Windows系统的事件查看器

Windows系统的事件查看器是Windows 2000/XP中提供的一个系统安全监视工具。在事件查看器中，可以通过使用事件日志，收集有关硬件、软件、系统问题方面的信息，并监视Windows系统安全。它不但可以查看系统运行日志文件，而且还可以查看事件类型，使用事件日志来解决系统故障。在启动Windows 2000系统的同时，事件日志服务会自动启动，所有用户都可以查看应用程序日志和系统日志，但只有管理员才能访问安全日志。如何找到事件查看器？点击“开始→设置→控制面板”，点击“管理工具”。然后双击“事件查看器”。现在，你就可以看到事件查看器的界面了（图1）。图1（点击放大）事件查看器都记录什么信息？

事件查看器根据来源将日志记录事件分为应用程序日志（Application）、安全日志（Security）和系统日志（System）。在左侧的类选择对话框中分别单击相应的日志即可打开进入浏览。系统日志中存放了Windows操作系统产生的信息、警告或错误。通过查看这些信息、警告或错误，我们不但可以了解到某项功能配置或运行成功的信息，还可了解到系统的某些功能运行失败，或变得不稳定的原因。

安全日志中存放了审核事件是否成功的信息。通过查看这些信息，我们可以了解到这些安全审核结果为成功还是失败，可以记录有效和无效的登录尝试等安全事件以及与资源使用有关的事件。比如创建、打开或删除文件，启动时某个驱动程序加载失败。同时，管理员还可以指定在安全日志中记录的事件，比如如果启用了登录审核，那么系统登录尝试就记录在安全日志中。

应用程序日志中存放应用程序产生的信息、警告或错误。通过查看这些信息、警告或错误，我们可以了解到哪些应用程序成功运行，产生了哪些错误或者潜在错误。程序开发人员可以利用这些资源来改善应用程序。

另外，事件查看器还按照类型将记录的事件划分为错误、警告和信息三种基本类型。

错误:重要的问题，如数据丢失或功能丧失。例如在启动期间系统服务加载失败、磁盘检测错误等，这时系统就会自动记录错误。这种情况下必须要检查系统。

警告:不是非常重要但将来可能出现问题的事件，比如磁盘剩余空间较小，或者未找到安装打印机等都会记录一个警告。这种情况下应该检查问题所在。

信息:用于描述应用程序、驱动程序或服务成功操作的事件，比如加载网络驱动程序、成功地建立了一个网络连接等。

从事件查看器里找故障：有用的和有趣的就如同我们是一名要破案的警察一样，现在的资料只有一个日记本。那么，如何在这个日记本里找到线索或者提示呢？事件查看器就是系统的一本“日记”，不过系统的这本“日记”中的每一篇都有编号，我们就去找一些最重要的来看吧。在事件查看器界面中，点击“查看→筛选”，可以选择并根据“事件类型”、“事件ID”等进行筛选，快速找到自己想要的信息（如图2）。图2

6006号和6005号:当你正关闭计算机的时候，在事件查看器里ID号为6006的事件，这个事件的意思是:事件日志服务已停止（图3）。图3这意味着什么？很简单，如果你没有在当天的事件查看器中发现这个6006号事件，那么就表示计算机没有正常关机，可能是因为系统原因（例如蓝屏）或者直接按了电源键而没有执行正常的“开始”菜单中的“关机”程序。要知道，从Windows 95时代开始，我们就了解不正常关机可能会导致系统故障。当你启动系统的时候，事件查看器又记录了什么呢？这就是ID号为6005的事件。这个事件表明:事件日志服务已启动（图4）。

图4下面让我们看一些错误类型的事件吧，看看我们能找出什么来。1007号，DHCP错误:这个错误一般出现在安装了双网卡的系统中。我们假定安装了两个网卡，其中一个用于局域网，另外一个连接到ADSL的调制解调器上。这时候，用于局域网的网卡使用的是一个静态的IP地址，而用于ADSL连接的网卡则是“自动获得IP地址”。这个错误指出，在网络中系统无法找到DHCP服务器，因此使用了一个内部的自动IP地址。由于安装了双网卡，这种情况也不会影响使用，因此这个错误信息可以不予考虑。但是，如果在使用了DHCP服务器的单位的电脑上出现这个错误，那你就需要仔细检查检查了。528号：账户登录成功事件。540号：网络登录成功事件。638号：会话连接中断事件。517号：日志清除事件，如下图所示

通过检查事件查看器里面的错误记录，可以确定自己的计算机是否被攻击。如果在某个时段出现比较多的警告信息。那么，你可要小心对待了。

如何根据故障在事件查看器里查找相应的信息呢？

STOP故障从理论上讲，纯32位的Windows 2000是不会出现死机的，但是由于病毒或硬件以及硬件驱动程序不匹配等原因也会造成Windows 2000的崩溃，当Windows 2000

出现死机时，显示器屏幕将变为蓝色，然后出现STOP故障提示信息。这就是我们常说的STOP故障。如果Windows 2000可以启动，可以打开“事件查看器”查看系统日志，确定导致故障的设备或驱动程序。如果不能启动计算机，可以使用“安全模式”或“最后一次正确的配置”启动计算机，然后删除或禁用新安装的附加程序或驱动程序。如果用“安全模式”启动不了计算机，可使用故障恢复控制台，禁用一些服务或者重新命名设备驱动程序、检修引导扇区或主引导记录等。如果想详细了解故障恢复控制台，可以参考2002年《电脑爱好者》第19期的《抓住末日前一秒:Windows的故障恢复控制台》一文。然后拆下新安装的硬件设备，

检查Microsoft兼容硬件列表（HCL），确保所有的硬件和驱动程序都与Windows系统兼容，其中Hcl.txt在Windows 2000安装光盘的\Support文件夹中。另外，还可以访问微软官方技术支持站点/china/support，在搜索中输入STOP故障代码，比如出现的STOP消息为“stop:0x0000000A”，那么即可输入“stop0x0000000A”，按下回车键即可查出所出现的STOP问题的解决办法。如图5所示。图5（点击放大）

监视文件和文件夹的访问在办公环境下，有时我们需了解计算机上其他用户是否访问了我们限制的文件或文件夹，这时候我们通过组策略配合，利用事件查看器在不影响用户正常使用的情况下，监控用户的访问情况。选择“开始/控制面板/管理工具/本地安全设置/本地策略/审核策略”，在右边信息窗口中右键单击“审核对象访问”选择“安全性”，在“本地安全策略设置”中，单击所需的选项并确定。接着在任务栏“开始”上点右键选择“资源管理器”，右键点击要审核的文件或文件夹，选择“属性”。然后选择“安全/高级/审核/添加”，在“选择用户、计算机或组”对话框中，单击要审核操作的用户名或组名并确定即可。注意:必须作为管理员或管理组的成员登录才能设置文件和文件夹的审核，只有管理员才能使用“组策略”

监视系统开关机情况当我们外出回来，有时我们需要了解计算机的开关情况以及是否正常开关机情况。我们可以通过事件查看器的系统日志查看计算机的开、关机记录，这是因为日志服务会随计算机一起启动或关闭，并在日志中留下记录。主要是两个事件ID“6006和6005”。6005表示事件日志服务已启动，如果在事件查看器中发现某日的事件ID号为6005的事件，就说明在这天正常启动了Windows系统。6006表示事件日志服务已停止(图2)，如果没有在事件查看器中发现某日的事件ID号为6006的事件，就表示计算机在这天没有正常关机，可能是因为系统原因或者直接切断电源导致没有执行正常的关机操作。

如果你是网络管理员，那么这些记录就更加的重要了，如果有意外的开关机操作，那么你的机器已被攻击的可能性就很大了。

解决机器开机时的错误提示窗口如果你最近安装或卸载了某些程序，或者是由于安全的原因关闭了某些服务，结果你发现每次开机都会弹出一个错误提示窗口，并提示“在系统启动时至少有一个服务或驱动程序产生错误。详细信息，请使用事件查看器查看事件日志”。这类问题一般是系统在加载相关服务时找不到服务程序而无法启动产生的，你可以使用事件查看器来查看具体是哪个服务启动时出现了问题，解决的办法通常有两种，一种是通过了解该服务是那哪些程序产生，不论这些服务是操作系统本身产生还是应用程序产生的，都可以通过卸载相关应用程序来解决。另一个办法更简单直接到服务管理器中将相应的服务设置为“禁用”即可。

分析死机故障原因相对于Windows 98而言，Windows 2000和Windows XP均要稳定的多，是不容易发生死机现象的。从理论上讲，纯32位的Windows 2000 是不会出现死机的，但是这仅仅是理论上的。病毒、硬件和硬件驱动程序不匹配等原因将造成Windows 2000

的崩溃。当Windows 2000出现死机时，显示器屏幕将变为蓝色，然后出现死机故障提示信息。通过事件查看能够发现问题的原因。如果出现的硬件设备故障，可以通过重新安装硬件驱动或卸载硬件来解决，如果是软件故障可以卸相应的驱动程序，如果是警告显示磁盘驱动程序在几次重试后，只能读取或写入到某个扇区，十有八九是硬盘出问题了。即使你的系统没有死机，运行某些程序出现停顿现象，也有可能是计算机的硬盘出现故障，你依然可通过检查事件查看器,看是否出现硬盘有无法响应的日志，如果硬盘出现损坏，还是尽早更新，以免带来重大的数据损失。

检查不能上网的原因不能上网的原因有非常多，其中无法获得局域网DHCP服务器的数据，以至无法取得一个能上网的IP地址是局域网用户不能上网的故障中最常见的一种，通