在我們?nèi)粘Ｊ褂秒娔X的時(shí)候，有時(shí)會(huì)想知道計(jì)算機(jī)的開(kāi)機(jī)和關(guān)機(jī)歷史，用來(lái)檢查是否有人未經(jīng)授權(quán)登陸或者是否有被入侵。大多數(shù)情況下，系統(tǒng)管理員需要了解經(jīng)常查看系統(tǒng)日志，以便進(jìn)行故障排除。如果多人使用電腦，定期檢查電腦的啟動(dòng)和關(guān)閉日志是一個(gè)很好的安全措施，以確保電腦被合法使用。
使用事件查看器
windows自帶的事件查看器是一個(gè)很好用的工具，可以保存計(jì)算機(jī)使用過(guò)程中發(fā)生的各種事件。在每個(gè)事件期間，事件查看器都會(huì)記錄一個(gè)條目。事件查看器是Windows的核心服務(wù)，所以它無(wú)法被手動(dòng)停止或禁用。事件查看器還記錄事件日志服務(wù)的啟動(dòng)和關(guān)機(jī)時(shí)間。我們可以利用這些信息來(lái)了解我們的計(jì)算機(jī)是什么時(shí)候被哪些用戶啟動(dòng)或關(guān)閉的。
同時(shí)按Win+R組合鍵，打開(kāi)運(yùn)行界面，輸入eventvwr或者點(diǎn)擊左下角的開(kāi)始按鈕輸入eventvwr，打開(kāi)事件查看器。
在事件查看器的左側(cè)窗口中，點(diǎn)擊“Widnows日志”->“系統(tǒng)”。
事件查看器中間窗口中，你可以看到一個(gè)在運(yùn)行Windows時(shí)發(fā)生的事件列表，里面有很多事件，你可以根據(jù)需要查看，本教程中我們只關(guān)心三件事。首先用事件標(biāo)識(shí)對(duì)事件日志進(jìn)行排序。單擊事件標(biāo)識(shí)標(biāo)簽，根據(jù)事件標(biāo)識(shí)列對(duì)數(shù)據(jù)進(jìn)行排序。
如果您的事件日志很大，那么加載會(huì)很長(zhǎng)時(shí)間，排序也沒(méi)什么作用。此時(shí)需要在右側(cè)的操作窗口中創(chuàng)建一個(gè)過(guò)濾器。點(diǎn)擊“篩選當(dāng)前日志”。
在標(biāo)記為<所有事件標(biāo)識(shí)>的事件標(biāo)識(shí)字段中鍵入6005、6006。您也可以在記錄下指定時(shí)間段。
事件標(biāo)識(shí)6005代表系統(tǒng)啟動(dòng)。事件標(biāo)識(shí)6006代表系統(tǒng)關(guān)閉。如果您想進(jìn)一步調(diào)查事件日志，可以查看事件標(biāo)識(shí)6013，該標(biāo)識(shí)顯示計(jì)算機(jī)的運(yùn)行時(shí)間，事件標(biāo)識(shí)6009顯示檢測(cè)到的處理器信息。事件標(biāo)識(shí)6008顯示未正確關(guān)機(jī)后的啟動(dòng)事件。
