系统日志
系统日志管理规范
系统日志管理规范随着信息技术的快速发展，计算机系统在我们的生活中扮演着越来越重要的角色。
系统日志是计算机系统中最重要的信息源之一，它可以记录系统操作和故障检测信息。
系统管理员需要了解如何有效地管理系统日志，以便及时发现和解决问题。
本文将探讨如何规范管理系统日志。
一、日志管理的具体操作1.日志收集日志收集是指收集应用程序、操作系统和网络设备等产生的日志信息。
日志信息应该包含时间、事件类型、事件级别、事件描述和事件源等信息。
为了方便管理，日志应该分类存储。
2.日志筛选日志筛选是指根据需要选择出有价值的日志信息。
通常来说，我们只需要关注一些比较重要的事件，而忽略一些不重要的事件。
日志筛选需要根据实际情况进行选择，以便更好地排查问题。
3.日志分析日志分析是指对已经筛选出来的日志信息进行统计和分析。
通过日志分析，我们可以发现一些隐藏的问题，帮助我们快速发现并解决系统问题。
4.日志报警日志报警是指对一些重要的事件进行实时监测和报警。
通过设置报警规则，可以在出现异常情况时及时通知管理员，以便及时处理问题。
二、系统日志管理规范的制定制定系统日志管理规范是系统管理的基础之一。
在制定规范时，需要考虑以下原则：1.合理性原则规范应该切合实际，符合系统的实际情况和工作要求，不能制定严苛的规定。
2.可操作性原则规范应该具有可操作性，即规定的内容应该能够操作实现。
不能脱离实际情况，背离用户需求。
3.适应性原则规范应该具有适应性，即充分考虑用户的不同需求和系统特点。
4.可维护性原则规范应该具有可维护性，即规范的内容应该能够长期有效，必要时需要进行修改和维护。
三、常见问题与解决办法1.日志过大当日志过大时会占用系统资源，降低系统性能。
解决办法是设置日志自动轮换，定期清理过期日志。
2.日志缺失当日志缺失时，会造成难以检查用户操作、排除故障和追查安全问题等不良后果。
解决办法是设置自动备份和手动备份，以便在需要时快速恢复。
3.日志不安全当日志不安全时，会泄露重要数据，对系统安全造成威胁。
如何清理电脑上的系统日志和错误报告
如何清理电脑上的系统日志和错误报告随着时间的推移，我们的电脑上累积了大量的系统日志和错误报告。
这些日志和报告不仅占用了宝贵的存储空间，还可能影响电脑的性能和稳定性。
因此，清理电脑上的系统日志和错误报告变得非常重要。
本文将介绍几种清理电脑系统日志和错误报告的有效方法。
一、查找系统日志和错误报告的位置在开始清理之前，首先需要知道电脑上系统日志和错误报告的存储位置。
在大多数Windows操作系统中，系统日志和错误报告通常存储在以下位置：1. C:\Windows\System32\winevt\Logs：这个文件夹包含了Windows事件日志。
其中，Application.evtx是应用程序事件日志，System.evtx是系统事件日志，Security.evtx是安全事件日志。
2. C:\Windows\Logs：这个文件夹包含了许多Windows日志文件，如CBS目录中的CBS.log文件，用于记录Windows更新操作；还有DISM目录中的DISM.log文件，用于记录系统映像和组件管理操作。
3. C:\Users\[用户名]\AppData\Local\Temp：这个位置是存储临时文件的目录，也可能会包含一些错误报告。
二、手动清理系统日志和错误报告清理系统日志和错误报告可以通过手动删除相关文件来完成。
但在进行这一操作之前，务必要备份重要的系统文件，以防误删。
1. 打开文件资源管理器，导航到各个存储位置，并删除不再需要的系统日志和错误报告文件。
可以按照日期进行排序，删除旧的文件，以释放存储空间。
2. 在C:\Windows\System32\winevt\Logs目录中，找到Application.evtx、System.evtx和Security.evtx文件，右击文件，选择“清除日志”。
3. 在C:\Windows\Logs目录中，找到要清理的日志文件，右击文件，选择“删除”。
4. 在C:\Users\[用户名]\AppData\Local\Temp目录中，找到临时文件和错误报告文件，删除不再需要的文件。
系统日志的管理
系统日志的管理系统日志的管理1、引言系统日志是记录系统运行状态、事件和错误的重要工具。
它能够帮助管理员追踪系统问题、诊断错误，并提供安全审计的依据。
本文档旨在向管理员介绍系统日志的管理方法，包括日志的、收集、存储、分析和保护等方面内容。
2、日志2.1、事件日志事件日志记录系统的事件、警告和错误信息。
管理员应该配置系统以事件日志，并确保日志级别适当，能够充分记录系统的运行情况。
2.2、安全日志安全日志用于记录与系统安全相关的信息，如登录失败记录、授权失败记录等。
管理员应该配置系统以安全日志，并根据需要定期检查和分析。
2.3、应用日志应用日志记录应用程序的运行状态和错误信息。
每个应用程序应该独立的应用日志，并按照一定的规范进行格式化和记录。
3、日志收集3.1、中央化收集为了方便管理和分析，管理员应该考虑将不同服务器上的日志集中到中央日志服务器。
可以使用日志收集工具，如Syslog、ELK 等，实现日志的自动收集和传输。
3.2、安全传输在将日志传输到中央服务器时，应该采用安全的传输协议，如SSH、TLS等，以确保传输过程中的机密性和完整性。
此外，管理员还应该定期检查日志传输的可用性和稳定性。
4、日志存储4.1、存储介质管理员应该选择可靠的存储介质来存储日志数据，如磁盘阵列、网络存储等。
并根据系统的需求和日志的容量进行适当的规划和扩展。
4.2、存储周期日志的存储周期应该根据系统需求以及法律、合规等要求来确定。
管理员可以设置日志的保留时间，并定期清理过期的日志。
同时，还应该备份重要的日志数据，以防止数据丢失或损坏。
5、日志分析5.1、日志分析工具管理员可以使用各种日志分析工具来对系统日志进行分析，以发现潜在的问题和安全风险。
常用的日志分析工具包括Splunk、Logstash、Elasticsearch等。
5.2、报表和警报根据系统的需求，管理员可以配置日志分析工具报表和警报，以便及时发现和处理异常事件。
系统日志安全要求包括什么
系统日志安全要求包括什么随着互联网的快速发展和网络安全的重要性日益凸显，越来越多的企业和组织意识到系统日志安全的重要性。
系统日志是指记录系统各种操作行为、运行状态和异常情况等信息的记录文件，是系统安全管理的基础。
本文将从系统日志安全的角度，分析系统日志安全需要包含哪些要求。
实时监控对于系统日志，实时监控是保证系统安全的重要环节。
实时监控系统日志可以快速发现异常行为和潜在威胁，并及时采取相应措施加以处理。
因此，在系统日志安全方面，要求必须包括实时监控，及时发现问题并解决。
安全访问控制系统日志中可能含有敏感的信息，如用户账号、密码、IP地址等，因此，系统管理员需要对系统日志进行安全访问控制。
安全访问控制包括权限控制、加密传输和备份存储等方面，确保非授权用户无法访问到系统日志，同时保证了系统日志的保密性和完整性。
安全传输系统日志的安全传输也非常重要。
在日志传输过程中，可能涉及到多个环节的传输，如服务器到存储设备、存储设备到备份设备等，一旦在传输过程中被窃取或篡改，就会给系统带来极大的安全威胁。
因此，在系统日志安全方面，要求必须包括安全传输，以确保日志信息的完整性和保密性。
数据备份为了应对可能存在的日志数据丢失、系统出现故障等情况，在系统日志安全中要求必须包括数据备份。
数据备份可以最大程度地减小数据丢失带来的影响，保障系统运行时的数据安全和稳定性。
安全存储存储是系统日志安全的核心环节，也是安全管理的最重要保障。
需要建立起安全可靠的存储环境，以确保系统日志的完整性、可用性和一致性。
此外，还要针对不同的存储介质，采用不同的安全策略进行管理与维护。
日志分析日志分析是对系统日志进行深度挖掘和分析，可以发现更多的异常事件和威胁，从而全面提升系统安全性。
了解异常事件和威胁与日俱增，日志分析是保障系统安全的重要保障。
综上所述，系统日志安全要求包括实时监控、安全访问控制、安全传输、数据备份、安全存储和日志分析等方面，这些要求可以帮助组织保护系统安全，预防和应对潜在的威胁。
系统日志 和 业务日志 审计日志
系统日志和业务日志审计日
志
系统日志、业务日志和审计日志是不同类型的日志，各自有其特点和
用途。
系统日志，主要记录了系统所指定对象的某些操作和其操作结果按时
间有序的集合。
这些日志文件通常包含时间戳和特定系统事件的信息，如服务器、工作站、防火墙和应用软件等IT资源的活动记录。
系统日
志对于监控系统资源、审计用户行为、对可疑行为进行告警、确定入
侵行为的范围、为恢复系统提供帮助、生成调查报告以及为打击计算
机犯罪提供证据来源等方面至关重要。
业务日志主要记录了与业务活动相关的信息。
例如，审计工作日志详
细记录了审计员的工作内容，包括他们的工作流程、任务分配、审计
结果等。
这些日志可以帮助企业了解业务操作的执行情况，监控业务
流程的合规性，以及为未来的业务决策提供数据支持。
审计日志是详细记录审计活动的文档，包括审计员的活动、审计对象
的操作和审计结果等。
审计日志可以提供对审计活动的全面记录，有
助于监控和评估审计过程的合规性和有效性。
此外，它们还可以为未
来审计活动提供参考信息，并在出现问题时提供证据。
总结来说，系统日志、业务日志和审计日志在各自的领域内都有重要的作用。
它们能够提供操作记录，以供后续的监控、分析和问题解决使用。
Windows CMD命令行中的系统日志和事件监控技巧
Windows CMD命令行中的系统日志和事件监控技巧在Windows操作系统中，CMD命令行是一个非常强大的工具，它可以帮助我们进行各种系统日志和事件的监控和分析。
本文将介绍一些常用的CMD命令行技巧，帮助读者更好地利用CMD命令行进行系统日志和事件的监控。
一、查看系统日志系统日志是记录了操作系统的各种事件和错误信息的地方，通过查看系统日志，我们可以了解系统的运行状况和可能存在的问题。
在CMD命令行中，可以使用以下命令来查看系统日志：1. eventvwr：打开系统事件查看器，可以查看系统日志、应用程序日志、安全日志等不同类型的日志。
2. wevtutil qe <日志名称>：查看指定名称的日志，例如wevtutil qe system可以查看系统日志。
3. wevtutil el：列出所有可用的日志名称，方便查找需要的日志。
通过以上命令，我们可以方便地查看系统日志，并根据日志中的信息来分析和解决问题。
二、监控系统事件除了查看已有的系统日志外，CMD命令行还可以帮助我们监控系统事件的实时情况。
以下是一些常用的命令：1. tasklist：列出当前正在运行的进程，可以通过查看进程列表来监控系统的运行情况。
2. netstat：显示网络连接和监听端口的信息，可以通过netstat命令来监控网络连接状态。
3. perfmon：打开性能监视器，可以实时监控系统的各项性能指标，如CPU使用率、内存使用情况等。
通过以上命令，我们可以实时监控系统的运行情况和各项性能指标，及时发现并解决可能存在的问题。
三、分析系统日志和事件除了查看和监控系统日志和事件外，CMD命令行还可以帮助我们对系统日志和事件进行进一步的分析。
以下是一些常用的命令：1. findstr：在文本文件中查找指定的字符串，可以通过findstr命令来搜索系统日志中的关键字，以便找到相关的事件。
2. gpresult：显示当前用户或计算机的组策略信息，可以通过gpresult命令来查看组策略是否生效以及相关的错误信息。
系统日志在哪里
系统⽇志在哪⾥ 系统是记录系统中硬件、软件和系统问题的信息，同时还可以监视系统中发⽣的事件。
⽤户可以通过它来检查错误发⽣的原因，或者寻找受到攻击时攻击者留下的痕迹。
查看系统⽇志⽅法:开始→设置→控制⾯板→管理⼯具中找到的“事件查看器”， 或者在【开始】→【运⾏】→输⼊ eventvwr.msc 也可以直接进⼊“事件查看器” 在“事件查看器”当中的系统⽇志中包含了windows XP 系统组建记录的事件，在启动过程中加载驱动程序和其他⼀些系统组建的成功与否都记录在系统⽇志当中。
具体信息 本段例如可以利⽤eventlog事件来查看计算机开关机的记录： 在【事件查看器】窗⼝，在左侧的窗格当中选择【系统】选项，单击右键【属性】菜单项 之后在弹出来的【属性】对话框当中切换到【筛选】选项卡，在【事件来源】下拉列表框中找到“evenlog之后【确定】，此时就可以看见该事件的⽇志信息了! 其中事件ID 6006 ID6005、 ID 6009就表⽰不同状态的机器的情况(开关机)。
6005 信息 EventLog 事件⽇志服务已启动。
(开机) 6006 信息 EventLog 事件⽇志服务已停⽌。
(关机) 6009 信息 EventLog 按ctrl、alt、delete键(⾮正常)关机 如何查看系统⽇志(以windows2003server为例) 查看Windows2003系统⽇志的办法 Windows⽇志⽂件记录着Windows系统运⾏的每⼀个细节，对Windows的稳定运⾏起着⾄关重要的作⽤。
通过查看服务器中的Windows⽇志，管理员可以及时找出服务器出现故障的原因。
⼀般情况下，⽹管都是在本地查看⽇志记录，由于⽬前的局域⽹规模都⽐较⼤，因此⽹管不可能每天都呆在服务器旁。
⼀旦远离服务器，⽹管 就很难及时了解到服务器系统的运⾏状况，维护⼯作便会受到影响。
现在，利⽤Windows Server 2003(简称Windows 2003)提供的Web访问接⼝功能就可解决这个问题，让⽹管能够远程查看Windows 2003服务器的⽇志记录。
系统日志的管理
常用的日志文件
boot: 记录系统启动日志 cron: 记录守护进程crond的日志
lastlog: 记录最近几次成功登录的事件和最后一次不成功的登
常见的日志文件 录 messages: 从syslog中记录信息（有的链接到syslog文件）
sudolog: 记录使用sudo发出的命令 sulog: 记录使用su命令的使用
■ 系统管理员应该定期地对日志文件进行检查, 以发现潜在的问题, 并在这 些问题变得棘手之前解决
■ 通过对日志文件的定期检查, 管理员会逐渐熟悉在日志文件中, 哪些代表 了正常行为、哪些代表发生了预期外的事件
转储日志文件
■ 清除旧日志文件, 腾出磁盘空间存储新的日志信息 ■ 压缩日志文件, 并将其存储在日志存档介质中,
none 通常调试程序时用, 指示带有none级别的类型产生 的信息无需送出。如*.debug;mail.none表示调试时除邮件 外其它
日志文件syslog.conf
//将info或更高级别的消息送到/var/log/messages, 除了mail以外。 //其中*是通配符, 代表任何设备；none表示不对任何级别的信息进行记录。 *.info;mail.none;authpriv.none /var/log/messages //将authpirv设备的任何级别的信息记录到/var/log/secure文件中, 这主要是一些和使 用相关的信息。 authpriv.* /var/log/secure //将mail设备中的任何级别的信息记录到/var/log/maillog文件中, 这主要是和电子邮相 关的信息。 mail.* /var/log/maillog //将cron设备中的任何级别的信息记录到/var/log/cron文件中, 这主要是和系统中定执 行的任务相关的信息。 cron.* /var/log/cron //将任何设备的emerg级别的信息发送给所有正在系统上的用户。 *.emerg * //将uucp和news设备的crit级别的信息记录到/var/log/spooler文件中。 uucp,news.crit /var/log/spooler //将和系统启动相关的信息记录到/var/log/boot.log文件中。 local7.* /var/log/boot.log
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
使用事件查看器
利用“事件查看器”这个系统维护工具，用户可以通过使用事件日志，收集有关硬件、软件、系统问题方面的信息，并监视中文版Windows XP安全事件，将Windows和其他应用程序运行中错误事件记录下来，便于用户诊断和纠正可能发生的系统错误和问题。14.4.1事件查看器当用户需要查看工作日志时，可进行以下的操作步骤：（1）单击“开始”按钮，选择“控制面板”命令，在打开的“控制面板”窗口单击“管理工具”图标，然后在“管理工具”窗口中双击“事件查看器”图标，这时就可以打开“事件查看器”窗口。（2）在“事件查看器”窗口中包括三种类型的日志记录事件：·应用程序日志：记录应用程序或一般程序的事件。·安全性日志：可以记录例如有效和无效的登录尝试等安全事件，以及与资源使用有关的事件。例如创建、打开或删除文件以及有关设置的修改。·系统日志：包含由Windows XP系统组件记录的事件，例如，在系统日志中记录启动期间要加载的驱动程序或其他系统组件的故障。（3）事件查看器显示以下事件类型：·信息：描述应用程序、驱动程序或服务成功操作的事件，例如成功地加载网络驱动程序时会记录一个信息事件。·警告：不是非常重要但将来可能出现的问题事件。例如，如果磁盘空间较小，则会记录一个警告。·错误：重要的问题，如数据丢失或功能丧失。例如，如果在启动期间服务加载失败，则会记录错误。·成功审核：审核安全访问尝试成功。例如，将用户成功登录到系统上的尝试作为“成功审核”事件记录下来。·失败审核：审核安全访问尝试失败。例如，如果用户试图访问网络驱动器失败，该尝试就会作为“失败审核”事件进行记录。（4）如果要查看某事件的详细内容，可先选中该项，双击打开“事件属性”对话框，在其中的“事件详细信息”选项组中列出了事件发生的时间及来源、类型等详细资料，如图14.13所示。14.4.2事件查看器在网络中的应用由于中文版Windows XP可以用于小型办公网络和家庭网络的组建，在网络应用过程中，网络中的计算机有时会出现故障，这时需要管理员查看这台机器的工作日志，以此来判断出现故障的原因。具体的操作步骤如下：（1）在“事件查看器（本地）”窗口中，右击“事件查看器（本地）”选项，会弹出一个快捷菜单，从中选择“连接到另一台计算机”命令，出现“选择计算机”对话框，在此用户可以选择需要这个管理单元管理的计算机，在“另一台计算机”文本框中输入要查看的工作站名，单击“确定”即可，如图14.14所示。（2）为了在众多的计算机中准确地找到出现故障的一台，最大限度地节省时间，可以单击“浏览”按钮，出现如图14.15所示的“选择计算机”对话框，可以在这里进行更为详细的条件限定，这样，就可以快速地找到出现故障的计算机，进行工作日志的查看。14.4.3事件查看器窗口在“事件查看器”窗口中，用户可以利用菜单栏中的菜单项方便地进行本地事件的查看，下面是其中简单而且实用的几项操作（以“应用程序”）为例：（1）在“操作”菜单中，用户可以根据需要进行工作日志文件的打开和保存，以及事件的清除等操作。（2）选择“操作”|“属性”或者“查看”|“筛选”命令，出现“应用程序属性”对话框，在“常规”选项卡中详细显示了“应用程序”的名称，创建、修改、访问时间，用户可以对最大日志以及达到极限后的处理方法进行设定，如果用户不再需要个性设置时，可以单击“还原为默认值”按钮，即可恢复到系统默认的设置，如图14.16所示。（3）选择“筛选器”选项卡，用户可以对日志中的事件进行筛选，用户可在“事件类型”选项组中进行复选框的选择，在“事件来源”“类别”下拉列表框中可设置筛选具体条件，还可进行时间限定。需要指出的是，筛选并不会对日志的具体内容产生影响，它只是改变了事件的显示方式，如图14.17所示。（4）在“查看”菜单中选择“添加|删除列”命令，弹出“添加|删除列”对话框，如果用户不需要在该窗口的详细列表中显示某选项时，可在“显示列”列表中先选中，然后单击“删除”按钮，即可删除该列的显示，这样会使画面看起来更简洁，如图14.18所示。（5）在“查看”菜单中选择“查找”命令，出现“在本地应用程序上查找”对话框，在此可设置好要查找的条件，可自行选择搜索方向，连续查找多个符合要求的事件，如图14.19所示。
我发现，我的电脑里的“事件查看器”里的“系统日志”中有好多的内容，有好多的错误和警告，我双击打开查看，根本看不懂，如何查看系统日志中的Hale Waihona Puke 容？提问者：老鼠香芋-助理二级
最佳答案
Windows系统的事件查看器是Windows 2000/XP中提供的一个系统安全监视工具。在事件查看器中，可以通过使用事件日志，收集有关硬件、软件、系统问题方面的信息，并监视Windows系统安全。它不但可以查看系统运行日志文件，而且还可以查看事件类型，使用事件日志来解决系统故障。在启动Windows 2000系统的同时，事件日志服务会自动启动，所有用户都可以查看应用程序日志和系统日志，但只有管理员才能访问安全日志。如何找到事件查看器？点击“开始→设置→控制面板”，点击“管理工具”。然后双击“事件查看器”。现在，你就可以看到事件查看器的界面了（图1）。图1（点击放大）事件查看器都记录什么信息？事件查看器根据来源将日志记录事件分为应用程序日志（Application）、安全日志（Security）和系统日志（System）。在左侧的类选择对话框中分别单击相应的日志即可打开进入浏览。应用程序日志包含由应用程序或一般程序记录的事件，主要记载程序运行方面的信息。安全日志可以记录有效和无效的登录尝试等安全事件以及与资源使用有关的事件，比如创建、打开或删除文件，启动时某个驱动程序加载失败。同时，管理员还可以指定在安全日志中记录的事件，比如如果启用了登录审核，那么系统登录尝试就记录在安全日志中。系统日志包含由Windows系统组件记录的事件。比如在系统日志中记录启动期间要加载的驱动程序或其他系统组件的故障。另外，事件查看器还按照类型将记录的事件划分为错误、警告和信息三种基本类型。错误:重要的问题，如数据丢失或功能丧失。例如在启动期间系统服务加载失败、磁盘检测错误等，这时系统就会自动记录错误。这种情况下必须要检查系统。警告:不是非常重要但将来可能出现问题的事件，比如磁盘剩余空间较小，或者未找到安装打印机等都会记录一个警告。这种情况下应该检查问题所在。信息:用于描述应用程序、驱动程序或服务成功操作的事件，比如加载网络驱动程序、成功地建立了一个网络连接等。有用的和有趣的就如同我们是一名要破案的警察一样，现在的资料只有一个日记本。那么，如何在这个日记本里找到线索或者提示呢？事件查看器就是系统的一本“日记”，不过系统的这本“日记”中的每一篇都有编号，我们就去找一些最重要的来看吧。在事件查看器界面中，点击“查看→筛选”，可以选择并根据“事件类型”、“事件ID”等进行筛选，快速找到自己想要的信息（如图2）。图26006号和6005号:当你正关闭计算机的时候，在事件查看器里ID号为6006的事件，这个事件的意思是:事件日志服务已停止（图3）。图3这意味着什么？很简单，如果你没有在当天的事件查看器中发现这个6006号事件，那么就表示计算机没有正常关机，可能是因为系统原因（例如蓝屏）或者直接按了电源键而没有执行正常的“开始”菜单中的“关机”程序。要知道，从Windows 95时代开始，我们就了解不正常关机可能会导致系统故障。当你启动系统的时候，事件查看器又记录了什么呢？这就是ID号为6005的事件。这个事件表明:事件日志服务已启动（图4）。图4下面让我们看一些错误类型的事件吧，看看我们能找出什么来。1007号，DHCP错误:这个错误一般出现在安装了双网卡的系统中。我们假定安装了两个网卡，其中一个用于局域网，另外一个连接到ADSL的调制解调器上。这时候，用于局域网的网卡使用的是一个静态的IP地址，而用于ADSL连接的网卡则是“自动获得IP地址”。这个错误指出，在网络中系统无法找到DHCP服务器，因此使用了一个内部的自动IP地址。由于安装了双网卡，这种情况也不会影响使用，因此这个错误信息可以不予考虑。但是，如果在使用了DHCP服务器的单位的电脑上出现这个错误，那你就需要仔细检查检查了。通过检查事件查看器里面的错误记录，可以确定自己的计算机是否被攻击。如果在某个时段出现比较多的警告信息。那么，你可要小心对待了。以上是从事件查看器里找故障，那么，如何根据故障在事件查看器里查找相应的信息呢？STOP故障从理论上讲，纯32位的Windows 2000是不会出现死机的，但是由于病毒或硬件以及硬件驱动程序不匹配等原因也会造成Windows 2000的崩溃，当Windows 2000出现死机时，显示器屏幕将变为蓝色，然后出现STOP故障提示信息。这就是我们常说的STOP故障。如果Windows 2000可以启动，可以打开“事件查看器”查看系统日志，确定导致故障的设备或驱动程序。如果不能启动计算机，可以使用“安全模式”或“最后一次正确的配置”启动计算机，然后删除或禁用新安装的附加程序或驱动程序。如果用“安全模式”启动不了计算机，可使用故障恢复控制台，禁用一些服务或者重新命名设备驱动程序、检修引导扇区或主引导记录等。如果想详细了解故障恢复控制台，可以参考2002年《电脑爱好者》第19期的《抓住末日前一秒:Windows的故障恢复控制台》一文。然后拆下新安装的硬件设备，检查Microsoft兼容硬件列表（HCL），确保所有的硬件和驱动程序都与Windows系统兼容，其中Hcl.txt在Windows 2000安装光盘的\Support文件夹中。另外，还可以访问微软官方技术支持站点/china/support，在搜索中输入STOP故障代码，比如出现的STOP消息为“stop:0x0000000A”，那么即可输入“stop0x0000000A”，按下回车键即可查出所出现的STOP问题的解决办法。如图5所示。图5（点击放大）事件查看器的维护与管理修改日志文件存放路径Windows系统日志默认情况下被保存在Windows系统文件夹中，有的时候，如果你打算修改日志文件存放路径，可以通过修改注册表的方法。（1）修改系统日志存放路径打开注册表编辑器，展开如下分支:HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\EventLog\System，然后双击右侧窗口中的File键值，打开字符串编辑器，系统默认的存放路径是%SystemRoot%\System32\Config\SysEvent.Evt，这时可以根据自己的需要设定新的存放路径，如图6所示。图6（2）修改应用程序日志存放路径打开注册表编辑器，展开如下分支:HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\EventLog\Application，双击并修改右侧窗口中的File键值即可，方法与前面介绍的相同。（3）修改安全日志存放路径打开注册表编辑器，展开如下分支:HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\EventLog\Security，双击并修改右侧窗口中的File键值。完成修改后，重新启动计算机即可使修改生效。管理事件查看器我们现在可以修改日志文件的保存路径了，那么是否可以对日志文件根据自己的需要进行相应的管理呢？（1）改变日志文件大小在事件查看器中，用鼠标右键单击“应用程序日志”，在弹出的快捷菜单中，选择“属性”命令，打开“应用程序日志”属性对话框，在“常规”选项卡的“最大日志文件大小”文本框中可指定新的日志文件大小。如果要使新设置生效，还需要单击“清除日志”命令按钮。如果要保留日志中的当前信息，当询问清除之前是否保存原始日志时，单击“是”按钮即可。（2）清除所有事件日志在控制台树中，首先单击要清除的日志，比如“应用程序日志”，然后在“操作”菜单上，单击“清除所有事件”命令，此时系统会提示是否保存当前日志，单击“是”按钮即可清除，否则将永远丢失当前事件记录，并开始记录新的事件。（3）保存日志文件在控制台树中，单击要存档的日志，比如“应用程序日志”，然后在“操作”菜单上，单击“另存日志文件”命令，在打开的对话框中输入文件名称，在“保存类型”中选择文件保存格式，并单击“保存”按钮。（4）删除与修复损坏的日志文件如果发现日志文件已经损坏，系统将经常出现故障和错误提示，可以首先将其删除，重新启动计算机后即可恢复。对于采用NTFS分区格式的系统，如果要删除日志文件，需要首先关闭事件检查器服务才行。在控制面板中双击“管理工具”图标，在打开的管理工具中，双击“服务”图标，在服务中选择“EventLog”服务，用鼠标右键单击此服务，在弹出的快捷菜单中选择“属性”命令，弹出“服务属性”对话框，在“启动类型”中设置其为“已禁用”选项，并单击“确定”按钮完成，如图7所示。重新启动计算机，然后将文件夹“%SystemRoot%\System32\Config”中的*.evt文件删除。完成后，再次启动事件检查器服务，并重新启动计算机即可恢复损坏的事件检查器文件了。对于使用FAT分区的文件系统，可以使用DOS启动盘启动计算机，然后将“%SystemRoot%\System32\Config”目录下的文件直接删除即可。图7