Trả lời nhanh: Mở bằng cách gõ tên trong ô tìm kiếm. Ba nhật ký cần biết: hệ thống cho lỗi phần cứng và driver, ứng dụng cho lỗi phần mềm, bảo mật cho việc đăng nhập. Đừng hoảng khi thấy nhiều cảnh báo, máy nào cũng có. Chỉ quan tâm các mục ở đúng thời điểm sự cố.
Windows ghi lại mọi thứ xảy ra, kể cả khi bạn không kịp nhìn. Bài này chỉ cách tìm đúng chỗ trong đống nhật ký đó.
- Ba nhật ký chính, mỗi cái cho một loại vấn đề.
- Lọc theo thời điểm sự cố, đừng đọc từ đầu tới cuối.
- Nhiều cảnh báo là bình thường, đừng cố sửa hết.
- Mục lỗi ngay trước lúc máy dừng là manh mối chính.
- Tạo chế độ xem tùy chỉnh để lần sau mở là thấy ngay.
Ba nhật ký cần biết
Event Viewer có rất nhiều mục nhưng chỉ ba cái đáng quan tâm với phần lớn sự cố.
Nhật ký hệ thống. Ghi việc của Windows và của phần cứng: driver nạp lỗi, thiết bị không hoạt động, dịch vụ không khởi động, máy dừng đột ngột.
Đây là nơi tìm khi máy màn hình xanh, khi thiết bị không chạy, khi máy khởi động chậm.
Nhật ký ứng dụng. Ghi việc của phần mềm: ứng dụng đóng đột ngột, lỗi khi chạy, cảnh báo từ phần mềm.
Đây là nơi tìm khi một phần mềm cụ thể hay treo hoặc tự tắt.
Nhật ký bảo mật. Ghi việc đăng nhập, đăng xuất, thay đổi quyền, truy cập tệp được giám sát.
Đây là nơi tìm khi nghi có người truy cập trái phép, hoặc khi cần biết ai đã đăng nhập vào máy lúc nào.
Ngoài ba cái đó, mục nhật ký ứng dụng và dịch vụ chứa nhật ký riêng của từng thành phần, hữu ích khi bạn đã biết vấn đề nằm ở đâu.
Cách tìm đúng chỗ
Đừng đọc từ đầu. Máy nào cũng có hàng nghìn mục. Bốn bước để thu hẹp.
- Xác định thời điểm sự cố. Càng chính xác càng tốt. Nếu không nhớ giờ, ít nhất nhớ được buổi nào.
- Mở nhật ký phù hợp theo phân loại ở phần trên.
- Lọc theo mức độ. Trong khung bên phải chọn lọc nhật ký hiện tại, tích mức nghiêm trọng và mức lỗi, bỏ mức thông tin. Việc này cắt bỏ chín mươi phần trăm số mục.
- Tìm tới đúng thời điểm và đọc các mục quanh đó, nhất là mục cuối cùng trước khi máy dừng.
Về việc đọc một mục: phần mô tả thường dài và kỹ thuật. Ba thứ cần lấy: tên nguồn, mã sự kiện, và dòng đầu của mô tả. Ba thứ đó đủ để tra thêm hoặc để báo cho người hỗ trợ.
Mẹo tiết kiệm thời gian: tạo một chế độ xem tùy chỉnh lọc sẵn theo tiêu chí bạn hay dùng. Lần sau chỉ cần mở nó thay vì lọc lại từ đầu.
Đừng cố sửa hết cảnh báo
Đây là bẫy phổ biến nhất với người mới dùng Event Viewer.
Mở ra thấy hàng trăm cảnh báo và lỗi, và phản xạ tự nhiên là nghĩ máy đang có vấn đề nghiêm trọng.
Sự thật: máy nào cũng vậy. Windows ghi lại rất nhiều thứ, và phần lớn cảnh báo là bình thường, không ảnh hưởng gì tới việc sử dụng.
Bốn loại cảnh báo phổ biến mà bạn nên bỏ qua:
- Cảnh báo về dịch vụ khởi động chậm hoặc không khởi động, với các dịch vụ không dùng tới.
- Lỗi liên quan tới thiết bị đã tháo ra khỏi máy.
- Cảnh báo lặp lại từ nhiều tháng trước trong khi máy vẫn chạy tốt.
- Lỗi từ phần mềm đã gỡ.
Nguyên tắc: chỉ quan tâm mục ở đúng thời điểm bạn gặp sự cố. Nếu máy chạy tốt mà nhật ký đầy cảnh báo, đó không phải vấn đề cần giải quyết.
Cảnh báo về các dịch vụ hứa dọn sạch nhật ký lỗi: chúng không sửa gì cả, chỉ xóa bản ghi. Việc đó vô nghĩa và làm mất manh mối khi cần chẩn đoán thật.
Bốn tình huống dùng thật
Một, tìm nguyên nhân màn hình xanh. Vào nhật ký hệ thống, lọc mức nghiêm trọng, tìm mục ở thời điểm máy dừng. Thường có một mục ghi lại mã lỗi, và các mục ngay trước đó cho biết thành phần nào có vấn đề.
Hai, tìm vì sao máy khởi động chậm. Vào nhật ký ứng dụng và dịch vụ, mục chẩn đoán hiệu năng. Ở đó ghi thời gian khởi động từng lần và chỉ rõ thành phần nào chậm hơn bình thường.
Ba, tìm vì sao máy tự khởi động lại. Nhật ký hệ thống có mục ghi lại việc máy tắt không đúng cách, và có mục ghi lại việc cập nhật khởi động lại theo lịch. Hai thứ đó phân biệt được máy tự khởi động vì lỗi hay vì cập nhật.
Bốn, xem ai đã đăng nhập. Nhật ký bảo mật ghi mọi lần đăng nhập thành công và thất bại, kèm tên tài khoản, thời gian và cách đăng nhập.
Nhiều lần đăng nhập thất bại liên tiếp là dấu hiệu đáng chú ý, có thể là ai đó đang dò mật khẩu, hoặc là một thiết bị đang thử mật khẩu cũ.
Với máy công ty
Bốn cách dùng ở quy mô nhiều máy.
- Thu thập nhật ký về một nơi. Windows có cơ chế chuyển tiếp sự kiện cho phép gom nhật ký của nhiều máy về một máy chủ. Khi đó bạn tìm được vấn đề chung thay vì đi từng máy.
- Đặt cảnh báo cho các sự kiện quan trọng, chẳng hạn máy dừng đột ngột hoặc nhiều lần đăng nhập thất bại.
- Tăng dung lượng nhật ký. Mặc định nhật ký có giới hạn kích thước và ghi đè mục cũ. Với máy cần điều tra sự cố, tăng dung lượng để giữ được lịch sử dài hơn.
- Đưa việc lấy nhật ký vào quy trình hỗ trợ. Khi người dùng báo lỗi, yêu cầu họ ghi lại thời điểm chính xác. Có thời điểm là tìm được nguyên nhân nhanh gấp nhiều lần.
Về quyền riêng tư: nhật ký bảo mật ghi lại hoạt động của người dùng. Với doanh nghiệp Việt Nam, việc giám sát nhân viên cần được thông báo rõ trong nội quy lao động, và việc thu thập dữ liệu cá nhân phải tuân thủ quy định về bảo vệ dữ liệu cá nhân hiện hành.
Bảng mã sự kiện đáng nhớ
| Mã | Nhật ký | Nghĩa |
|---|---|---|
| 41 | Hệ thống | Máy tắt đột ngột không qua quy trình tắt máy. Là dấu vết, không phải nguyên nhân. Tìm sự kiện ngay trước đó |
| 1001 | Hệ thống | Máy vừa dừng vì lỗi nghiêm trọng, có kèm mã dừng và bốn tham số |
| 6008 | Hệ thống | Lần tắt máy trước là bất thường |
| 7000, 7001 | Hệ thống | Một dịch vụ không khởi động được |
| 7011, 7031 | Hệ thống | Dịch vụ treo hoặc tự dừng bất thường |
| 11 | Hệ thống, nguồn disk | Lỗi phần cứng ổ đĩa. Xuất hiện lặp lại là ổ sắp hỏng |
| 51 | Hệ thống | Lỗi phân trang khi ghi vào ổ. Cũng là dấu hiệu ổ có vấn đề |
| 1000 | Ứng dụng | Một ứng dụng dừng đột ngột, có ghi tên tệp và mô đun gây lỗi |
| 1002 | Ứng dụng | Ứng dụng treo không phản hồi |
| 4625 | Bảo mật | Đăng nhập thất bại. Nhiều lần liên tiếp là dấu hiệu bị dò mật khẩu |
| 4624 | Bảo mật | Đăng nhập thành công, kèm loại đăng nhập và tài khoản |
| 4720, 4726 | Bảo mật | Tài khoản được tạo hoặc bị xóa |
Lọc nhanh bằng PowerShell, thay cho việc bấm chuột
# Moi loi va canh bao trong 24 gio qua, nhat ky he thong
Get-WinEvent -FilterHashtable @{LogName='System'; Level=1,2,3; StartTime=(Get-Date).AddDays(-1)} |
Select-Object TimeCreated, Id, ProviderName, Message | Format-List
# Cac lan may dung dot ngot
Get-WinEvent -FilterHashtable @{LogName='System'; Id=41,1001,6008} -MaxEvents 20 |
Format-Table TimeCreated, Id, ProviderName -AutoSize
# Dang nhap that bai, dem theo tai khoan
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625; StartTime=(Get-Date).AddDays(-7)} |
Group-Object {$_.Properties[5].Value} | Sort-Object Count -Descending |
Format-Table Count, Name -AutoSizeLệnh cuối trả lời câu hỏi có ai đang dò mật khẩu máy này không, và dò vào tài khoản nào. Trên máy chủ phơi ra internet, con số này thường lên tới hàng nghìn mỗi ngày.
Tạo chế độ xem tùy chỉnh để lần sau mở là thấy
- Trong Event Viewer, khung bên phải chọn Create Custom View.
- Khoảng thời gian: Last 24 hours. Mức: tích Critical và Error.
- Chọn By log, tích System và Application.
- Đặt tên, ví dụ "Loi 24h". Từ nay mở Event Viewer là bấm vào đó, khỏi lọc lại.
- Muốn dùng trên máy khác: chuột phải chế độ xem đó, Export Custom View, chép tệp XML sang máy kia rồi nhập vào.
Ba việc đáng làm với máy chủ và máy công ty
- Tăng kích thước nhật ký. Mặc định nhật ký bảo mật đầy rất nhanh trên máy chủ và các mục cũ bị ghi đè, nên khi cần điều tra thì đã mất. Chuột phải tên nhật ký, Properties, tăng lên 100 MB trở lên.
- Đặt cảnh báo tự động. Chuột phải một sự kiện, chọn Attach Task To This Event, cho nó gửi thư hoặc chạy kịch bản. Hợp với các mã 1001, 7031 và 4625.
- Gom nhật ký về một chỗ nếu công ty có từ mười máy chủ trở lên. Windows có sẵn cơ chế chuyển tiếp sự kiện, khỏi phải đăng nhập từng máy khi có sự cố.
Câu hỏi thường gặp
Nhật ký đầy lỗi có nghĩa là máy hỏng không
Không. Máy nào cũng có nhiều cảnh báo và lỗi trong nhật ký, phần lớn vô hại. Chỉ quan tâm các mục ở đúng thời điểm bạn gặp sự cố.
Xóa nhật ký có làm máy nhanh hơn không
Không. Nhật ký chiếm rất ít dung lượng và không ảnh hưởng hiệu năng. Xóa đi chỉ làm mất manh mối khi cần chẩn đoán.
Làm sao biết mã sự kiện nghĩa là gì
Tra mã sự kiện kèm tên nguồn trên tài liệu của Microsoft. Đừng tra mã đơn lẻ vì cùng một mã có ý nghĩa khác nhau ở các nguồn khác nhau.
Bản Windows 11 Home có Event Viewer không
Có, đầy đủ. Đây là công cụ hệ thống có trên mọi bản. Chỉ tính năng thu thập nhật ký tập trung từ nhiều máy mới cần môi trường doanh nghiệp.
