Использование WEVTUTIL для управления журналом событий

Наконец-то наступил момент, когда компания Microsoft затратила время и энергию для предоставления нам полезного вьювера Event Viewer. Windows Vista и Windows Server 2008 идут с исправленным Event Viewer, а также некоторыми дополнительными инструментами, которые делают использование Event Viewer чем-то таким, чем легко управлять. Вдобавок к новым опциям подписки, которыми теперь обладает Event Viewer, появилась утилита командной строки, WEVTUTIL, позволяющая контролировать практически каждый аспект журналов Event Viewer.

Команды и синтаксис WEVTUTIL

Команда WEVTUTIL имеет огромный потенциал мощности, а ее параметры и переключатели являются прямым тому доказательством. Поскольку команда WEVTUTIL может контролировать практически каждый аспект Event Viewer и журналов регистрации событий, для контроля этих деталей должно быть множество параметров и переключателей.

Основная структура синтаксиса для WEVTUTIL представлена ниже:

wevtutil [{el | enum-logs}] [{gl | get-log} <Logname> [/
f:<Format>]]

wevtutil [{el | enum-logs}] [{gl | get-log} <Logname> [/
f:<Format>]]

[{sl | set-log} <Logname> [/e:<Enabled>] [/
i:<Isolation>] [/lfn:<Logpath>] [/rt:<Retention>] [/
ab:<Auto>] [/ms:<Size>] [/l:<Level>] [/k:<Keywords>] [/
ca:<Channel>] [/c:<Config>]]

[{ep | enum-publishers}]

[{gp | get-publisher} <Publishername> [/ge:<Metadata>] [/
gm:<Message>] [/f:<Format>]] [{im | install-manifest} <Manifest>]

[{um | uninstall-manifest} <Manifest>] [{qe | query-
events} <Path> [/lf:<Logfile>] [/sq:<Structquery>] [/
q:<Query>] [/bm:<Bookmark>] [/sbm:<Savebm>] [/rd:<Direction>] [/
f:<Format>] [/l:<Locale>] [/c:<Count>] [/e:<Element>]]
[{gli | get-loginfo} <Logname> [/lf:<Logfile>]]
[{epl | export-log} <Path> <Exportfile> [/lf:<Logfile>] [/
sq:<Structquery>] [/q:<Query>] [/ow:<Overwrite>]]
[{al | archive-log} <Logpath> [/l:<Locale>]]
[{cl | clear-log} <Logname> [/bu:<Backup>]] [/
r:<Remote>] [/u:<Username>] [/p:<Password>] [/a:<Auth>] [/
uni:<Unicode>]

Как и в любой другой команде и параметрах, существуют обязательные и необязательные переключатели. Синтаксис тоже крайне важен, поскольку некоторые ссылки требуют двоеточия (:), другие используют пробел между переключателями и путями, третьи используют кавычки (' '). В следующей таблице даны описания каждого параметра и синтаксиса для необязательных переключателей. Вы можете получить более подробный обзор и описание параметров и опций на сайте компании Microsoft на странице TechNet Wevtutil.

Полезные примеры использования WEVTUTIL

С таким количеством новых журналов и средств публикации в Windows Vista и Windows Server 2008 приятно осознавать тот факт, что вам нет необходимости запоминать их все. Конечно, вы всегда можете заглянуть в Event Viewer, чтобы просмотреть полный список. Проблема этой опции заключается в том, что вы не всегда знаете синтаксис для интересующего вас журнала или средства публикации. Вместо этого вы можете использовать следующие команды для получения полного списка всех журналов и средств публикации.

Пример 1: на рисунке 1 показано, как получать полный список всех журналов событий на вашем локальном компьютере.

Рисунок 1: Использование параметра el для получения полного списка журналов событий на локальном компьютере

Пример 2: на рисунке 2 показано, как получать список всех средств публикации событий на локальном компьютере.

Рисунок 2: Использование параметра ep для получения полного списка средств публикации на локальном компьютере

Пример 3: на рисунке 3 показано, как получать информацию об отдельном журнале событий.

Рисунок 3: Использование параметра gl и имени журнала для получения информации об этом журнале

Пример 4: на рисунке 4 показано, как можно экспортировать информацию о событиях из журнала событий event viewer в архивный файл или с целью сохранения.

Рисунок 4: Использование параметра epl для экспортирования журнала событий в файл

Пример 5: на рисунке 5 показано, как можно очищать журнал событий, а также создавать резервную копию журнала, прежде чем он будет очищен.

Рисунок 5: Использование параметра cl в комбинации с /bu:<path> переключателем для создания резервной копии и отчистки журнала

Заключение

Как вы видите, контроль, который можно получить над журналами событий с помощью WEVTUTIL гораздо лучше. Этот инструмент идет в комплекте с Windows Vista и Windows Server 2008, позволяя контролировать практически каждый аспект генерируемых журналов событий. Windows Vista и Windows Server 2008 идут с новым спектром журналов событий, которые можно использовать, а теперь с этой утилитой командной строки, вы можете гораздо эффективнее управлять ими. Вы также можете управлять и архивировать журналы, используя команду WEVTUTIL, либо с помощью сценариев VBScript, либо совместно со своим любимым инструментом для сценариев. Если вы используете PowerShell, вы можете управлять WEVTUTIL с помощью ее интерфейса.