Pliki dziennika Windows (.evtx): lokalizacja, analiza, problemy

Windows przechowuje pliki definicji i ustawienia Usługi Dziennika Zdarzeń (Event Log Service) głównie w folderze `C:\Windows\System32\winevt\Logs`. To właśnie tam znajdują się pliki z rozszerzeniem `.evtx`, które stanowią zasadniczą bazę danych dla dzienników zdarzeń systemu Windows. Dzienniki te są tworzone i zarządzane przez Usługę Dziennika Zdarzeń systemu Windows, która odpowiada za gromadzenie, przechowywanie i udostępnianie informacji o zdarzeniach systemowych i aplikacyjnych.

Co to są pliki dziennika zdarzeń Windows (.evtx)?

Pliki z rozszerzeniem .evtx to pliki binarne, które przechowują logi systemowe. Zawierają one szczegółowe informacje o tym, co dzieje się w systemie operacyjnym: od prób logowania, przez błędy aplikacji, ostrzeżenia o problemach ze sprzętem, aż po sukcesy operacji systemowych. Każde zdarzenie jest zapisywane z datą, godziną, identyfikatorem zdarzenia, jego poziomem (Informacja, Ostrzeżenie, Błąd, Krytyczny, Powodzenie Audytu, Niepowodzenie Audytu) oraz dodatkowymi danymi opisującymi przyczynę.

Te pliki są tworzone i wykorzystywane przez Usługę Dziennika Zdarzeń (Event Log Service), wbudowaną w system Windows. Jest to kluczowy komponent systemowy, niezbędny do monitorowania i diagnozowania problemów.

Czy pliki .evtx to wirusy i czy można je usunąć?

Nie, pliki .evtx same w sobie nie są wirusami. Są to integralne pliki systemowe. Ich usuwanie jest zdecydowanie odradzane i w większości przypadków niemożliwe, ponieważ są aktywnie używane przez system.

Jeśli spróbujesz usunąć taki plik, system Windows najprawdopodobniej wyświetli komunikat o błędzie, informujący o tym, że plik jest w użyciu. Nawet jeśli udałoby Ci się go usunąć (np. przy użyciu specjalistycznych narzędzi lub w trybie awaryjnym), konsekwencje byłyby poważne:

• Utrata historii zdarzeń: Nie będziesz w stanie analizować przeszłych problemów.
• Niestabilność systemu: Usługa Dziennika Zdarzeń może przestać działać poprawnie, co może prowadzić do błędów i awarii innych usług systemowych.
• Problemy z diagnostyką: Wszelkie przyszłe problemy z systemem będą trudniejsze do zdiagnozowania, ponieważ zabraknie kluczowych informacji.

Pliki te są zazwyczaj oznaczone jako systemowe i tylko do odczytu, aby zapobiec przypadkowym modyfikacjom lub usunięciu.

Jak analizować logi systemowe?

Analiza logów systemowych jest kluczowa dla administratorów i zaawansowanych użytkowników do rozwiązywania problemów. Podstawowym narzędziem do tego celu jest Podgląd zdarzeń (Event Viewer) w systemie Windows.

1. Otwórz Podgląd zdarzeń: Możesz to zrobić, wpisując „Podgląd zdarzeń” w menu Start lub uruchamiając `eventvwr.msc` przez polecenie `Uruchom` (Win+R).

2. Nawigacja po dziennikach: W lewym panelu znajdziesz strukturę dzienników, podzieloną na:

• Dzienniki systemu Windows: Zawierają logi Aplikacji, Zabezpieczeń, Instalacji, Systemu oraz Zdarzeń Przekazanych.
• Dzienniki aplikacji i usług: Tutaj znajdują się logi bardziej specyficzne dla poszczególnych aplikacji i usług, np. logi Microsoft, które mogą być niezwykle szczegółowe.

3. Filtrowanie zdarzeń: Aby ułatwić analizę, możesz filtrować zdarzenia według poziomu (błędy, ostrzeżenia), zakresu dat, identyfikatora zdarzenia czy źródła.

4. Szczegółowe informacje: Kliknięcie na konkretne zdarzenie wyświetla w dolnym panelu jego szczegółowy opis, w tym datę, godzinę, źródło, identyfikator i dane binarne, które mogą być pomocne przy dalszej analizie lub wyszukiwaniu w internecie.

Typowe problemy i błędy związane z plikami dziennika

Chociaż same pliki `.evtx` rzadko ulegają uszkodzeniu, problemy mogą pojawić się, gdy:

• Dysk jest zapełniony: Jeśli dysk systemowy jest pełny, Usługa Dziennika Zdarzeń może mieć problemy z zapisywaniem nowych wpisów, co może prowadzić do utraty danych lub błędów usługi.
• Usługa Dziennika Zdarzeń jest wyłączona lub uszkodzona: Brak działającej usługi uniemożliwia gromadzenie i dostęp do logów.
• Uprawnienia: Nieprawidłowe uprawnienia do folderu `C:\Windows\System32\winevt\Logs` mogą uniemożliwić zapis lub odczyt logów.

W sytuacjach, gdy dzienniki stają się bardzo duże i spowalniają system, można skonfigurować ich maksymalny rozmiar lub opcję nadpisywania starszych wpisów w zaawansowanych ustawieniach dziennika w Podglądzie zdarzeń.

Najczęstsze pytania

Czym różni się dziennik systemowy od dziennika aplikacji?

Dziennik systemowy zawiera informacje o zdarzeniach związanych z działaniem samego systemu operacyjnego i jego komponentów, natomiast dziennik aplikacji zapisuje zdarzenia generowane przez zainstalowane programy.

Jak mogę odzyskać usunięty plik dziennika .evtx?

Odzyskanie bezpośrednio usuniętego pliku `.evtx` jest bardzo trudne, ponieważ są to pliki aktywnie zarządzane przez system i często nadpisywane. Skupienie powinno być na zapobieganiu ich usunięciu.

Co zrobić, gdy Podgląd zdarzeń nie otwiera się?

Najczęściej problemem jest usługa Dziennika Zdarzeń. Należy sprawdzić jej status w narzędziu „Usługi” (services.msc) i w razie potrzeby ją zrestartować lub ustawić na automatyczne uruchamianie.