rejestrowanie zdarzeń

Rejestrowanie zdarzeń to zapisywanie istotnych operacji w dzienniku systemowym.

Dzienniki Windows i pliki EVTX

W systemie Windows rejestrowaniem zdarzeń zajmuje się osobna usługa, a zapisy trafiają do plików z rozszerzeniem evtx w katalogu %SystemRoot%\System32\winevt\Logs. Przegląda się je konsolą uruchamianą poleceniem eventvwr.msc, gdzie zdarzenia podzielono na dzienniki: System dla sterowników i usług, Aplikacja dla programów, Zabezpieczenia dla logowań i zmian uprawnień oraz zestaw dzienników operacyjnych zakładanych przez poszczególne komponenty. Każdy wpis ma źródło, numer identyfikacyjny, poziom ważności i dokładny znacznik czasu.

Odpowiednikiem w systemach linuksowych jest dziennik zarządzany usługą systemd, przeglądany poleceniem journalctl, oraz klasyczne pliki tekstowe w katalogu /var/log. SQL Server prowadzi dodatkowo własny dziennik błędów, niezależny od dzienników systemowych.

Numery zdarzeń, które naprawdę coś mówią

Kilka identyfikatorów pojawia się w diagnostyce niemal zawsze. Zdarzenie 41 ze źródła Kernel-Power oznacza, że system uruchomił się ponownie bez poprawnego zamknięcia, czyli komputer zgasł nagle, a nie został wyłączony. Zdarzenie 6008 informuje o nieoczekiwanym zakończeniu pracy z podaniem poprzedniej godziny. Wpisy ze źródła disk o numerze 7 wskazują na błąd urządzenia blokowego, a komunikaty od WHEA-Logger raportują sprzętowe błędy korekcji, najczęściej pamięci lub magistrali. W dzienniku Zabezpieczenia numer 4624 to udane logowanie, a 4625 nieudana próba.

Wpisy trzeba czytać w kontekście czasu. Sam błąd aplikacji z numerem 1000 mówi niewiele, ale ten sam błąd powtarzany co kilka minut, poprzedzany ostrzeżeniem o dysku, układa się już w konkretną hipotezę.

Nadpisywanie dziennika i fałszywe tropy

Dzienniki mają ustalony rozmiar maksymalny i po jego osiągnięciu domyślnie nadpisują najstarsze wpisy. Na stacji, na której dużo się dzieje, historia potrafi sięgać zaledwie kilku dni, więc zdarzenie sprzed dwóch tygodni po prostu nie istnieje. Przy dochodzeniu po incydencie rozmiar dziennika Zabezpieczenia zwiększa się z góry, a nie po fakcie.

Druga pułapka to nadmiar ostrzeżeń, które nie mają związku ze sprawą. Zdrowy komputer generuje dziesiątki wpisów o nieudanym starcie usługi uruchamianej warunkowo albo o chwilowym braku sieci przy starcie. Szukanie w dzienniku czerwonych ikon i przypisywanie im winy prowadzi na manowce częściej niż do rozwiązania.

Losowe restarty odczytane z zapisów systemu

Dziennik jest pierwszym miejscem, do którego zaglądamy, gdy komputer wyłącza się bez ostrzeżenia albo pokazuje niebieski ekran. Ciąg zdarzeń z ostatnich sekund przed zgaśnięciem pozwala odróżnić przegrzanie od padającego zasilacza, wadliwej kości pamięci i uszkodzonego nośnika, co skraca diagnostykę o godziny bezowocnej wymiany podzespołów. Analizę wykonujemy w ramach bezpłatnej diagnozy przy odbiorze laptopa, a na czas naprawy możemy podstawić sprzęt zastępczy, żeby praca nie stanęła.