- عارض الأحداث نوافذ 11 يسمح بتحليل متعمق لأي نشاط أو فشل في النظام.
- يعد تكوين سياسات التدقيق وفهم السجلات بشكل صحيح أمرًا بالغ الأهمية للتشخيصات المتقدمة.
- يؤدي استخدام "عارض الأحداث" بشكل صحيح إلى تحسين الأمان وتسهيل اكتشاف التهديدات وتحسين أداء الكمبيوتر.
هل لاحظت يومًا أن جهاز الكمبيوتر الخاص بك يعمل بشكل أبطأ من المعتاد، أو أنك تتلقى أخطاء غريبة، أو أنك لا تعرف ما الذي يحدث؟ مرحبًا بكم في نادي أولئك الذين يبحثون عن حلول تتجاوز إعادة تشغيل أجهزة الكمبيوتر الخاصة بهم. سأعرض لكم اليوم أحد أقوى الموارد (والتي غالبًا ما يتم التقليل من أهميتها) ويندوز 11: ال عارض الأحداث. هنا لن تتمكن من قراءة رسائل الخطأ فحسب، بل ستتعلم أيضًا كيفية إجراء التشخيص المتقدم للتعرف على ما يحدث فعليًا داخل جهاز الكمبيوتر الخاص بك.
في هذه المقالة الضخمة سوف تتعمق في كل التفاصيل حول كيفية الحصول على أقصى استفادة من Event Viewer، بدءًا من فهم تشغيله الفني وحتى إتقان تكوين السياسات والتدقيق والتسجيل واستكشاف الأخطاء وإصلاحها المتقدمة. لا تبخل بالمعلومات السطحية. لنرَ كيف يمكنك أن تصبح شيرلوك هولمز ويندوز 11، مُحللاً كل حدث ومُكتشفاً حتى أكثر الأخطاء غموضاً.
ما هو عارض الأحداث في Windows 11 وما هو استخدامه؟
El عارض الأحداث إنها أداة أساسية في تشخيص أي نظام تشغيل، سواء كنت مستخدمًا متقدمًا أو مسؤول نظام أو فني تكنولوجيا معلومات. وظيفتها الرئيسية هي تسجيل وعرض جميع الأحداث المهمة التي تحدث في النظام بشكل تسلسلي: من حذاء من المعدات، من خلال تثبيت برامج التشغيل، مشاكل خردوات، أخطاء التطبيق، ومحاولات تسجيل الدخول، وغير ذلك الكثير.
يتيح لك الوصول إلى هذه السجلات التصرف مسبقًا قبل وقوع الحوادث المحتملة.، يحدد أنماط الفشل ويساعد في الكشف عن مشكلات التكوين وانتهاكات الأمان. لذلك فهو يعد أمرًا أساسيًا في مهام التدقيق والتحقيق في الهجمات والصيانة الوقائية.
علاوة على ذلك، لا يعرض عارض الأحداث الأخطاء الحرجة فحسب. كما أنه يوثق التحذيرات ومعلومات النظام ذات الصلة والأحداث المعلوماتية وسجلات التطبيقات والخدمات المحددة، مما يجعله بمثابة "صندوق أسود" لنظام التشغيل Windows.
الوصول إلى عارض الأحداث والبدء في استخدامه
لفتح ملف عارض الأحداث في Windows 11 هناك عدة اختصارات. يمكنك البحث عنه مباشرة في قائمة ابدأ عن طريق كتابة "عارض الأحداث" أو اضغط على المجموعة ويندوز + R والكتابة eventvwr.msc. بعد الضغط على زر "Enter"، سيتم فتح نافذة مقسمة إلى ثلاثة أجزاء:
- اللوحة اليسرى: يحتوي على بنية شجرة السجلات، مثل سجلات Windows وسجلات التطبيقات والخدمات.
- اللوحة المركزية: يقوم بإدراج الأحداث في الفئة المحددة ترتيبًا زمنيًا.
- اللوحة اليمنى: يقدم إجراءات مثل حفظ السجلات أو إنشاء مرشحات أو وجهات نظر مخصصة.
عند وصولك إليه، ستشاهد الأحداث مجمعة في مستويات مختلفة: حرج، خطأ، تحذير، معلومات، وتصحيح. بالإضافة إلى ذلك، يمكنك معرفة أصل كل حدث وتاريخه ووقته، مما يساعد على وضع المشكلة في سياقها وفهمها.
هيكل السجلات في عارض الأحداث
يتم تصنيف الأحداث بشكل رئيسي إلى قسمين كبيرين: سجلات Windows y سجلات التطبيق والخدمة.
- سجلات Windows: إنه يتضمن سجلات النظام الأكثر عمومية وأساسية، مثل النظام والأمان والتطبيق والتكوين والأحداث المعاد توجيهها.
- سجلات التطبيقات والخدمات: تجميع السجلات الفردية والمحددة للتطبيقات والخدمات والمكونات الداخلية والمزودين الخارجيين.
في كل سجل، يتم عرض الأحداث في الأعمدة مع المعلومات ذات الصلة: المستوى والتاريخ والوقت والأصل ومعرف الحدث وفئة المهمة والمستخدم والفريق وغير ذلك.
أنواع الأحداث حسب مستواها وأهميتها
يتم تصنيف كل حدث حسب مستوى شدته:
- حرج: أعطال خطيرة تتطلب التدخل الفوري.
- خطأ: إنها تشير إلى المشاكل التي تتطلب الاهتمام، حتى لو لم تكن حرجة.
- تحذير: المواقف التي قد تؤدي إلى مشاكل إذا لم يتم إدارتها.
- المعلومات: أحداث إعلامية حول التشغيل الطبيعي للنظام.
- التنقية: تفاصيل مفيدة للمطورين والتشخيصات المتقدمة، والتي لا تكون مرئية دائمًا بشكل افتراضي.
إن تحديد المستوى الذي ينتمي إليه الحدث هو أمر أساسي لإعطاء الأولوية لحل الحوادث ومعرفة الحالة الصحية للنظام.
كيفية تفسير الأحداث المحددة وتحديد موقعها
هل تبحث عن خطأ محدد، أو تريد معرفة متى تعطل أحد التطبيقات، أو من حاول اختراق جهاز الكمبيوتر الخاص بك؟ يتيح لك عارض الأحداث التصفية حسب التاريخ والمستوى ومعرف الحدث والمصدر والكلمات الرئيسية. على سبيل المثال، للكشف عن محاولات تسجيل الدخول الفاشلة، ابحث عن المعرف 4625 في سجل الأمان. بالنسبة لأخطاء الخدمة، قم بالتصفية حسب اسم الخدمة أو الخطأ.
النظام يسمح لك بحفظ المرشحات كعروض مخصصة، حتى تتمكن من إعادة تطبيقها عندما تحتاج إليها وعدم إضاعة الوقت في تكوين بحثك.
إنشاء وإدارة وإعادة استخدام العروض المخصصة
ال وجهات نظر مخصصة إنها أداة شائعة جدًا لأولئك الذين يقومون بتشخيص الأنظمة بشكل دوري. إنها تسمح لك بتحديد معايير معقدة (على سبيل المثال، معرفات الأحداث المتعددة، والنطاقات، وتواريخ الجمع، ومرشحات المستخدم أو الجهاز) وحفظها تحت اسم فريد. لذا، في المرة القادمة التي تريد فيها عرض هذه الأحداث، ما عليك سوى تحديدها في اللوحة اليسرى.
العروض المخصصة ديناميكية: يتم تحديثها تلقائيًا عند حدوث أحداث جديدة تناسب المرشحات.
إعدادات سياسة التدقيق والتسجيل المتقدمة
للحصول على تشخيص متقدم وحماية حقيقية، لا يكفي الرجوع إلى السجلات، بل من الضروري التأكد من أن النظام يقوم بمراجعة وتوثيق جميع الأحداث ذات الصلة. ويتم تحقيق ذلك من خلال تكوين سياسات التدقيق المتقدمة والسياسات الجماعية، وخاصة في البيئات التي تحتوي على أجهزة كمبيوتر أو مستخدمين متعددين.
من خلال محرر نهج المجموعة (gpedit.msc) يمكنك تحديد نوع الأحداث التي تريد تدقيقها: عمليات تسجيل الدخول، وتغييرات الحساب، وتحركات كائنات Active Directory، واستخدام NTLM، وتعديلات الخدمة، وتغييرات الشهادة، وما إلى ذلك.
- التحقق من صحة بيانات الاعتماد (على سبيل المثال، معرف الحدث 4776).
- إدارة المجموعة والحساب (معرفات مثل 4726، 4741، 4753، وغيرها).
- تغييرات على الكائنات والوصول إلى خدمة الدليل (المعرفات 4662، 5136).
- ملحقات نظام الأمان (المعرف 7045).
بالإضافة إلى ذلك ، يمكنهم أتمتة إنشاء التقارير وتصدير التكوينات والتحقق من الحالة من التدقيق باستخدام بوويرشيل، مع الأوامر على النحو التالي:
تقرير تكوين MDI الجديد - المسار "C:\Reports" - نطاق الوضع - تقرير OpenHtml Set-MDIConfiguration - نطاق الوضع - تكوين الكل Get-MDIConfiguration - نطاق الوضع - تكوين الكل
ما هي الأحداث التي يجب مراقبتها وكيفية تصفيتها بشكل صحيح
أحد التحديات الأكثر شيوعًا هو معرفة السجلات المهمة لكل موقف. بعض الأمثلة على الأحداث الرئيسية:
- المعرف 4625: محاولات تسجيل الدخول فاشلة (راقب هجمات القوة الغاشمة المحتملة).
- المعرف 7045: تثبيت الخدمات (مفيد جدًا للكشف عن البرمجيات الخبيثة أو التسللات).
- المعرف 5136: تغييرات على كائنات Active Directory.
- المعرف 4662: الوصول إلى خدمات الدليل.
- أخطاء النظام الحرجة (لوحة النظام).
- تثبيت برنامج التشغيل أو الفشل (لوحة التطبيق أو النظام).
للتصفية حسب معرفات متعددة، استخدم الفواصل والنطاقات. على سبيل المثال: 4624,4625,4700-4702. يمكنك استبعاد المعرفات باستخدام علامة الطرح.
أمثلة عملية للتشخيص المتقدم
تخيل أن التطبيق يتعطل بشكل متقطع. أدخل سجل التطبيق، قم بالتصفية حسب "الخطأ" وابحث عن اسم التطبيق أو معرف الحدث المرتبط به. قم بإلقاء نظرة على عمودي "المصدر" و"الوصف" لمعرفة ما إذا كان السبب هو التطبيق، أو برامج التشغيل، أو نظام التشغيل Windows نفسه. إذا رأيت أخطاء في القرص في سجل النظام، فقد تكون المشكلة في الأجهزة.
السيناريو الشائع الآخر هو اكتشاف المستخدمين غير المصرح لهم أو الإجراءات المشبوهة: باستخدام التدقيق المناسب، يمكنك اكتشاف متى قام شخص ما بالوصول إلى ملفات مهمة، أو محاولة تعديل سياسات الأمان، أو حذف السجلات.
في البيئات التنظيمية، يعد مراقبة الأحداث من AD FS وAD CS وMicrosoft Entra Connect والخدمات المهمة الأخرى أمرًا حيويًا لتوقع التهديدات وتلبية متطلبات الامتثال.
تصدير السجلات وتحليلها ومشاركتها للدعم الفني
إذا كنت بحاجة إلى طلب المساعدة، يمكنك تصدير أي سجل مخصص أو عرض كملف .evtx وإرسالها للتحليل. بهذه الطريقة، سيكون لدى الدعم الفني جميع المعلومات اللازمة لإعادة إنتاج المشكلة أو تقديم حل سريع.
يمكن لأدوات الطرف الثالث والحلول الآلية تحليل آلاف السجلات واكتشاف الأنماط وإنشاء تقارير متطورة للتتبع والتدقيق والتوثيق.
كاتب شغوف بعالم البايت والتكنولوجيا بشكل عام. أحب مشاركة معرفتي من خلال الكتابة، وهذا ما سأفعله في هذه المدونة، لأعرض لك كل الأشياء الأكثر إثارة للاهتمام حول الأدوات الذكية والبرامج والأجهزة والاتجاهات التكنولوجية والمزيد. هدفي هو مساعدتك على التنقل في العالم الرقمي بطريقة بسيطة ومسلية.