Windows的EventLog

来源：互联网发布：使用 windows 远程桌面编辑：程序博客网时间：2024/05/17 01:58

Microsoft Windows 中的事件记录提供了一种标准的、集中化的方式，您可用此方式让应用程序记录重要的软件和硬件事件。发生错误时，系统管理员或技术支持人员必须确定导致错误的原因，努力恢复所有丢失的数据，并防止此错误再次发生。如果应用程序、操作系统和其他系统服务能够记录重要事件，如内存不足或尝试访问磁盘失败，则会对解决问题很有帮助。系统管理员可利用事件日志帮助确定错误原因以及此错误出现的上下文。

如 Windows 中的定义那样，“事件”是指发生的任何需要通知用户的重要事情（无论是在操作系统中还是在应用程序中）。关键事件通过立即在屏幕上显示一条消息来发送给用户。其他事件通知写入一个“事件日志”中，事件日志记录此信息以便将来参考。每个事件日志条目都可以分类为以下几个类别之一：错误、警告、信息、成功审核或失败审核。

默认情况下，运行 Windows 2000 或 Windows NT 4.0 的计算机上有三个事件日志：
System 日志，它跟踪出现在系统组件上的事件（如驱动程序问题）；
Security 日志，它跟踪安全性的变化和可能出现的违规；
Application 日志，它跟踪出现在已注册应用程序中的事件。

对应的三个日志文件的位置，在注册表中指定。
HKEY_LOCAL_MACHINE/SYSTEM/CurrentControlSet/Services/Eventlog/Security
HKEY_LOCAL_MACHINE/SYSTEM/CurrentControlSet/Services/Eventlog/Application
HKEY_LOCAL_MACHINE/SYSTEM/CurrentControlSet/Services/Eventlog/System
由其中file项的值指定。