Czym dziennik zdarzeń jest naprawdę
Usługa Dziennik zdarzeń systemu Windows (eventlog) zbiera zdarzenia od dziesiątek dostawców — sterowników, usług, aplikacji, podsystemu zabezpieczeń — i zapisuje je jako binarne pliki .evtx w C:\Windows\System32\winevt\Logs\. Czytelne okno na te dane to Podgląd zdarzeń (eventvwr.msc): te same wpisy, ale z poziomem ważności, źródłem i identyfikatorem zdarzenia. Rada „sprawdź w dziennikach” zawsze oznacza ten folder: to czarna skrzynka systemu, od Visty działająca identycznie na każdej wersji Windows.
Ciężką robotę odwala pięć kanałów. Aplikacja notuje awarie i zawieszki programów, System nosi reklamacje sterowników i usług, Zabezpieczenia trzymają audyty logowań (4624 sukces, 4625 porażka) i są czytelne tylko dla administratorów, a Instalator prowadzi własną historię aktualizacji i ulepszeń systemu. Poza nimi istnieją setki ukrytych kanałów analitycznych i debugowych, które inżynierowie Microsoftu włączają, gdy są potrzebne — istnieją, ale domyślnie są wyłączone i prawie niczego nie zapisują.
- Application.evtx — awarie programów, zawieszki, zdarzenia instalatorów
- System.evtx — sterowniki, usługi, ostrzeżenia sprzętowe
- Security.evtx — próby logowania 4624/4625, do odczytu tylko dla administratorów
- Setup.evtx — prywatna historia ulepszeń Windows tej maszyny
- C:\Windows\System32\winevt\Logs\ — tu leżą wszystkie kanały, każdy jako plik .evtx
Limity rozmiaru: czemu dzienniki nie zjadają dysku
Każdy kanał ma własne maksimum, ustawiane w oknie właściwości dziennika („Maksymalny rozmiar dziennika (KB)”) i zapisane w rejestrze pod HKLM\SYSTEM\CurrentControlSet\Services\EventLog. Na desktopowym Windows klasyczne wartości domyślne to około 20 MB na kanał, regulowane co 64 KB aż do 4 GB. Właśnie ten sufit trzyma dzienniki zapracowanej maszyny w kilkudziesięciu megabajtach po latach pracy: gdy dziennik dochodzi do limitu, domyślna polityka mówi „Zastępuj zdarzenia w razie potrzeby (najpierw najstarsze)” — plik nigdy nie przerosnie pułapu, stare zdarzenia po prostu znikają.
Jedyna furtka to archiwizacja. Gdy dziennik przestawisz na „Archiwizuj dziennik po zapełnieniu, nie zastępuj zdarzeń”, Windows zmienia nazwę pełnego pliku na Archive-Application-RRRR-MM-DD-GGMMSS.evtx i zakłada świeży — a archiwa piętrzą się w tym samym folderze, bez żadnego wbudowanego sprzątania. To jedyny scenariusz, w którym winevt\Logs naprawdę rośnie: nie żywe dzienniki, lecz lata archiwalnych kopii, o które nikt nie prosił.
Jak przyciąć dziennik, niczego nie psując
Nie usuwaj plików .evtx wprost: usługa Dziennik zdarzeń systemu Windows trzyma je otwarte, a wywalenie pliku żywego kanału spod samej usługi psuje dziennik — a błędy lądują, o ironio, w dzienniku zdarzeń. Wspierana droga to „Wyczyść dziennik” w Podglądzie zdarzeń, z opcją zapisania bieżącej zawartości przed wymazaniem. Równie bezpieczne jest obniżenie maksimum we właściwościach: zadziała przy najbliższym okrążeniu dziennika.
Czyszczenie ma też swoją cenę diagnostyczną, którą warto nazwać po imieniu: te dzienniki to jedyny zapis tego, dlaczego maszyna padła w zeszły wtorek. Czyść je, gdy wyciągniesz, czego potrzebujesz — nie wcześniej. Jako źródło odzyskiwanej przestrzeni folder to błąd zaokrąglenia na współczesnym dysku: cache przeglądarki na tej samej maszynie jest sto razy większy. Pielęgnacja dziennika zdarzeń to narzędzie chirurgiczne, nie kategoria sprzątania.
Pytania i odpowiedzi
Gdzie Windows przechowuje dzienniki zdarzeń?
W C:\Windows\System32\winevt\Logs — po jednym pliku .evtx na kanał. Podgląd zdarzeń (eventvwr.msc) czyta dokładnie te pliki, więc to, co tam wyczyścisz, znika również z dysku.
Jaki jest maksymalny rozmiar dziennika zdarzeń Windows?
Każdy kanał ma osobny limit — na desktopowym Windows domyślnie około 20 MB, regulowany od 64 KB do 4 GB. Po osiągnięciu limitu najstarsze zdarzenia są zastępowane, chyba że włączysz archiwizację.
Sprawdź warunki przed zakupem
Porównaj czas licencji i liczbę urządzeń. Każdy płatny plan odblokowuje ten sam zestaw narzędzi PRO.
Przeczytaj także
Napisz do nas: [email protected]