Questions tagged «windows-event-log»

“事件日志”通常是指Microsoft Windows计算机上的系统/服务器日志。

4
Windows Server重新启动/关闭历史记录
如何轻松查看Windows Server每次重新启动或关闭时的历史记录以及其原因（包括用户启动，系统启动和系统崩溃）的原因？ Windows事件日志是一个明显的答案，但是我应查看的事件的完整列表是什么？ 我发现这些帖子部分回答了我的问题： Windows Server的上次重新启动时间包含一些答案，部分回答了完整的重新启动历史记录 Windows Server 2008 R2下的“查看关机事件跟踪器”日志包含其他事件ID 计算机启动/启动时的事件日志时间包括一些相同的事件ID 但是这些内容并不能涵盖AFAIK的所有情况，而且该信息分散在多个答案中，因此很难理解。 我有Windows Server的多个版本，因此至少适用于2008、2008 R2、2012和2012 R2版本的解决方案是理想的。
5
在事件日志中未写入任何内容时，如何在IIS 7.5上诊断500 Internal Server Error？
我刚刚将更新部署到现有的ASP.NET MVC3站点（已经配置），并且正在收到IIS蓝屏死机说明 HTTP错误500.0-内部服务器错误 该页面无法显示，因为发生了内部服务器错误。 然而; 在应用程序事件日志中没有任何显示，我希望看到该条目的（更多）详细描述。 我该如何诊断该问题？
2
按用户和登录类型过滤安全日志
我被要求找出上周用户何时登录系统。现在，Windows中的审核日志应包含我需要的所有信息。我认为如果我使用特定的AD用户和登录类型2（交互式登录）搜索事件ID 4624（登录成功），它应该可以为我提供所需的信息，但是在我的生命中，我无法弄清楚如何进行实际过滤事件日志以获取此信息。是否可以在“事件查看器”内部使用，还是需要使用外部工具将其解析到此级别？ 我发现http://nerdsknowbest.blogspot.com.au/2013/03/filter-security-event-logs-by-user-in.html，这似乎是我需要的一部分。我稍加修改，只给了我最近7天的价值。以下是我尝试过的XML。 <QueryList> <Query Id="0" Path="Security"> <Select Path="Security">*[System[(EventID=4624) and TimeCreated[timediff(@SystemTime) <= 604800000]]]</Select> <Select Path="Security">*[EventData[Data[@Name='Logon Type']='2']]</Select> <Select Path="Security">*[EventData[Data[@Name='subjectUsername']='Domain\Username']]</Select> </Query> </QueryList> 它只给了我最后7天的时间，但其余的时间都无效。 有人可以协助我吗？ 编辑 感谢Lucky Luke的建议，我一直在进步。以下是我当前的查询，尽管正如我将解释的那样，它不返回任何结果。 <QueryList> <Query Id="0" Path="Security"> <Select Path="Security"> *[System[(EventID='4624')] and System[TimeCreated[timediff(@SystemTime) <= 604800000]] and EventData[Data[@Name='TargetUserName']='john.doe'] and EventData[Data[@Name='LogonType']='2'] ] </Select> </Query> </QueryList> 正如我提到的，它没有返回任何结果，所以我一直在弄弄它。我可以得到它以正确产生结果，直到我在LogonType行中添加为止。在那之后，它不返回任何结果。知道为什么会这样吗？ 编辑2 我将LogonType行更新为以下内容： EventData[Data[@Name='LogonType'] and (Data='2' …
6
Server 2008关于事件变量的电子邮件
Server 2008的新功能之一是能够将任务附加到事件日志中的特定事件。可用的操作之一是通过SMTP服务器发送电子邮件。 这很好用，但是如果可以在消息正文中放置事件内容，那将是理想的选择。我曾尝试使用$ eventdescription和％eventdescription％，但这些只是在黑暗中拍摄而已。任何数量的谷歌搜索都不会产生任何结果。 有人知道这是否可能吗？ 更新：我认为，Sparks的以下建议是朝正确方向迈出的一步，但是该方法似乎不适用于所有值。例如，我可以如图所示拉出RecordID，Severity和Channel，但不能使用相同的方法检索EventID或最重要的描述。 这是一个事件的原始XML： [Event xmlns="http://schemas.microsoft.com/win/2004/08/events/event"] [System] [Provider Name="DFSR" /] [EventID Qualifiers="16384"]4412[/EventID] [Level]4[/Level] [Task]0[/Task] [Keywords]0x80000000000000[/Keywords] [TimeCreated SystemTime="2009-05-14T18:18:09.000Z" /] [EventRecordID]45692[/EventRecordID] [Channel]DFS Replication[/Channel] [Computer]servername.domain.com[/Computer] [Security /] [/System] [EventData] [Data]9046C3F4-843E-4A53-B941-4B20764072E5[/Data] [Data]D:\departments\Geomatics\Plan Quality\Data Processing\CG3533017 2009-05-13 KT FIXED[/Data] [Data]D:\departments[/Data] [Data]{26D5F604-E603-4F87-8EC3-DE9A945DA8FD}-v927199[/Data] [Data]Departments[/Data] [Data]domain.ca\files\departments[/Data] [Data]B8242CE2-F5EB-47DA-BA5B-1DD2F7EE3AB9[/Data] [Data]DFAA7A54-66CB-4C31-81A0-0F861382C32C[/Data] [Data]CG3533017 2009-05-13-{26D5F604-E603-4F87-8EC3-DE9A945DA8FD}-v927199[/Data] [/EventData] [/Event] 我曾尝试使用ValueQuery作为EventData，但它不返回任何数据。
3
Windows事件日志中超过4 GB的含义是什么？
我发现此Microsoft KB涵盖了Windows 2008 / Vista以下操作系统的建议最大事件日志设置，建议最大为4GB，并且还看到一些模糊的参考，至少不建议大于4 GB的事件日志2008 R2，但我想知道如果事件日志超出此大小会发生什么？ 我已经在测试服务器（2012 R2）上超过了此限制，并且没有注意到内存占用率高之类的问题。我们不在乎2008 R2之前的操作系统，但想要一个大日志，因为我们正在通过许多机器收集事件Windows事件转发，希望将所有事件放在一个地方。
5
事件36888：生成了以下致命警报：10.内部错误状态为1203
我已经在网上搜索过，但是找不到任何信息；为什么会发生此错误？ 它淹没了我的事件查看器：每隔1分钟，此错误就会不断弹出。（即频率为1分钟） 我没有安装任何IIS。 该服务器纯粹是域控制器，没有添加其他角色。 请建议我该怎么办？ 服务器操作系统-Window Server 2008 R2 Standard Edition。 更多细节： Log Name: System Source: Schannel Date: 6/28/2012 6:06:11 PM Event ID: 36888 Task Category: None Level: Error Keywords: User: SYSTEM Computer: QKSRVDC212.Corp.abc.com Description: The following fatal alert was generated: 10. The internal error state is 1203. Event Xml: …
2
事件4625审核失败NULL SID失败的网络登录
在3个单独的系统中，以下事件在域控制器服务器上被记录多次（根据系统，一天之间在30至4,000次之间）： An account failed to log on. Subject: Security ID: SYSTEM Account Name: %domainControllerHostname%$ Account Domain: %NetBIOSDomainName% Logon ID: 0x3E7 Logon Type: 3 Account For Which Logon Failed: Security ID: NULL SID Account Name: Account Domain: Failure Information: Failure Reason: Unknown user name or bad password. Status: 0xc000006d Sub Status: …
3
成千上万的类型为8登录类型（NetworkCleartext）的4625登录失败错误的根源是什么？
我有一个Windows Server 2008 R2系统，每天都会在Windows日志的“安全性”部分中显示数千个带有登录类型8（NetworkCleartext）的4625登录失败错误。源网络地址中没有列出试图获取访问权限的系统的IP地址，因此我为阻止经常失败的IP而构建的脚本找不到它们。 这些登录尝试可能来自什么服务？ 这是其中之一的示例： An account failed to log on. Subject: Security ID: SYSTEM Account Name: server-name$ Account Domain: example Logon ID: 0x3e7 Logon Type: 8 Account For Which Logon Failed: Security ID: NULL SID Account Name: Administrator Account Domain: Failure Information: Failure Reason: Unknown user name or …
3
Windows事件日志轮换？
Windows Server 2003。 有什么方法可以轻松旋转事件日志（或自动清除并保存）？我正在对这台计算机进行一些审核，并且我的安全日志很快变得非常真实，每隔两周我都必须记得保存并清除它。 是的，我可以依靠备份作业并启用覆盖功能……但是，如果我可以让Windows在容量接近极限时自动保存并清除日志，那就更好了。
2
服务器锁定，/ var / log / messages报告“超出了积压限制”
我们有一个CentOS操作系统，今天早上对外部网络流量变得无响应。它是一个虚拟机。我能够重启虚拟机。重新登录后，我在/ var / log / messages文件中发现以下内容，一遍又一遍，直到重新启动为止： Jan 21 06:53:01 PBX kernel: audit: backlog limit exceeded Jan 21 06:53:01 PBX kernel: audit: audit_backlog=321 > audit_backlog_limit=320 Jan 21 06:54:01 PBX kernel: printk: 8 messages suppressed. Jan 21 06:54:01 PBX kernel: audit: audit_backlog=321 > audit_backlog_limit=320 Jan 21 06:54:01 PBX kernel: audit: audit_lost=1130 audit_rate_limit=0 …
By using our site, you acknowledge that you have read and understand our Cookie Policy and Privacy Policy.
Licensed under cc by-sa 3.0 with attribution required.