Анализ журналов событий Windows: поиск ошибок и аудит через PowerShell

Журнал событий Windows — это чёрный ящик, который записывает всё: входы пользователей, ошибки служб, перезагрузки, изменения политик и сбои драйверов. Event Viewer удобен для просмотра пары записей, но когда нужно найти конкретную ошибку среди десятков тысяч событий или провести аудит за месяц — без PowerShell не обойтись. В этой статье разберём, как эффективно анализировать журналы с помощью Get-WinEvent и Get-EventLog, фильтровать по Event ID, экспортировать результаты и строить систему мониторинга.

Архитектура журналов событий Windows

Windows ведёт сотни журналов одновременно. В типичной системе Windows 10/11 их более 1000, а в Windows Server — ещё больше. Все они хранятся в формате .evtx в папке C:\Windows\System32\winevt\Logs.

Основные журналы, с которыми работает администратор:

• System — события ядра, драйверов, служб, перезагрузки
• Application — события приложений, .NET, SQL, IIS
• Security — аудит входов, доступа к объектам, изменения политик
• Setup — установка обновлений и компонентов
• Microsoft-Windows-* — операционные журналы подсистем (GroupPolicy, DNS, DHCP, TaskScheduler и др.)

Get-WinEvent vs Get-EventLog: что выбрать

В PowerShell есть два командлета для работы с журналами. Они похожи, но отличаются принципиально:

Get-EventLog — устаревший командлет, работает только с классическими журналами (System, Application, Security). Прост в использовании, но ограничен. Удалён из PowerShell 7+.

Get-WinEvent — современный командлет, читает все журналы (включая операционные и аналитические), поддерживает FilterHashtable, FilterXPath и работает с .evtx-файлами напрямую. Рекомендуется Microsoft для всех новых скриптов.

# Get-EventLog — только классические журналы
Get-EventLog -LogName System -Newest 20

# Get-WinEvent — любой журнал, включая операционные
Get-WinEvent -LogName 'Microsoft-Windows-GroupPolicy/Operational' -MaxEvents 20

FilterHashtable: быстрая фильтрация событий

Главное преимущество Get-WinEvent — параметр -FilterHashtable. Он фильтрует события на уровне провайдера, а не в пайплайне, что даёт кратный прирост производительности на больших журналах.

# Ошибки в системном журнале за последние 24 часа
Get-WinEvent -FilterHashtable @{
    LogName   = 'System'
    Level     = 2          # 2 = Error
    StartTime = (Get-Date).AddDays(-1)
} | Select-Object TimeCreated, Id, Message | Format-Table -AutoSize

Доступные ключи FilterHashtable:

• LogName — имя журнала (System, Application, Security и др.)
• ProviderName — источник (Microsoft-Windows-Kernel-Power и др.)
• Id — Event ID (одно значение или массив: @(4624, 4625))
• Level — уровень: 1 (Critical), 2 (Error), 3 (Warning), 4 (Information)
• StartTime / EndTime — временной диапазон
• Keywords — битовая маска ключевых слов

# Критические ошибки и ошибки из нескольких журналов
Get-WinEvent -FilterHashtable @{
    LogName   = 'System','Application'
    Level     = 1,2
    StartTime = (Get-Date).AddHours(-6)
} | Sort-Object TimeCreated -Descending

Аудит входов: Event ID 4624 и 4625

Журнал Security — основной источник информации об аутентификации. Два ключевых Event ID:

• 4624 — успешный вход
• 4625 — неудачная попытка входа

# Успешные RDP-входы за последние 7 дней
Get-WinEvent -FilterHashtable @{
    LogName   = 'Security'
    Id        = 4624
    StartTime = (Get-Date).AddDays(-7)
} | ForEach-Object {
    $xml = [xml]$_.ToXml()
    [PSCustomObject]@{
        Time    = $_.TimeCreated
        User    = ($xml.Event.EventData.Data |
                   Where-Object {$_.Name -eq 'TargetUserName'}).'#text'
        IP      = ($xml.Event.EventData.Data |
                   Where-Object {$_.Name -eq 'IpAddress'}).'#text'
        LogonType = ($xml.Event.EventData.Data |
                   Where-Object {$_.Name -eq 'LogonType'}).'#text'
    }
} | Where-Object { $_.LogonType -eq '10' -and $_.User -ne 'ANONYMOUS LOGON' } |
    Sort-Object Time -Descending | Format-Table -AutoSize

Типы входа (LogonType), которые стоит знать:

• 2 — интерактивный (локальный вход с клавиатуры)
• 3 — сетевой (доступ к шаре, принтеру)
• 7 — разблокировка экрана
• 10 — RDP (удалённый рабочий стол)
• 11 — кэшированный (без связи с контроллером домена)

Мониторинг ошибок служб и драйверов

Журнал System хранит критически важные события: падение служб, ошибки драйверов, неожиданные перезагрузки. Вот ключевые Event ID:

• 7034 — служба неожиданно завершилась
• 7045 — новая служба установлена (может быть признаком вредоносного ПО)
• 41 (Kernel-Power) — неожиданная перезагрузка (потеря питания, BSOD)
• 1074 — плановая перезагрузка или выключение
• 6008 — предыдущее выключение было некорректным

# Падения служб за последний месяц
Get-WinEvent -FilterHashtable @{
    LogName      = 'System'
    ProviderName = 'Service Control Manager'
    Id           = 7034
    StartTime    = (Get-Date).AddDays(-30)
} | Select-Object TimeCreated, @{
    Name='Service'; Expression={$_.Properties[0].Value}
}, @{
    Name='Crashes'; Expression={$_.Properties[1].Value}
} | Format-Table -AutoSize

# Все неожиданные перезагрузки (Kernel-Power 41)
Get-WinEvent -FilterHashtable @{
    LogName      = 'System'
    ProviderName = 'Microsoft-Windows-Kernel-Power'
    Id           = 41
} | Select-Object TimeCreated, Message

FilterXPath: продвинутая фильтрация

Когда FilterHashtable недостаточно, используйте XPath-запросы. Они позволяют фильтровать по любому полю события, включая вложенные данные EventData.

# Неудачные входы конкретного пользователя
Get-WinEvent -LogName Security -FilterXPath @"
*[System[(EventID=4625)]]
 and
*[EventData[Data[@Name='TargetUserName']='admin']]
"@ -MaxEvents 50 | Select-Object TimeCreated, Message

# Ошибки определённого источника с уровнем Error
Get-WinEvent -LogName Application -FilterXPath @"
*[System[Provider[@Name='MSSQLSERVER'] and (Level=2)]]
"@ -MaxEvents 100

Работа с архивными .evtx файлами

Одна из уникальных возможностей Get-WinEvent — чтение архивных файлов .evtx. Это незаменимо при расследовании инцидентов на удалённых машинах или при анализе резервных копий логов.

# Чтение из архивного файла
Get-WinEvent -Path "C:\Backup\System-2026-03.evtx" -FilterHashtable @{
    Id    = 41, 1074, 6008
    Level = 1, 2
} | Select-Object TimeCreated, Id, Message

# Чтение с удалённого компьютера
Get-WinEvent -ComputerName 'SRV-DC01' -FilterHashtable @{
    LogName   = 'Security'
    Id        = 4625
    StartTime = (Get-Date).AddDays(-1)
}

Экспорт и автоматизация: CSV, HTML, Email

Найденные события легко экспортировать для отчётности или передачи руководству.

# Экспорт ошибок в CSV
Get-WinEvent -FilterHashtable @{
    LogName   = 'System'
    Level     = 1,2
    StartTime = (Get-Date).AddDays(-7)
} | Select-Object TimeCreated, Id, ProviderName, Message |
    Export-Csv -Path "C:\Reports\errors_weekly.csv" -NoTypeInformation -Encoding UTF8

# HTML-отчёт с форматированием
$events = Get-WinEvent -FilterHashtable @{
    LogName   = 'System'
    Level     = 2
    StartTime = (Get-Date).AddDays(-1)
} | Select-Object TimeCreated, Id, ProviderName,
    @{Name='Short'; Expression={$_.Message.Substring(0, [Math]::Min(200, $_.Message.Length))}}

$events | ConvertTo-Html -Title "System Errors Report" -CssUri "style.css" |
    Out-File "C:\Reports\daily_errors.html"

Очистка журналов: wevtutil и Clear-EventLog

Иногда журналы нужно очистить — например, после устранения массовой ошибки, которая забила лог тысячами одинаковых записей.

# Очистить конкретный журнал
Clear-EventLog -LogName Application

# Очистить все классические журналы
Get-EventLog -LogName * | ForEach-Object { Clear-EventLog $_.Log }

# Через wevtutil — с резервным копированием
wevtutil cl System /bu:C:\Backup\System_backup.evtx

# Очистить ВСЕ журналы (включая операционные)
Get-WinEvent -ListLog * -Force | ForEach-Object {
    wevtutil cl $_.LogName
}

Диагностика групповых политик через журналы

Медленный вход в систему — частая жалоба в доменных средах. Операционный журнал GroupPolicy покажет, какая именно политика тормозит.

# Время обработки групповых политик
Get-WinEvent -FilterHashtable @{
    LogName = 'Microsoft-Windows-GroupPolicy/Operational'
    Id      = 5312
} | Select-Object TimeCreated, Message | Format-List

# Профиль пользователя — диагностика загрузки
Get-WinEvent -LogName 'Microsoft-Windows-User Profile Service/Operational' |
    Select-Object TimeCreated, Id, Message -First 20

# События Winlogon
Get-WinEvent -LogName 'Microsoft-Windows-Winlogon/Operational' |
    Select-Object TimeCreated, Id, Message -First 20

Готовый скрипт: ежедневный аудит сервера

Объединим всё в один скрипт, который собирает ключевые события и формирует сводку:

# Daily-Audit.ps1 — ежедневный сбор критических событий
$since = (Get-Date).AddDays(-1)
$report = @()

# Критические ошибки системы
$report += Get-WinEvent -FilterHashtable @{
    LogName='System'; Level=1,2; StartTime=$since
} -ErrorAction SilentlyContinue | Select-Object @{N='Source';E={'System'}},
    TimeCreated, Id, @{N='Info';E={$_.Message.Substring(0,
    [Math]::Min(150,$_.Message.Length))}}

# Неудачные входы
$report += Get-WinEvent -FilterHashtable @{
    LogName='Security'; Id=4625; StartTime=$since
} -ErrorAction SilentlyContinue | Select-Object @{N='Source';E={'Login-Fail'}},
    TimeCreated, Id, @{N='Info';E={$_.Message.Substring(0,
    [Math]::Min(150,$_.Message.Length))}}

# Падения служб
$report += Get-WinEvent -FilterHashtable @{
    LogName='System'; Id=7034; StartTime=$since
} -ErrorAction SilentlyContinue | Select-Object @{N='Source';E={'SvcCrash'}},
    TimeCreated, Id, @{N='Info';E={$_.Properties[0].Value}}

# Результат
$report | Sort-Object TimeCreated -Descending |
    Export-Csv "C:\Reports\daily_audit_$(Get-Date -f 'yyyyMMdd').csv" -NoTypeInformation -Encoding UTF8

Write-Host "Найдено событий: $($report.Count)" -ForegroundColor Cyan

Заключение: от хаоса к контролю

Журналы событий Windows содержат ответы на большинство вопросов «что случилось?», которые задают администраторы и безопасники. Ключевые выводы:

• Используйте Get-WinEvent вместо Get-EventLog — он быстрее, мощнее и поддерживает все журналы
• FilterHashtable фильтрует на стороне провайдера — в разы быстрее пайплайна Where-Object
• Event ID 4624/4625, 7034, 7045, 41, 1074 — выучите наизусть, они расскажут 80% истории
• Экспорт в CSV и автоматизация через Task Scheduler превращают разовый анализ в систему мониторинга
• XPath-фильтры решают задачи, которые не по силам FilterHashtable

Начните с простого: запустите скрипт ежедневного аудита на одном сервере. Через неделю вы будете видеть паттерны, которые раньше ускользали. Через месяц — предотвращать инциденты до того, как они превратятся в проблемы.

Для масштабирования подхода рассмотрите Windows Event Forwarding (WEF) — централизованный сбор журналов с сотен машин на один коллектор. Но это уже тема отдельной статьи.

Официальная документация: Microsoft Learn — Windows Server, Microsoft Learn — PowerShell