善用 Windows XP 事件檢視器：解讀系統日誌的實戰指南

Windows XP 在背景中默默記錄著系統的一舉一動，就像一位忠實的史官。這些記錄集中在「事件檢視器」中，路徑位於「控制台 → 管理工具」，或是直接在「執行」對話框輸入 %SystemRoot%\system32\eventvwr.msc /s 即可開啟。透過它，我們不僅能回顧系統的運作軌跡，更能在故障發生時迅速定位根因。

三大核心日誌類型

1. 應用程式日誌

記錄應用程式或系統程式的事件，例如資料庫程式的檔案錯誤。當軟體當機時，這裡往往留有關鍵線索，協助排除問題。

2. 安全性日誌

記錄登入嘗試（成功/失敗）、檔案存取、物件建立或刪除等安全相關事件。預設為關閉狀態，需透過群組原則或登錄表啟用審核策略，方能記錄。僅限系統管理員查看。

3. 系統日誌

記錄 Windows 核心元件事件，如驅動程式載入失敗。其中事件 ID 6006 極具參考價值：它代表「事件日誌服務已停止」，即系統正常關機的時間點。若某日日誌中缺少 6006，意味著該日電腦未正常關機。

若電腦設定為網域控制站或 DNS 伺服器，還會額外出現目錄服務、檔案複寫服務、DNS 伺服器等專用日誌。

事件類型解讀

• 資訊：服務啟動成功、驅動程式載入正常等例行操作，通常無需逐項檢視。
• 成功稽核/失敗稽核：安全性日誌專屬，記錄登入、物件存取、權限使用等審核結果。
• 警告：非致命但潛在風險，如磁碟空間不足、找不到印表機，建議檢查。
• 錯誤：嚴重問題，如資料遺失、功能喪失、DCOM 註冊逾時，點擊描述中的連結可跳轉微軟知識庫尋求解決方案。

日誌維護與進階工具

日誌體積會隨時間膨脹，達上限後停止記錄。可在事件檢視器中右鍵選擇「清除所有事件」，或在屬性中設定「依需求覆寫事件」（自動覆蓋舊日誌）與「最大日誌大小」（預設 512 KB）。管理員亦可直接刪除 \WINDOWS\SYSTEM32\CONFIG\ 下的 .evt 檔案（NTFS 格式需先停止事件日誌服務）。

命令列工具提供更強大的自動化能力：

• Eventcreate.exe：建立自訂事件
• Eventquery.vbs：查詢多日誌事件屬性
• Eventtriggers.exe：建立事件觸發器，特定事件發生時自動執行程式，彌補即時監控不足

善用事件檢視器，讓系統日誌成為你診斷故障、強化安全的得力助手。