un alt exemplu este atunci când o aplicație a primit argumentele greșite și nu le poate folosi cum trebuie. Un mesaj de atenționare te alertează despre un anumit eveniment, dar nu înseamnă neapărat că ceva foarte rău s-a întâmplat.
Information (Informație): îți arată detalii despre lucrurile care au loc pe calculatorul tău. Majoritatea intrărilor din jurnale sunt clasificate drept Information (Informații), iar acest tip de evenimente îți spun că Windows sau aplicațiile care au scris evenimentele în jurnale, fac ceea ce trebuie să facă, ori, dacă au apărut erori de vreun fel, ele nu au cauzat probleme.
Success Audit (în jurnalul de securitate): un eveniment care descrie completarea cu succes a unui eveniment de securitate auditat. De exemplu, un eveniment de tip auditare reușită este înregistrat când un utilizator face Log on pe computer.
Failure Audit (în jurnalul de securitate): un eveniment care descrie un eveniment de securitate auditat care nu s-a terminat cu succes. De exemplu, un eveniment de tip auditare nereușită se înregistrează când un utilizator nu poate accesa o unitate de rețea.
Fiecare intrare din jurnal este clasificată prin tipul său și conține informații de antet și o descriere a evenimentului.
Antetul evenimentului conține următoarele informații despre eveniment:
Date - Data la care s-a produs evenimentul.
Time - Ora la care s-a produs evenimentul.
User - Numele de utilizator al utilizatorului care era conectat când s-a produs evenimentul.
Computer - Numele computerului pe care s-a produs evenimentul.
Event ID - Un număr care identifică tipul evenimentului. ID-ul evenimentului poate fi utilizat de reprezentații serviciului de asistență pentru produs pentru a înțelege ce anume s-a întâmplat în sistem.
Source - Sursa evenimentului. Aceasta poate fi numele unui program, o componentă de sistem sau o componentă individuală a unui program mare.
Level - Nivelul evenimentului. Există cinci nivele de evenimente: Error, Warning, Information, Success Audit sau Failure Audit.
Category - O clasificare a evenimentului în funcție de sursa evenimentului. Aceasta este utilizată în principal în jurnalul de securitate.
Există o multitudine de programe destinate gestionării evenimentelor. Mai jos găsiți o listă cu câteva din ele:
SolarWinds PaperTrail: Este un sistem de gestionare a jurnalelor ușor de implementat, utilizat și înțeles. Instrumentul are un motor de căutare foarte eficient care poate căuta atât jurnalele stocate, cât și evenimentele. Utilizatorii pot folosi interfața de căutare bazată pe web sau instrumentele din linia de comandă pentru a căuta prin aceste jurnale pentru a ajuta la diagnosticarea erorilor și a problemelor de performanță.
2. SolarWinds Log & Event Manager: Este un produs instalat local. Principalele caracteristici sunt: Elimină rapid amenințările folosind detectarea instantanee a activității suspecte și a răspunsurilor automatizate. De asemenea, poate efectua investigarea evenimentelor de securitate.
3. ManageEngine EventLog Analyzer: Produsul va colecta, gestiona, analiza, corela și căuta prin datele de jurnal din peste 700 de surse folosind o combinație sau o colecție de jurnale, precum și import de jurnal. Poate prelucra datele de jurnal la un impresionant 25.000 de jurnale / secundă și detecta atacuri în timp real.
4. LogDNA: Este un program destinat monitorizării jurnalelor de evenimente.
5. Splunk: Splunk este un sistem complet de gestionare a jurnalelor pentru macOS, Linux și Windows.