「事件檢視器」是 Windows 內建的系統日誌分析工具，記錄作業系統、服務、應用程式的關鍵事件 (錯誤、警告、資訊、稽核成功/失敗)。系統管理員透過事件日誌可快速診斷系統故障、安全入侵、應用程式崩潰原因。
事件日誌三大分類
- 應用程式：應用程式記錄的事件 (如 Word 崩潰、SQL 錯誤)。
- 安全性：稽核事件 (登入/登出、檔案存取、權限使用)，預設需啟用稽核原則才記錄。
- 系統：Windows 核心元件、驅動程式、服務記錄的事件 (服務啟動失敗、磁碟錯誤、驅動衝突)。
開啟事件檢視器的四種方式
- 開始 > 所有程式 > 管理工具 > 事件檢視器。
- Win+R 輸入
eventvwr.msc (MMC 管理單元) 或 eventvwr.exe (位於 %windir%\system32)。
- MMC 主控台 (mmc.exe) > 檔案 > 新增/移除管理單元 > 加入「事件檢視器」。
- 命令提示字元 / PowerShell 執行
eventvwr。
事件詳細資訊欄位說明
- 類型：錯誤/警告/資訊/稽核成功/稽核失敗
- 日期/時間：事件發生時間戳記
- 來源：產生事件的元件 (如 Service Control Manager, Application Error)
- 事件 ID：唯一識別碼，可至 Microsoft 說明中心查詢詳細說明
- 使用者/電腦：觸發事件的帳戶與主機名稱
遠端檢視其他電腦事件日誌
- 事件檢視器左側樹狀根節點右鍵 >「連線到另一台電腦」。
- 輸入遠端電腦 IP/名稱，或點「瀏覽」搜尋網域電腦。
- 連線成功後，標題列顯示「事件檢視器 (遠端電腦名)」。
遠端連線常見失敗原因與對策
| 原因 | 解決方法 |
|---|
| 簡單檔案共享啟用 | 控制台 > 資料夾選項 > 檢視 > 取消勾選「使用簡單檔案共享」 |
| 防火牆封鎖檔案與印表機共享 | 啟用「檔案與印表機共用」輸入規則 (TCP 445, 139) |
| 帳戶權限不足/無對應帳戶 | 使用遠端電腦存在的管理員帳戶登入，或建立相同帳號密碼 |
| RPC 服務未執行 | 確認遠端「Remote Procedure Call (RPC)」服務啟動 |
進階應用：自訂檢視與事件篩選
- 右鍵事件日誌 >「建立自訂檢視」> 依事件 ID、來源、層級、關鍵字篩選，建立專屬診斷視圖。
- 右鍵事件 >「依此事件篩選目前記錄」快速縮小範圍。
- 匯出事件為 .evtx/.csv/.xml 供離線分析或提交技術支援。
熟練運用事件檢視器，是 Windows 系統管理與資安稽核的核心技能。
