Informacje o wyłączeniu systemu w dzienniku zdarzeń: kto, kiedy i dlaczego?

Jeśli pamiętacie mój artykuł o uptime (czas pracy systemu od uruchomienia do danej chwili), to na pewno zgodzicie się, że administrator od czasu do czasu chce również wiedzieć, ile razy dana maszyna była wyłączana, dlaczego i KTO ośmielił się to zrobić:). Takowe informacje skrywa w sobie Dziennik Zdarzeń i dzisiaj podpowiem jak je łatwo wyciągnąć i zinterpretować.

Daty i godziny wpisów, to mniej więcej czas wyłączenia /restartu systemu, a ilość tych wpisów to ilość owych wyłączeń i restartów. Jak widać stacja robocza może mieć ich sporo, a serwer nie powinien.

Szybkie czytanie logów na wielu zdalnych maszynach

Odsyłam do wcześniejszej porady, w której opisałem narzędzie EvencombMT.exe. Przeczesanie wielu maszyn na raz zaowocuje zrzuceniem szukanych informacji do pliku nazwa_komputera-System_LOG.txt. Ze wspomnianego wpisu dowiecie się jak odfiltrować konkretne numery eventów i jak zmienić na przykład ramy czasowe ich występowania.

„Zimne” restarty

Słusznie zgadujecie, że opisana wyżej metoda nie wykryje nagłych restartów na przykład spowodownych brakiem zasilania. Warto jednak wiedzieć, że

Kto restartował maszynę?

Powód może być wpisany ręcznie dzięki narzędziu „Shutdown Event Tracker”. Może też być podany jako parametr w narzędziach typu shutdown.exe i psshutdown.exe. Często jest wpisywany automatycznie przez system, jeśli jest to na przykład restart po poprawkach bezpieczeństwa.

Oto kilka przykładów. Użytkownik wymusza restart wybierając z listy powód „Operating System: Reconfiguration (Planned)” i swój komentarz „zmiany w bazie”:

W tym przykładzie system restartuje się sam po instalacji poprawek bezpieczeństwa. Aby to dokładniej potwierdzić, należałoby to wydarzenie porównać z logiem poprawek (windowsupdate.log) lub innymi wpisami w Dzienniku Zdarzeń (frazy: „wuauclt”, „Windows Update”):

Tutaj lokalny administartor wyłącza maszynę:

I znowu potwierdza się plotka, że admin wie i widzi wszystko 🙂 Jeśli uważacie, że coś warto dodać lub któreś z poruszonych zagadnień warto omówić dokładniej – piszcie:)