Jak mogę usunąć określone zdarzenia z dziennika zdarzeń w systemie Windows Server 2008?

Czy potrzebuję do tego narzędzia innej firmy?

Microsoft celowo uniemożliwia ci to. Cała koncepcja Podglądu zdarzeń polega na przedstawieniu Ci pewnych wydarzeń, które mogą wymagać Twojej uwagi. Gdyby ktoś mógł wejść i usunąć dowolne przypadkowe zdarzenie, wówczas system mógłby - w pewnym sensie - zostać skompromitowany bez twojej wiedzy, przez co byłby niebezpieczny.

Jeśli masz zarejestrowane zdarzenie błędu, dowiedz się, co jest przyczyną problemu, i napraw je. Nie chcesz łatać dziury w tamie, wbijając w nią woreczek gumy.

Jeśli coś zbyt często rejestruje zdarzenia informacyjne lub ostrzegawcze, wówczas źródło dziennika zdarzeń (Microsoft lub firma zewnętrzna) ma wiele ustawień, które wskazują, jak często lub do jakiego poziomu rejestrowania jest skonfigurowane dla aplikacji. W tym celu udajesz się zminimalizować rejestrowanie, a nie operację na dzienniku zdarzeń.

Stanowisko PO jest ważne. Problem numer jeden z rejestrowaniem, raportowaniem błędów i alarmowaniem to biały szum. Gdy zgłaszanych jest zbyt wiele „błędów”, a większość z nich ma niski priorytet lub w ogóle ich nie dotyczy, administratorzy zwykle ignorują WSZYSTKIE błędy. Dobry czy zły, to tylko fakt z życia.

Jednym z błędów, o których mówi, jest (chyba) zdarzenie o identyfikatorze 1111. Oznacza to po prostu, że masz drukarkę zmapowaną ze sterownikiem, który nie jest dostępny na serwerze, z którym jesteś połączony. W większości przypadków jest to błąd, który nie ma znaczenia ... nie ma co „naprawiać”, ponieważ nie stanowi to problemu.

Jeśli chcesz znaleźć rzeczywiste problemy i masz określone identyfikatory zdarzeń, których nie chcesz przejrzeć, utwórz niestandardowy widok, wykonując następujące czynności:

1. W dzienniku zdarzeń kliknij „Filtruj bieżący dziennik” w okienku akcji.
2. Mniej więcej w połowie wyskakującego okna dialogowego znajdziesz pole tekstowe z <All Event IDs>
3. Zamień ten tekst na swoje potrzeby dotyczące filtrów.
   • Jeśli chcesz tylko określone zdarzenie, umieść tam identyfikator zdarzenia.
   • Jeśli masz wielokrotności, użyj przecinków, aby je rozdzielić.
   • Jeśli chcesz wykluczyć, użyj znaku minus.
   • W tym przypadku użylibyśmy „-1111” (bez cudzysłowu).
4. Kliknij „OK” w oknie dialogowym.
5. W okienku akcji kliknij teraz „Zapisz filtr w widoku niestandardowym”.

Teraz, gdy chcesz przejrzeć dziennik zdarzeń, skorzystaj z niestandardowego widoku i zostaną wyświetlone tylko te informacje, które naprawdę Cię dotyczą.

Wiem, że jest to późny post do martwego wątku, ale mam nadzieję, że pomoże komuś innemu, kto googluje bardziej niż posty „[Działa zgodnie z przeznaczeniem, n00b!]” ;-)

W systemie Windows jedyne, co możesz zrobić, to wyczyścić cały dziennik. Znalazłem tylko jedną aplikację innej firmy, która twierdzi, że to robi - Winzapper , jednak nigdy jej nie używałem i mówi, że jest dla NT i 2000, więc nie wiem, czy będzie działać na serwerze 2003/2008. Należy pamiętać, że podczas korzystania z nich istnieje możliwość uszkodzenia dziennika zdarzeń, dlatego należy postępować ostrożnie.

Rozwiązaniem problemu może być zmiana zasad inspekcji w zasadach grupy. Nie wiedząc, czego konkretnie nie chcesz pokazywać, nie jestem pewien, czy jest na to odpowiednie ustawienie, ale oto przykład.

W konsoli zarządzania zasadami grupy przejdź do sekcji Konfiguracja komputera - Ustawienia systemu Windows - Ustawienia zabezpieczeń - Zasady lokalne - Zasady inspekcji. Nie ma tu MNIE ziarnistości, ale może uda ci się pozbyć tego, co wypełnia twoje dzienniki. (Moje DC nie są 2008, więc mam to z perspektywy AD 2003, mam nadzieję, że nie jest zupełnie inaczej)

Możesz napisać aplikację .net, aby usunąć dziennik zdarzeń i źródło zdarzeń.

Przykładowy kod źródłowy, jak poniżej:

class Program
{
    static void Main(string[] args)
    {
        System.Diagnostics.EventLog.DeleteEventSource("YourEventSourceName");
        System.Diagnostics.EventLog.Delete("YourEventName");
    }
}

Odniesienie: http://msdn.microsoft.com/en-us/library/system.diagnostics.eventlog(v=vs.100).aspx

Możesz usunąć wpis z tej lokalizacji rejestru udziału, aby usunąć zdarzenie:

HKEY_LOCAL_MACHINE \ SYSTEM \ ControlSet001 \ services \ eventlog