Reproducir el análisis de registro de eventos de formato antiguo en Vista /Windows7

[Tenga en cuenta que este artículo no es adecuado para usuarios de computadoras junior]

Si hay una, un amigo le dice que su computadora tiene un problema y que es posible que deba analizar el registro de eventos de su sistema. Después de todo, en el sistema de Windows, el registro de eventos del sistema registra demasiada información, el uso de la aplicación, los bloqueos y otros registros, el sistema de Windows varios registros de eventos y así sucesivamente. Sin embargo, cuando su amigo envía el registro en su directorio de Windows y usted quiere verlo y analizarlo, ¡encuentro que el registro de eventos se bloquea!

¿Qué está pasando aquí?

El motivo es muy simple. El registro de eventos antes de Vista es el archivo .evt, Vista y el archivo .evtx.

Podemos usar el Log Parser 2.2 proporcionado por Microsoft (haga clic para ingresar a la página oficial de Microsoft), puede analizar los respectivos formatos compatibles en el sistema correspondiente, el comando de análisis es: logparser -i: EVT " SELECT * INTO A.csv DE b.evt " Pero si analiza el registro de formato .evt en los sistemas Vista, Windows Server 2008, Windows 7 y posteriores, es posible que se le solicite que bloquee el registro de eventos. Debe convertir el formato .evt al formato .evtx. ¡Los sistemas Vista y posteriores proporcionan la herramienta de utilidad de línea de comandos de eventos Wevtutil-Windows!

Ejecute el comando: wevtutil epl application.evt application.evtx /lf: true para convertir.

wevtutil Las indicaciones en el sistema están en inglés ,:

Utilidad de línea de comandos de eventos de Windows.

Le permite recuperar información sobre registros de eventos y editores, installand Desinstalar manifiestos de eventos, ejecutar consultas y exportar, archivar y borrar registros.

Uso:

Puede usar el corto (por ejemplo, ep /uni) o el largo (por ejemplo, enum-Publishers /Unicode) versión del comando y los nombres de las opciones. Los comandos, las opciones y los valores de las opciones no distinguen entre mayúsculas y minúsculas.

Las variables se indican en mayúsculas.

wevtutil COMMAND [ ,null,null,3],ARGUMENTO [ARGUMENTO] ...] [/OPCIÓN: VALOR [/OPCIÓN: VALOR] ...]
Comandos

:

el