Event Log Explorer — анализ журналов Windows

Олег

6 октября 2024

Анализ логов журналов событий Windows — обычная задача системного администратора, но важная. Стандартный "Просмотр событий" обладает базовым набором возможностей, которых иногда не хватает. И не забываем про тормоза.

Event Log Explorer — эффективное и удобное программное решение для анализа и мониторинга событий, хранящихся в журналах событий (системный журнал, журнал приложений, журнал безопасности и пр.) Microsoft Windows. При этом Event Log Explorer существенно расширяет возможности стандартной программы "Просмотр событий".

Возможности

Древовидная структура. Event Log Explorer существенно ускоряет доступ к журналам событий в сети за счет навигации по дереву компьютеров и их логам. Компьютеры сети можно добавить в дерево, сгруппировав их по своему усмотрению. Дерево компьютеров можно экспортировать и импортировать.
Менеджер учетных данных. Позволяет хранить учетные данные к компьютерам. Когда вы открываете журнал компьютера по сети, Event Log Explorer использует сохранённые учетные данные, которые использовались в прошлый раз при работе с этим удаленным компьютером и его логами.
Высокая производительность. Event Log Explorer загружает события во временную базу данных (в память или на диске) и оперирует с этим хранилищем. Можно отфильтровать ненужные события уже при загрузке данных из журнала Windows.
Удобный интерфейс. Event Log Explorer позволяет просматривать описания и данные ассоциированные с каждым событием в специальной области описания события в окне просмотра журнала или непосредственно в строке события. Удобный многооконный пользовательский интерфейс позволяет переключаться между двумя режимами: классическим мультидокументным (MDI) или современным страничным (tabbed).
Мощная система фильтрации. Event Log Explorer предоставляет обширные возможности для задания критериев фильтрации и поиска событий. События из любого журнала могут быть отфильтрованы по любому параметру. Фильтры можно сохранять файлы и использовать их в дальнейшем просто загружая их из файла. Быстрые фильтры по подобию существенно ускоряют работу. Можно фильтровать события Windows по описаниям событий с применением регулярных выражений.
Распечатка и экспорт. В отличие от стандартного инструмента "Просмотр событий" Event Log Explorer позволяет распечатывать данные журналов как полностью так и для каждого события в отдельности. Также возможен экспорт журналов событий в различные форматы (xls, xlsx, csv, html и evt). Вы можете выбрать колонки, которые нужно экспортировать или печатать, выбрать из различных макетов размещения данных при печати и просмотреть как будут выглядеть распечатки.
Объединение журналов событий. Позволяет анализировать события Windows из разных источников (журналов и файлов) одновременно. Event Log Explorer позволяет объединять разные журналы с разных машин в одно представление (общий лог). Это очень помогает при анализе хронологии событий из множества источников.
Пользовательские колонки. Доступно создание собственных колонок с выбранными значениями. Это позволяет анализировать отдельные самые важные данные из описаний событий без необходимости просматривать описания событий целиком, что ускоряет анализ данных журналов событий Windows.
Планировщик и автоматизация. Позволяет автоматизировать многие задачи. Например, вы можете запланировать регулярный экспорт определенных событий в файл.
Активный мониторинг. Можете настроить Event Log Explorer на регулярное обнаружение новых событий, удовлетворяющих заданному фильтру в определенных Windows-журналах в вашей сети. Можно настроить получение оповещений на e-mail, когда заданные события появятся.
Резервное копирование. Предоставляет возможность резервного копирования журналов Windows.
Аналитические отчеты. В Event Log Explorer можно сделать аналитические отчеты и диаграммы для журналов Windows и выборок событий Windows.
Прямой доступ к файлам. Event Log Explorer может получать данные из EVT and EVTX файлов напрямую (без Windows API). Это позволяет извлекать данные даже из поврежденных файлов или работать с EVTX файлами.
Закладки и цветовое кодирование. В Event Log Explorer процесс отображения логов становится приятнее благодаря множеству маленьких удобств, таких как цветовое кодирование (подсветка определенных событий заданными Вами цветами) и закладки (запоминание позиций в журнале или выборке и быстрый возврат к этим позициям).
Подмена источника описаний. Вы можете задать другой компьютер, с которого будут браться описания событий, так как на компьютере исследователя могут отсутствовать необходимые описания. Например, при анализе логов, взятых с Windows-сервера, к которому нет доступа, можно указать другой сервер и получить необходимые описания.
Коррекция времени. Логи могут браться с компьютеров, находившихся в другой временной зоне. По умолчанию события будут показываться в вашей временной зоне. Вы можете задать коррекцию времени.