UNIXS.RU

Журналы просмотра событий Windows хранят полезную информацию, которая необходима при анализе состояния служб и приложений в Windows, устранении ошибок и аудите событий безопасности. По умолчанию размер журналов Event Viewer в Windows ограничен, и при превышении размера файла новые события начинают перезаписывать старые. Если в Event Viewer отправляется слишком много событий, в журнал могут записываться только последние несколько часов, что может оказаться недостаточным для эффективного мониторинга и анализа журналов.

Чтобы предотвратить перезапись старых событий и обеспечить постоянное наличие событий за достаточно длительный период, можно увеличить максимальный размер журналов Event Viewer.

Как установить размер журнала событий Windows с помощью PowerShell?

Файлы журнала событий Windows хранятся в папке %SystemRoot%\System32\Winevt\Logs\ каталоге как .EVTX файлы. Обратите внимание, что для каждого журнала существует отдельный файл. Таким образом, вы можете управлять максимальным размером только тех журналов Windows, которые вам нужны, и оставить настройки по умолчанию для остальных.

С помощью PowerShell можно просмотреть текущие ограничения для всех включенных журналов Event Viewer в Windows:

Get-Eventlog -List

Вы можете использовать команду Get-WinEvent, чтобы получить размер определенного файла журнала событий. Например, вот как можно получить текущий и максимальный размер файла журнала Security:

Get-WinEvent -ListLog Security| Select MaximumSizeInBytes, FileSize, IsLogFull, OldestRecordNumber, IsEnabled, LogMode

Чтобы увеличить максимальный размер журнала, можно использовать команду wevtutul инструмент командной строки (новый размер задается в байтах):

wevtutil sl "Application" /ms:200000000

Или вы можете использовать PowerShell для установки нового максимального размера файла журнала приложений:

Limit-Eventlog -Logname Application -MaximumSize 200MB -OverflowAction OverwriteOlder

Настройка размера файла журнала событий из консоли средства просмотра событий

Самый простой способ увеличить максимальный размер журнала — это сделать это непосредственно из консоли Event Viewer.

1. Откройте оснастку Event Viewer MMC (eventvwr.msc);
2. Выберите нужный журнал (например, Security) и откройте его свойства;
3. Установите новый лимит в разделе Максимальный размер журнала (КБ) и сохраните изменения;
4. Вы также можете выбрать действие, которое будет предпринято при достижении максимального размера файла журнала: Перезаписывать события по мере необходимости (сначала самые старые события). Этот режим используется по умолчанию и подразумевает, что новые события просто перезаписывают старые.
   Архивировать журнал при заполнении, не перезаписывать события — текущий журнал событий архивируется в \System32\Winevt\Logs\ , а новые события записываются в новый файл EVTX. Доступ к заархивированным файлам событий можно получить через меню Open Saved Log (Открыть сохраненный журнал) в средстве просмотра событий.
   Не перезаписывать события (Очистить журнал вручную) — Включите эту опцию, чтобы защитить старые события от перезаписи. Обратите внимание, что для записи новых событий журнал должен быть очищен вручную.

Увеличение размера файлов журнала событий Windows с помощью GPO

Вы можете использовать групповые политики для централизованного управления размером файлов журнала событий на компьютерах или серверах в домене Active Directory.

1. Запустите оснастку «Управление групповыми политиками» (gpmc.msc), создайте новый GPO и свяжите его с организационными единицами с компьютерами или серверами, для которых вы хотите изменить параметры Event Viewer (вы также можете связать GPO с корнем домена);
2. Перейдите к следующему разделу GPO Конфигурация компьютера -> Политика -> Административные шаблоны -> Windows Components -> Служба журнала событий. Этот каталог содержит узлы для управления основными журналами Windows:

   Application
   Security
   Setup
   System

3. Чтобы увеличить максимальный размер журнала, выберите параметр Укажите максимальный размер файла журнала (КБ) , включите эту опцию и установите необходимый размер;
4. Обновите параметры групповой политики на клиентах и убедитесь, что в свойствах журнала теперь указан новый максимальный размер файла журнала и что его нельзя изменить. Если вы попытаетесь задать другой размер, появится ошибка:
   

   Event Viewer
   The Maximum Log Size specified is not valid. It is too large or too small. The Maximum Log Size will be set to the following: 61440 KB

Описанный выше раздел GPO не содержит опций для других журналов событий из Журналы приложений и служб -> Microsoft. Если вам нужно увеличить размер другого журнала событий (отличного от стандартного), вы можете сделать это через реестр. Параметры журнала событий Windows хранятся в ключе реестра HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\EventLog\<log_name>. Максимальный размер файла журнала определяется параметром MaxSize параметр (тип REG_DWORD). Значение параметра MaxSize в реестре для пользовательского журнала событий на компьютерах домена можно настроить с помощью привилегий групповой политики.

В этом примере мы собираемся увеличить размер файла Служба каталогов журнал на контроллерах домена. Параметры этого журнала хранятся в следующем ключе реестра HKLM\SYSTEM\CurrentControlSet\Services\EventLog\Directory Service.

1. Откройте GPO и перейдите в раздел Конфигурация компьютера -> Предпочтения -> Настройки Windows -> Реестр;
2. Выберите Новый -> Пункт реестра;
3. Создайте новый параметр реестра со следующими настройками:

   Hive: HKEY_LOCAL_MACHINE
   Key path: SYSTEM\CurrentControlSet\Services\EventLog\Directory Service
   Value name: MaxSize
   Value type: REG_DWORD
   Value data: 52428800 (the maximum file size is given in bytes. In our example it is 50 MB.)

   

• Проверьте, что максимальный размер журнала установлен после обновления GPO на DC.

Увеличивая размер журналов событий Windows, вы можете получить больше информации за более длительное время. Например, с помощью журналов событий можно получить историю перезагрузки Windows, узнать, кто удалил файл из общей сетевой папки или изменил разрешения NTFS.