wevtutil

Позволяет получать сведения о журналах событий и издателях. Эту команду можно также использовать для установки и удаления манифестов событий, выполнения запросов и экспорта, архивации и очистки журналов.

Syntax

wevtutil [{el | enum-logs}] [{gl | get-log} <Logname> [/f:<Format>]]
[{sl | set-log} <Logname> [/e:<Enabled>] [/i:<Isolation>] [/lfn:<Logpath>] [/rt:<Retention>] [/ab:<Auto>] [/ms:<MaxSize>] [/l:<Level>] [/k:<Keywords>] [/ca:<Channel>] [/c:<Config>]]
[{ep | enum-publishers}]
[{gp | get-publisher} <Publishername> [/ge:<Metadata>] [/gm:<Message>] [/f:<Format>]] 
[{im | install-manifest} <Manifest>] [/rf:<Path>] [/mf:<Path>] [/pf:<Path>] 
[{um | uninstall-manifest} <Manifest>] [{qe | query-events} <Path> [/lf:<Logfile>] [/sq:<Structquery>] [/q:<Query>] [/bm:<Bookmark>] [/sbm:<Savebm>] [/rd:<Direction>] [/f:<Format>] [/l:<Locale>] [/c:<Count>] [/e:<Element>]]
[{gli | get-loginfo} <Logname> [/lf:<Logfile>]]
[{epl | export-log} <Path> <Exportfile> [/lf:<Logfile>] [/sq:<Structquery>] [/q:<Query>] [/ow:<Overwrite>]]
[{al | archive-log} <Logpath> [/l:<Locale>]]
[{cl | clear-log} <Logname> [/bu:<Backup>]] [/r:<Remote>] [/u:<Username>] [/p:<Password>] [/a:<Auth>] [/uni:<Unicode>]

Parameters

Options

Remarks

• Использование файла конфигурации с параметром sl

  Файл конфигурации — это XML-файл с тем же форматом, что и выходные данные wevtutil gl <Logname> /f:xml. Чтобы открыть формат файла конфигурации, который включает хранение, включает автоматическое восстановление и задает максимальный размер журнала в журнале приложений:

  <?xml version=1.0 encoding=UTF-8?>
  <channel name=Application isolation=Application
  xmlns=https://schemas.microsoft.com/win/2004/08/events>
  <logging>
  <retention>true</retention>
  <autoBackup>true</autoBackup>
  <maxSize>9000000</maxSize>
  </logging>
  <publishing>
  </publishing>
  </channel>
  

Examples

Список имен всех журналов:

wevtutil el

Отображение сведений о конфигурации журнала системы на локальном компьютере в формате XML:

wevtutil gl System /f:xml

Используйте файл конфигурации для задания атрибутов журнала событий (см. примечания для примера файла конфигурации):

wevtutil sl /c:config.xml

Отображение сведений о издателе событий microsoft-Windows-Eventlog, включая метаданные о событиях, которые издатель может вызвать:

wevtutil gp Microsoft-Windows-Eventlog /ge:true

Установите издатели и журналы из файла манифеста myManifest.xml:

wevtutil im myManifest.xml

Удалите издатели и журналы из файла манифеста myManifest.xml:

wevtutil um myManifest.xml

Отображение трех последних событий из журнала приложений в текстовом формате:

wevtutil qe Application /c:3 /rd:true /f:text

Отображение состояния журнала приложений:

wevtutil gli Application

Экспорт событий из системного журнала в C:\backup\system0506.evtx:

wevtutil epl System C:\backup\system0506.evtx

Удалите все события из журнала приложений после сохранения их в C:\admin\backups\a10306.evtx:

wevtutil cl Application /bu:C:\admin\backups\a10306.evtx

Архивируйте указанный (.evtx) файл журнала в самостоятельный формат. Создается подкаталог (LocaleMetaData), а все сведения, относящиеся к языковому стандарту, сохраняются в этом подкаталоге:

wevtutil archive-log "C:\backup\Application.evtx" /locale:en-us

Related links

• Условные обозначения синтаксиса команд командной строки