Что такое журнал событий на самом деле
Служба «Журнал событий Windows» (eventlog) собирает события от десятков поставщиков — драйверов, служб, приложений, подсистемы безопасности — и пишет их в бинарные .evtx-файлы в C:\Windows\System32\winevt\Logs\. Читаемый интерфейс к ним — «Просмотр событий» (eventvwr.msc): те же записи, но с уровнем важности, источником и кодом события. Совет «посмотрите в журналы» всегда означает эту папку: это чёрный ящик системы, работающий одинаково на любой Windows со времён Vista.
Основную работу делают пять каналов. «Приложение» пишет сбои и зависания программ, «Система» — жалобы драйверов и служб, «Безопасность» хранит аудит входов (4624 — успех, 4625 — неудача) и читается только администраторами, «Установка» ведёт историю обновлений и апгрейдов Windows. Кроме них есть сотни скрытых аналитических и отладочных каналов, которые инженеры Microsoft включают по мере надобности: они существуют, но по умолчанию выключены и почти ничего не пишут.
- Application.evtx — сбои, зависания и события установщиков
- System.evtx — драйверы, службы, предупреждения железа
- Security.evtx — попытки входа 4624/4625, читать могут только администраторы
- Setup.evtx — собственная история обновлений машины
- C:\Windows\System32\winevt\Logs\ — здесь живут все каналы, по .evtx-файлу на каждый
Лимиты размера: почему журналы не съедают диск
У каждого канала свой максимум, заданный в свойствах журнала («Максимальный размер журнала (КБ)») и хранящийся в реестре под HKLM\SYSTEM\CurrentControlSet\Services\EventLog. На настольной Windows классические значения по умолчанию — около 20 МБ на канал, с шагом 64 КБ до 4 ГБ. Именно эта крышка удерживает журналы в десятках мегабайт после лет работы: когда журнал достигает предела, политика по умолчанию — «Перезаписывать события по мере необходимости (сначала самые старые)», и файл не растёт дальше потолка, просто старые события исчезают.
Побег из-под потолка один — архивация. Если журнал переключён на «Архивировать журнал при заполнении», Windows переименовывает заполненный файл в Archive-Application-ГГГГ-ММ-ДД-ЧЧММСС.evtx и заводит новый, а архивы копятся в той же папке без какой-либо автоматической чистки. Это единственный сценарий, в котором winevt\Logs реально растёт: не живые журналы, а годы архивных копий, о которых никто не просил.
Как подрезать журнал, ничего не сломав
Не удаляйте .evtx-файлы напрямую: служба «Журнал событий Windows» держит их открытыми, и удаление файла живого канала прямо из-под неё портит журнал и приносит ошибки в — куда бы вы думали — журнал событий. Поддерживаемый способ — «Очистить журнал» в «Просмотре событий», с опцией сначала сохранить содержимое. Не менее безопасно снижение максимума в свойствах: оно применится при следующем обороте журнала.
У очистки есть и диагностическая цена, о которой стоит сказать прямо: эти журналы — единственная запись о том, почему машина рухнула в прошлый вторник. Чистите их, когда вытащили нужное, а не до того. Для высвобождения места папка — округление до нуля на современном диске: кэш браузера на той же машине в сто раз больше, так что работа с журналом — хирургический инструмент, а не категория «очистки».
Вопросы и ответы
Где хранятся журналы событий Windows?
В C:\Windows\System32\winevt\Logs — по одному .evtx-файлу на канал. «Просмотр событий» (eventvwr.msc) читает ровно эти файлы, так что всё, что вы там очистили, исчезает и с диска.
Какой максимальный размер журнала событий Windows?
У каждого канала свой лимит: около 20 МБ по умолчанию на настольной Windows, регулируется от 64 КБ до 4 ГБ. При достижении предела старые события перезаписываются, если не включена архивация.
Понятно до покупки: что входит в лицензию
Разовый 30-минутный триал даёт доступ к базовым инструментам. Возможности с меткой PRO остаются закрыты до активации платной лицензии.
Читайте также
Написать нам: [email protected]