Как узнать кто почистил журнал просмотра событий Windows

Обновлено 02.08.2016

Как узнать кто почистил журнал событий Windows

Всем привет сегодня расскажу как узнать кто почистил журнал событий в Windows, на компьютере или сервере. Для начала вспомним, что такое Просмотр событий Windows. Просмотр событий - это средство, предназначенное для просмотра подробных сведений о значимых событиях, которые возникают в системе (например, ненадлежащий запуск программ или обновлений, загружаемых автоматически). Эти сведения могут быть полезны для устранения неполадок и ошибок в ОС Windows и других программах.

В окне просмотра событий отслеживаются сведения в нескольких разных журналах. К журналам Windows относятся следующие.

• События приложений (программ). В зависимости от важности события делятся на три категории: ошибка,предупреждение или уведомление. Ошибка указывает на серьезную проблему, например потерю данных. Предупреждение указывает на событие, которое в момент записи в журнал не было существенным, но может привести к возникновению проблем в будущем. Информационное событие сообщает об успешной работе приложения, драйвера или службы.

• События, связанные с безопасностью. Такие события называются аудитами и делятся на успешные или закончившиеся с ошибкой. Они указывают, например, удалось ли пользователю войти в ОС Windows.

• События установки. Для компьютеров, которые выступают в роли контроллеров домена, здесь отображаются дополнительные журналы.

• Системные события. Системные события регистрируются Windows и системными службами Windows и подразделяются на ошибки, предупреждения и уведомления.

• Пересылаемые события. Эти события пересылаются в данный журнал другими компьютерами.

Журналы приложений и журналы служб различаются. Они включают отдельные журналы программ, запущенных на компьютере, а также более подробные журналы, которые относятся к конкретным службам Windows.

Самый простой способ узнать кто почистил логи, это как ни странно посмотреть определенное событие в самой оснастке Просмотр событий. Открываем оснастку и ищем в поиске событие в журнале Система код события 104, и видим, что Файл журнала WitnessClientAdmin очищен пользователем Admin, видно время.

Как узнать кто почистил журнал событий Windows-01

Вот так вот просто узнать кто почистил журнал событий Windows.

Материал сайта pyatilistnik.org