Windows olay günlüğü nedir ve ne kadar büyüyebilir

Olay günlüğü gerçekte nedir

Windows Olay Günlüğü hizmeti (eventlog) onlarca sağlayıcıdan — sürücüler, hizmetler, uygulamalar, güvenlik alt sistemi — olayları toplar ve bunları C:\Windows\System32\winevt\Logs\ içindeki ikili .evtx dosyalarına yazar. Okunabilir yüzey ise Olay Görüntüleyicisi'dir (eventvwr.msc): aynı kayıtlar, ama önem düzeyi, kaynak ve olay kimliğiyle. Klasik “günlüklere bak” tavsiyesi hep bu klasörü kasteder: sistemin karaku kutusudur ve Vista'dan beri her Windows'ta aynı şekilde çalışır.

Ağır işi beş kanal görür. Application program çökmelerini ve takılmaları kaydeder; System sürücü ve hizmetlerin şikâyetlerini taşır; Security oturum denetimlerini saklar (4624 başarı, 4625 başarısız) ve yalnızca yöneticiler okuyabilir; Setup makinenin kendi Windows güncelleme ve yükseltme geçmişini tutar. Ötesinde, Microsoft mühendislerinin ihtiyaç halinde açtığı yüzlerce gizli analitik ve hata ayıklama kanalı vardır — mevcutturlar ama varsayılan olarak kapalıdırlar ve neredeyse hiçbir şey yazmazlar.

• Application.evtx — program çökmeleri, takılmalar, yükleyici olayları
• System.evtx — sürücüler, hizmetler, donanım uyarıları
• Security.evtx — 4624/4625 oturum denemeleri, yalnızca yöneticiler okuyabilir
• Setup.evtx — makinenin kendi Windows yükseltme geçmişi
• C:\Windows\System32\winevt\Logs\ — tüm kanallar burada yaşar, her biri bir .evtx dosyası

Boyut limitleri: günlükler diski neden yemez

Her kanalın kendi üst sınırı vardır; günlüğün Özellikler penceresinde (“Günlük boyutu üst sınırı (KB)”) ayarlanır ve kayıt defterinde HKLM\SYSTEM\CurrentControlSet\Services\EventLog altında saklanır. Masaüstü Windows'ta klasik varsayılanlar kanal başına yaklaşık 20 MB'dir, 64 KB adımlarla 4 GB'a kadar ayarlanabilir. İşte bu tavan, yoğun çalışan bir makinenin günlüklerini yıllar sonra bile birkaç düzine megabaytta tutan şeydir: günlük sınıra ulaşınca varsayılan ilke “Gerektiğinde olayların üzerine yaz (önce en eski olanlar)”dır — dosya asla tavanın ötesine büyümez, eski olaylar yalnızca kaybolur.

Tavandan tek kaçış yolu arşivlemedir. Günlük “Günlük dolduğunda arşivle, olayların üzerine yazma” konumuna alınca Windows dolu dosyanın adını Archive-Application-YYYY-AA-GG-SSDDSS.evtx olarak değiştirip yenisini açar — ve arşivler aynı klasörde, hiçbir yerleşik temizlik olmadan yığılır. winevt\Logs'un gerçekten büyüdüğü tek senaryo budur: canlı günlükler değil, kimsenin istemediği yıllar süren arşiv kopyaları.

Hiçbir şeyi bozmadan budamak

.evtx dosyalarını doğrudan silmeyin: Windows Olay Günlüğü hizmeti onları açık tutar ve canlı bir kanalın dosyasını hizmetin altından çekmek günlüğü bozar; hatalar da — neresinden bakarsanız — olay günlüğüne düşer. Desteklenen yol Olay Görüntüleyicisi'ndeki “Günlüğü Temizle”dir; içeriği silmeden önce kaydetme seçeneği sunar. Özellikler'de üst sınırı düşürmek de en az onun kadar güvenlidir ve günlüğün bir sonraki devrinde uygulanır.

Temizliğin bir de tanısal bedeli var, bunu dürüstçe adlandırmak gerek: bu günlükler, makinenin geçen salı günü neden çöktüğüne dair tek kayıttır. İhtiyacınız olanı çıkardıktan sonra temizleyin, önce değil. Yer kazanma hedefi olarak klasör modern bir diskte yuvarlama hatası kadardır — aynı makinedeki tarayıcı önbelleği yüz kat büyüktür — yani olay günlüğü bakımı cerrahi bir alettir, temizlik kategorisi değil.

Sorular ve yanıtlar

Bunları da okuyun