La commande wevtutil est utilisée pour gérer les journaux d'événements Windows via la ligne de commande. 2. Pour répertorier tous les journaux, utilisez Wevtutil el; Pour obtenir des détails sur un système de journal spécifique, utilisez le système Wevtutil GL. 3. Requête des événements avec Wevtutil QE, tels que Wevtutil QE System / Count: 10 / F: Texte pour les 10 derniers événements au format texte, et les journaux d'exportation à l'aide du système WEVTUTIL EPL C: \ Temp \ SystemLog.evtx. 4. Effacer un journal avec l'application Wevtutil CL, mais le soutient d'abord à l'aide de l'application wevtutil EPL C: \ Backup \ Application_backup.evtx pour préserver les données. 5. Pour la gestion à distance, Use / R: RemotePC avec des informations d'identification via / u et / p, garantissant que WinRM ou RPC est activé et les règles de pare-feu permettent à l'accès. 6. Exécuter toujours en tant qu'administrateur pour les modifications du journal, utilisation / F: RenderedXML pour la sortie XML lisible, la sortie de filtre avec Findstr et ouvrez les fichiers .EVTX exportés dans la visionneuse d'événements pour l'analyse, faisant de Wevtutil un outil puissant pour l'automatisation, l'audit et le dépannage des journaux d'événements Windows.

La commande wevtutil dans Windows est un puissant outil de ligne de commande pour gérer les journaux d'événements - utile pour les administrateurs système, les PRO informatiques ou toute personne dépannage le système ou les événements d'application. Il vous permet de demander, exporter, effacer, sauvegarder et configurer les journaux d'événements sans avoir besoin de l'interface graphique de la visionneuse d'événements. Voici comment l'utiliser efficacement.

1. Comprendre les bases de Wevtutil

wevtutil signifie Windows Event Log Utilities . Il fonctionne avec les journaux intégrés (comme Application , System , Security ) et les journaux personnalisés. Vous pouvez l'exécuter à partir de Command Invite ou PowerShell avec des autorisations appropriées (certaines opérations nécessitent des droits de l'administrateur ).

Syntaxe générale:

 wevtutil [Action] [Logname | Query] [Options]

Les actions courantes comprennent:

• el - énumérer les journaux
• gl - Obtenez des informations sur le journal
• qe - événements de requête
• epl - Journal d'exportation
• cl - Clear Log
• al - Journal des archives

2. Réservez et inspecter les journaux des événements

Pour voir tous les journaux disponibles sur le système:

 wevtutil el

Cela publie une liste comme:

 Application
Système
Sécurité
Installation
Windows PowerShell

Pour obtenir des informations détaillées sur un journal spécifique (par exemple, système):

 système wevtutil GL

Cela montre:

• Taille de journal
• Taille maximale
• Paramètres de rétention
• état activé
• Chemin vers le fichier journal

Utile pour vérifier si un journal est plein ou si la rétention est correctement configurée.

3. Journaux d'événements de requête et d'exportation

Pour récupérer des événements à partir d'un journal, utilisez qe . Par exemple, obtenez les 10 derniers événements du journal système:

 WEVTUTIL QE Système / Count: 10 / F: Texte

Options de mise en forme courantes:

• /f:text - Texte lisible par l'homme
• /f:xml - XML brut (utile pour les scripts)
• /f:renderedxml - inclut le texte du message rendu dans XML

Pour exporter l'intégralité du journal système vers un fichier .evtx :

 WEVTUTIL EPL SYSTEM C: \ Temp \ SystemLog.evtx

?? Assurez-vous que le répertoire cible (par exemple, C:\temp ) existe.

Vous pouvez également filtrer les événements à l'aide de requêtes XPath. Par exemple, obtenez des événements au niveau des erreurs du système:

 wevtutil QE System / Q: "* [Système / Niveau = 2]" / F: Texte> C: \ Temp \ errors.txt

• Niveau 1 = critique
• Niveau 2 = erreur
• Niveau 3 = avertissement
• Niveau 4 = Informations

4. Journaux effacer ou sauvegarde

Pour effacer un journal (par exemple, journal des applications):

 Application wevtutil cl

?? Ceci supprime en permanence tous les événements du journal. Utiliser avec prudence.

Pour archiver et enregistrer un journal avant de nettoyer:

 Application wevtutil EPL C: \ Backup \ Application_backup.evtx
Application wevtutil cl

Ceci est utile pour la conformité ou le débogage.

5. Advanced: Gestion des journaux distants

Vous pouvez utiliser wevtutil sur des machines distantes si vous avez des droits d'administration et que WinRM ou RPC activés.

Pour interroger les journaux sur un ordinateur distant:

 wevtutil el / r: Remotepc / u: domaine \ admin / p: mot de passe

Ou interroger les événements à distance:

 WEVTUTIL QE System / R: Remotepc / U: Admin / P: Pass123 / F: Texte

Remarque: l'accès à distance peut être bloqué par pare-feu ou politique de groupe. Utilisation /r avec des informations d'identification appropriées.

6. Conseils communs et gotchas

• Exécutez toujours l'invite de commande en tant qu'administrateur lors de la modification des journaux (en particulier le journal de sécurité).
• Utilisation /f:renderedxml Si vous avez besoin de texte de message dans XML exporté - Regular /f:xml peut n'inclure que les ID d'événement.
• Combinez avec findstr pour filtrer la sortie du texte:

   WEVTUTIL QE System / F: Texte | Findstr "erreur"

• Les fichiers .evtx exportés peuvent être ouverts dans l'événement Viewer en les faisant glisser dans la console.

---

Fondamentalement, wevtutil vous donne un contr?le scriptable et précis sur les journaux d'événements Windows - que vous auditez, au dépannage ou à l'automatisation de la maintenance des journaux. Ce n'est pas flashy, mais une fois que vous connaissez quelques commandes clés, c'est plus rapide et plus flexible que de cliquer sur l'interface graphique.

Ce qui précède est le contenu détaillé de. pour plus d'informations, suivez d'autres articles connexes sur le site Web de PHP en chinois!