WevtUtil คืออะไร และวิธีใช้งานอย่างไร

WevtUtil.exe เป็นยูทิลิตี้บรรทัดคำสั่งในระบบปฏิบัติการ Windows ใช้หลักเพื่อลงทะเบียน Provider บนคอมพิวเตอร์ เครื่องมือนี้ตั้งอยู่ในโฟลเดอร์ %windir%\System32 คำสั่งนี้จำกัดเฉพาะสมาชิกของกลุ่ม Administrators และต้องรันด้วยสิทธิ์ผู้ดูแลระบบ ในโพสต์นี้ เราจะพูดถึงวิธีใช้เครื่องมือในตัวนี้ในคอมพิวเตอร์ Windows 11 หรือ Windows 10

C System32 WevtUtil exe คืออะไร?

กระบวนการที่รู้จักกันในชื่อ Windows Events Command Line Utility เป็นส่วนประกอบดั้งเดิมของระบบปฏิบัติการ Windows โดย Microsoft ไฟล์ wevtutil.exe ตั้งอยู่ในโฟลเดอร์ C:\Windows\System32 ขนาดไฟล์บน Windows 11/10 คือ 171,008 ไบต์ WevtUtil.exe เป็นไฟล์ระบบหลักของ Windows

WevtUtil คืออะไร และวิธีใช้งานอย่างไร

คำสั่ง WevtUtil.exe ช่วยให้คุณดึงข้อมูลเกี่ยวกับ event logs และ publishers ได้ คุณสามารถใช้คำสั่งเพื่อรับข้อมูลเมตาดेटาเกี่ยวกับ provider, เหตุการณ์ของมัน และช่องทางที่มันบันทึกเหตุการณ์ และสืบค้นเหตุการณ์จากช่องทางหรือไฟล์ log

ผู้ใช้คอมพิวเตอร์สามารถรันคำสั่ง WevtUtil สำหรับสิ่งต่อไปนี้:

• ดึงข้อมูลเกี่ยวกับ event logs และ publishers
• จัดเก็บ logs ในรูปแบบ self-contained
• แสดงรายการ logs ที่มีอยู่
• ติดตั้งและถอนการติดตั้ง event manifests
• รัน queries
• ส่งออกเหตุการณ์ (จาก event log, จากไฟล์ log, หรือใช้ structured query) ไปยังไฟล์ที่ระบุ
• ล้าง event logs

สำหรับข้อมูลการใช้งาน ให้ป้อน wevtutil /? ที่ command prompt

การใช้คำสั่ง WevtUtil

มา見てการใช้งานพื้นฐานของคำสั่ง WevtUtil บนระบบ Windows 11/10

กด Windows key + R พิมพ์ cmd และกด Enter เพื่อเปิด Command Prompt หรือเปิด Windows Terminal และเลือกโปรไฟล์ Command Prompt ใน CMD prompt ให้รันคำสั่งด้านล่างสำหรับงานที่เกี่ยวข้อง

หมายเหตุ: ตัวเลือกส่วนใหญ่สำหรับ WevtUtil ไม่คำนึงถึงตัวพิมพ์เล็ก/ใหญ่ แต่ built-in help คำนึงถึงตัวพิมพ์เล็ก/ใหญ่และต้องขอในตัวพิมพ์ใหญ่ ในการดึงข้อมูล event log คำสั่ง PowerShell Get-WinEvent ใช้งานง่ายกว่าและยืดหยุ่นกว่า

• แสดงชื่อของ logs ทั้งหมด:

wevtutil el

• แสดงข้อมูลการกำหนดค่าของ System log บนคอมพิวเตอร์ท้องถิ่นในรูปแบบ XML:

wevtutil gl System /f:xml

• ใช้ไฟล์การกำหนดค่าเพื่อตั้งค่าแอตทริบิวต์ event log (ดู Remarks สำหรับตัวอย่างไฟล์การกำหนดค่า):

wevtutil sl /c:config.xml

• แสดงข้อมูลเกี่ยวกับ Microsoft-Windows-Eventlog event publisher รวมถึง metadata เกี่ยวกับเหตุการณ์ที่ publisher สามารถยกได้:

wevtutil gp Microsoft-Windows-Eventlog /ge:true

• ติดตั้ง publishers และ logs จากไฟล์ manifest myManifest.xml:

wevtutil im myManifest.xml

• ถอนการติดตั้ง publishers และ logs จากไฟล์ manifest myManifest.xml:

wevtutil um myManifest.xml

• แสดงเหตุการณ์ล่าสุด 3 รายการจาก Application log ในรูปแบบ text:

wevtutil qe Application /c:3 /rd:true /f:text

• แสดงสถานะของ Application log:

wevtutil gli Application

• ส่งออกเหตุการณ์จาก System log ไปยัง C:\backup\system0506.evtx:

wevtutil epl System C:\backup\system0506.evtx

• ล้างทุกเหตุการณ์จาก Application log หลังจากบันทึกไว้ที่ C:\admin\backups\a10306.evtx:

wevtutil cl Application /bu:C:\admin\backups\a10306.evtx

• ล้างทุกเหตุการณ์จาก Application log:

wevtutil clear-log Application

• Parse ทุก Event log ที่ติดตั้งบนคอมพิวเตอร์และล้างทั้งหมด คุณสามารถสร้างไฟล์ batch ด้วย syntax ด้านล่างและรันไฟล์ .bat:

@echo off for /f "tokens=*" %%G in ('wevtutil.exe el') do (wevtutil.exe cl "%%G")

• ส่งออกเหตุการณ์จาก System log ไปยัง C:\backup\ss64.evtx:

wevtutil export-log System C:\backup\ss64.evtx

• แสดงรายการ event publishers บนคอมพิวเตอร์ปัจจุบัน:

wevtutil enum-publishers

• ถอนการติดตั้ง publishers และ logs จากไฟล์ manifest SS64.man:

wevtutil uninstall-manifest SS64.man

• เปิดใช้งาน event logs สำหรับ Task Scheduler:

wevtutil set-log "Microsoft-Windows-TaskScheduler/Operational" /e:true >null 2>&1

• แสดงเหตุการณ์ล่าสุด 50 รายการจาก Application log ในรูปแบบ text:

wevtutil qe Application /c:50 /rd:true /f:text

• ค้นหาเหตุการณ์ startup 20 รายการล่าสุดใน System log:

wevtutil query-events System /count:20 /rd:true /format:text /q:"Event[System[(EventID=12)]]"

คำสั่ง WevtUtil.exe สามารถควบคุมเกือบทุกแง่มุมของ Event Viewer และ Logs ซึ่งต้องการพารามิเตอร์และสวิตช์มากมายในการควบคุมรายละเอียดเหล่านี้ หากต้องการดูโครงสร้างหลักของ syntax สำหรับ WevtUtil.exe และเรียนรู้เพิ่มเติมเกี่ยวกับเครื่องมือดั้งเดิมนี้ โปรดดูเอกสารของ Microsoft

หวังว่าบทความนี้จะมีประโยชน์!

วิธีใช้ Windows logs

เพื่อเข้าถึง Event Viewer ใน Windows 11, Windows 10 และ Server ให้ทำดังนี้:

• คลิกขวาที่ปุ่ม Start
• เลือก Control Panel > System & Security
• ดับเบิลคลิก Administrative tools
• ดับเบิลคลิก Event Viewer
• เลือกประเภท logs ที่คุณต้องการตรวจสอบ (เช่น Application, System)

System logs แสดงอะไร?

ในคอมพิวเตอร์ Windows 11/10 system log (Syslog) มีบันทึกของเหตุการณ์ระบบปฏิบัติการ (OS) ที่ระบุว่ากระบวนการและไดรเวอร์ของระบบถูกโหลดอย่างไร Syslog แสดงเหตุการณ์ข้อมูล ข้อผิดพลาด และคำเตือนที่เกี่ยวข้องกับ OS ของคอมพิวเตอร์

สามารถลบไฟล์ log ได้หรือไม่?

โดยค่าเริ่มต้น DB ไม่ลบไฟล์ log ให้คุณ เพื่อเหตุผลนี้ ไฟล์ log ของ DB จะเติบโตจนกินพื้นที่ดิสก์มากเกินไป เพื่อป้องกันสิ่งนี้ คุณควรดำเนินการบริหารจัดการเป็นระยะเพื่อลบไฟล์ log ที่ไม่ได้ใช้งานโดยแอปพลิเคชันของคุณอีกต่อไป คุณสามารถลบ application level log files ผ่าน System View > Database Properties > Enterprise View ขยายประเภทแอปพลิเคชัน Planning และแอปพลิเคชันที่มีไฟล์ log ที่คุณต้องการลบ คลิกขวาที่แอปพลิเคชัน และเลือก Delete Log