Windows XP 事件檢視器完整入門：開啟方法、三大日誌類型、篩選與匯出、監控與診斷實戰

事件檢視器是 Windows 內建的系統日誌中心，記錄應用程式、安全性、系統三大類事件，是診斷藍畫面、服務失敗、登入失敗、硬體錯誤的核心工具。本文教學開啟方法、日誌解讀、篩選匯出與實戰監控技巧。

一、開啟事件檢視器

1. 「開始」→「控制台」→「效能與維護」→「系統管理工具」→「電腦管理」→ 左側樹狀目錄「事件檢視器」。
2. 或 Win+R → eventvwr.msc 直接開啟。

二、三大核心日誌

三、篩選與匯出

• 右鍵日誌 →「篩選目前的記錄檔」→ 依事件來源、事件 ID、層級（錯誤/警告/資訊）、日期篩選。
• 右鍵日誌 →「另存為」→ .evtx (Vista+) 或 .evt (XP) 格式，可離線分析/提交技術支援。
• 命令列匯出：wevtutil epl System C:\SystemLog.evtx（需 Vista+），XP 用 dumpel -s -l System -f C:\SystemLog.txt（Resource Kit 工具）。

四、實戰監控與診斷技巧

1. 藍畫面分析：系統日誌找 Event ID 1001 (Bugcheck) 或 6008 → 記下 Bugcheck Code (0x...) → 搜尋對應原因。
2. 服務反覆掛掉：系統日誌篩選 Source=Service Control Manager、Level=Error → 找 7000/7023/7024/7031 → 對應服務名稱 → 檢查相依服務/登錄/檔案權限/驅動。
3. 可疑登入：安全性日誌篩選 4625 → 觀察 Logon Type (2=互動、3=網路、10=遠端桌面)、Source Network Address、Account Name。
4. 自訂檢視：右鍵「事件檢視器(本機)」→「建立自訂檢視」→ 定義 XML 查詢（如：最近 24 小時所有 Error/Critical）→ 命名儲存，未來一鍵查看。
5. 事件觸發工作：右鍵特定事件 →「將工作附加到這個事件」→ 設定傳送郵件/執行腳本/顯示訊息，實現自動化告警。

事件檢視器是系統的「黑盒子」，善用篩選、自訂檢視、事件觸發工作，能將被動查詢轉為主動監控，第一時間發現異常、定位根因、自動回應。