Windows Event Log Viewer Windows Event Log Viewer
4.5 · 828 投票

下载 Windows 事件日志查看器和监控软件

Windows 事件日志查看器和监控软件可打开本机的实时 Windows 日志和从其他电脑拷来的 .evtx 文件，解释每个事件 ID 的含义，并在您设置的规则被触发时发出提醒。

   
 免費下載
Windows 11 / 10免费试用，无需注册
Windows Event Log Viewer 屏幕截图.
服务器在凌晨三点重启，没有人知道原因。用户登录不了，却一口咬定密码没错。其实 Windows 早已把答案记了下来。SoftOrbits Windows 事件日志查看器打开事件日志，筛选出真正相关的事件，并用通俗的语言逐条解释。它既能读取您自己电脑上的实时日志，也能读取您所管理的计算机上的同类日志，还能读取从别人电脑上复制来的文件。

如何下载和使用 Windows 事件日志查看器和监控软件

安装程序.
1

安装程序

下载 Windows 事件日志查看器和监控软件并运行安装程序。无需注册帐户，也无需填写电子邮件地址。程序启动后是一个空窗口，左侧是本机的日志树，任何日志只需点击一下即可打开。

打开日志.
2

打开日志

选择本机上任意一个实时日志，或打开同事发来的 .evtx 文件。包含 34,215 条记录的日志不到半秒即可完成索引。包含 300,000 条记录的文件首次打开约需四秒；之后在其中跳转只需几毫秒。

把范围缩小到事故本身.
3

把范围缩小到事故本身

设置时间范围、级别、事件 ID 或帐户名。一分钟内就能验证三种猜测。事件 ID 输入框还支持范围和排除，例如 10,100-200!150。

先读懂，再盯住.
4

先读懂，再盯住

打开一个事件，内置参考资料会用通俗的语言解释它的代码和各个字段。为绝不能漏掉的事件创建一条规则，程序就会替您监控事件日志。下一次出现该事件时，即使您正在别的窗口工作，托盘中也会弹出通知。

读取走廊另一头那台电脑的日志.

读取走廊另一头那台电脑的日志

Windows 事件日志查看器和监控软件可通过网络读取其他计算机的事件日志。已连接的计算机与您自己的电脑显示在同一棵树中，任何日志只需点击一下即可打开。在域环境中，程序使用您当前登录的 Windows 帐户，不会询问密码。在其他环境中，只需输入一次用户名和密码。密码仅在程序运行期间保存在内存中，绝不会写入磁盘。连接使用 RPC，因此远程计算机的防火墙必须允许远程事件日志访问，这与事件查看器所需的规则相同。内置的网络扫描约四秒即可检查一个 /24 子网，并报告其 254 个地址中哪些有响应。

   
 免費下載

取证模式找回日志中已不存在的记录

每个 EVTX 块都以相同的八个字节开头，长度恰好为 65,536 字节。取证模式利用这一结构逐字节遍历文件、磁盘映像或整个驱动器，不依赖文件头，找到常规读取方式无法触及的块。它可以恢复日志被删除或轮换后残留在空闲空间中的记录，也能读取文件头已被破坏的日志。在一个文件头被清除的测试文件上，它在约一秒半内从 316 个块中恢复了 23,367 个事件。重复的块会被识别出来且只显示一次，因此扫描驱动器时不会把同一批事件显示三遍。在程序中，该功能位于"文件"菜单，名为"深度扫描丢失的事件"。

   
 免費下載

取证模式找回日志中已不存在的记录.
解释故障的那一行.

解释故障的那一行

Windows 事件日志查看器和监控软件在 49 ms 内把包含 34,232 条记录的系统日志缩小到符合筛选条件的 615 条。您可以立刻验证下一个想法。

   
 免費下載

事件 ID 41 终于说了人话

事件 ID 41 的如实翻译是"计算机未经正常关机就停止了运行"。日志本身从不这样说。Windows 把事件的文字说明保存在写入该事件的程序里，所以从另一台电脑拷来的日志通常只显示"找不到事件 ID 的描述"。我们的参考资料用平实的语言解释了 181 个事件。在我们用来测量的那台正常工作的 Windows 电脑上，这覆盖了日志的 94.6%。

   
 免費下載

事件 ID 41 终于说了人话.
在用户打电话之前，您就已经知道了.

在用户打电话之前，您就已经知道了

每十分钟一次的登录失败，在图表上看起来就像一次攻击。在这里，Windows 事件日志监控就是一条规则：这个事件 ID、这个日志、这个帐户。您工作时，程序持续读取日志，然后在托盘中显示通知。我们用 4625 测试的那条规则是被一次真实的登录失败触发的，而不是为了截图而人为植入的模拟事件。

   
 免費下載

打开内置查看器拒绝打开的日志

事件查看器遇到"事件日志文件已损坏 (1500)"就会放弃，而这往往只是文件头损坏，事件本身还在。取证模式跳过损坏的文件头，把记录提取出来。它还能打开从无法启动的电脑上复制来的文件。

   
 免費下載

打开内置查看器拒绝打开的日志.

两个日志，一条时间线

把应用程序和系统事件日志合并到一条时间线上并统一排序：57,609 个事件重新排序用时 16 ms。当多条记录带有相同的字段值时，可以顺着这条链追踪下去。在一个繁忙的应用程序日志上，这一操作在 43 ms 内把 23,321 行缩减为属于同一事故的 419 行。

现成的分类视图

十五个预设视图涵盖常见的查找需求：谁登录了、谁登录失败、计算机为何重启、新增的服务，以及磁盘和文件系统问题。选择其中一个，再用全日志文本搜索进一步缩小范围。

符合报告需要的导出

导出功能可生成用于统计数字的 CSV 和 Excel、用于事故报告的 HTML 和 PDF，还能把各行直接写入 MS SQL Server 表。23,317 行在 3.5 秒内写入完毕，行数与用另一个 SQL 客户端再次统计的结果一致。

明天打开，设置还在

工作区会保存选项卡、筛选器和列，下周您可以重新打开同一项调查。在相同条件下，两个选项卡恢复后分别包含 1,978 和 4,604 个事件。快照则把选中的内容本身固定下来，其中的内容以后不会再变动。

事件日志分析视图

摘要视图按来源、代码或日期对日志分组，您不必阅读任何记录，就能看出昨天的大部分错误都来自同一个驱动程序。如果标准表格中缺少某个字段，可以把它添加为自定义列。

所有日志，无论实时还是磁盘上的

它可打开实时的应用程序、系统、安全和 Setup 日志，以及"应用程序和服务日志"下的全部内容。它还能打开文件，包括同事通过邮件发来的文件，以及 XP 和 Server 2003 电脑留下的旧版 .evt 文件。

Windows Event Log Viewer
Windows Event Log Viewer下载 Windows 事件日志查看器和监控软件，打开那个困扰了您整整一周的日志，弄清楚到底发生了什么。
 下载

谁需要 Windows 事件日志查看器和监控工具

IT 管理员

一个人要维持二十台电脑正常运转。文件服务器夜里重启时，事件 ID 1074 或 41 会告诉您答案，但找到它并拿给老板看要花十分钟。

服务台和 IT 外包

日志以附件的形式从客户那里发来，而您无法进入对方的网络。文件打开后，事件都附带解释，答案直接出自日志。

高级用户

您自己的电脑在游戏中途退出并自动重启，或者出现蓝屏。查看 6008 和 41，看看问题从什么时候开始，再检查此前刚发生了什么。

Windows Event Log Viewer
Windows Event Log Viewer
价格
从 ￥ 59.99 / 月
版本
3.2
文件尺寸
72 Mb
最近更新时间
15/09/26
System Requirements
  • Windows 11/10/8.1/8/7 (32/64 位)
  • Intel i3, AMD Ryzen 5 或以上
  • 4 GB 或以上内存
  • NVIDIA® GeForce® 系列 8 和 8M、Intel® HD Graphics 2000、Quadro FX 4800、Quadro FX 5600、AMD Radeon™ R600、Mobility Radeon™ HD 4330、Mobility FirePro™ 系列、Radeon™ R5 M230 或更高显卡，并具有最新驱动程序
  • 1280 × 768 屏幕分辨率，32 位色彩
  • 1 GB 或以上可用硬盘空间

常见问题

在 C:\\Windows\\System32\\winevt\\Logs 中。这就是 Windows 事件日志的存放位置，每个日志对应一个以其名称命名的 .evtx 文件。计算机无法启动时，可以用急救盘从该文件夹中取出文件，在另一台还能正常工作的电脑上查看。

可以在程序中打开文件，或者在设置好文件关联后在资源管理器中双击它。它读起来和本机日志一样，无需导入步骤，也无需在文件来源的计算机上安装任何东西。事件描述依然可见，而来自其他电脑的日志通常看不到这些描述。

EVTX 是 Windows 自 Vista 起使用的二进制日志格式。它按块写入，无法用文本编辑器阅读。较旧的 Windows XP 和 Server 2003 电脑写入的是 .evt 文件。这款日志文件查看器两种都能读取。

安全事件日志用事件 ID 4625 表示登录失败，用 4624 表示登录成功。请留意编号旁边的登录类型：类型 2 表示有人在键盘前操作，类型 3 表示网络登录，类型 10 表示远程桌面。当失败记录出现在凌晨四点时，这一点尤为重要。

这是一款附带查看器的事件日志监控软件。它读取您日常处理的计算机上的日志，并按照您设置的规则在您自己的电脑上发出警告。它运行时不需要采集服务器，也不需要代理程序。您可以打开一个日志，或者留一条规则盯着它。

先筛选，再导出。程序导出的是屏幕上显示的内容，而不是整个日志。如果数据需要在工单关闭后继续保留，可以把它写入 SQL 表，下个季度再在那里查询。

在放弃这个文件之前，先试试深度扫描。它直接查找记录本身，并把能找到的都还原出来。如果文件丢失了末尾部分，那部分事件就永久丢失了。请先复制损坏的文件，然后在副本上操作。

读取安全日志需要。这是 Windows 自身的要求。其他大多数日志用普通帐户即可打开。桌面上的 .evtx 文件不需要任何权限。

两者兼备。按来源和代码统计数量，把两个日志合并到一条时间线上，把相关记录串成一条链；当答案需要在工单关闭后继续保留时，还能把结果写入 SQL 表。

评价 Windows Event Log Viewer

  • Windows 7
  • Windows 8
  • Windows 10
  • Windows 11
作者: SoftOrbits (English)
4.5
平均评价: 4.5 从 828 投票
好
 免費下載

Risk-free download

progressive-webapps/apis/offline-first Created with Sketch.
100% offline
Your files never leave your PC
Safe & secure download
Directly from the official website
No sign-up required
No account or email to get started
Trusted since 2006
Desktop software for Windows