이벤트 뷰어

3. 윈도우 이벤트 로그의 종류

윈도우 비스타에서 다시 쓰여진 이벤트 추적 및 로그 아키텍처가 도입되면서,^[11] 관리, 운영, 분석, 디버그 로그 유형을 포함한 수많은 종류의 이벤트 로그가 생겨났다. 범위 창틀에 있는 응용 프로그램 로그 노드를 선택하면 진단 로그의 이름을 가진 수많은 새로운 하위 분류의 이벤트 로그가 나타난다.

기본 로그에는 응용 프로그램 로그, 보안 로그, 시스템 로그가 있다. 자세한 내용은 #기본 로그 하위 섹션을 참고하면 된다.

윈도우 비스타 이후에는 설치 로그와 ForwardedEvents 로그가 추가되었다. 자세한 내용은 #추가 로그 (윈도우 비스타 이후) 하위 섹션을 참고하면 된다.

Windows 2000 이후부터는 응용 프로그램이 독자적으로 작성할 수 있는 "사용자 지정 로그"가 지원된다. 자세한 내용은 #사용자 지정 로그 하위 섹션을 참고하면 된다.

3. 1. 기본 로그

윈도우 2000에는 응용 프로그램이 자신만의 로그 소스를 만들 수 있는 기능이 추가되었다. 윈도우 서버 2003에서는 `AuthzInstallSecurityEventSource()` API 호출을 추가하여 응용 프로그램이 보안 이벤트 로그에 등록하고 보안 검사 항목을 기록할 수 있게 되었다.^[12]

3. 1. 1. 시스템 로그

3. 1. 2. 응용 프로그램 로그

3. 1. 3. 보안 로그

3. 2. 추가 로그 (윈도우 비스타 이후)

• 설치 로그 (환경에 따라 "Setup"이라는 이름으로 존재)
• ForwardedEvents 로그

3. 2. 1. 설치 로그

3. 2. 2. ForwardedEvents 로그

3. 3. 사용자 지정 로그

4. 명령 줄 인터페이스

윈도우 XP는 작업 자동화에 유용한 세 가지 명령 줄 인터페이스 도구를 도입했다.

• `eventquery.vbs` – 이벤트 로그를 기반으로 결과를 쿼리, 필터링 및 출력하는 공식 스크립트이다.^[4] XP 이후 단종되었다.
• `eventcreate` – 로그에 사용자 지정 이벤트를 넣는 명령이다. (Vista 및 7에서 지속됨).^[5]
• `eventtriggers` – 이벤트 기반 작업을 생성하는 명령이다.^[6] XP 이후 단종되었으며, "이 이벤트에 작업 연결" 기능으로 대체되었다. 즉, 이벤트 목록 내에서 마우스 오른쪽 버튼 클릭하여 단일 이벤트를 선택하고 팝업 메뉴에서 해당 기능을 선택할 수 있다.

5. 고급 기능 (윈도우 비스타 이후)

윈도우 비스타에서 윈도우 이벤트 로그는 새롭게 작성된 이벤트 추적 및 로그 아키텍처를 기반으로 한다.^[11] 응용 프로그램이 이벤트를 더 정확하게 기록할 수 있도록 잘 정의되고 구조화된 XML 형식을 사용한다. 관리, 운영, 분석, 디버그 로그 등 다양한 유형의 이벤트 로그가 있다.

범위 창에서 응용 프로그램 로그 노드를 선택하면 진단 로그 이름을 가진 여러 하위 분류 이벤트 로그가 나타난다. 윈도우 비스타 또는 윈도우 서버 2008을 실행하는 다른 시스템으로 이벤트 로그를 자동으로 이동하도록 설정할 수 있다. 또한 원격으로 다른 컴퓨터에서 이벤트 로그를 감시하거나, 여러 이벤트 로그를 중앙 집중식으로 기록하여 한 대의 컴퓨터에서 관리할 수 있다.

이벤트 로그는 하나 이상의 기준이나 표준 XPath 형식에 따라 보고자 하는 부분만 표시되도록 분류할 수 있으며, 사용자 정의 보기를 사용할 수 있다. 이러한 고급 필터는 특정 하부 시스템이나 구성 요소와 관련된 문제 추적 로그를 보는 데 도움을 준다. 이벤트는 재설계된 작업 스케줄러에서 실행되는 작업과 연동할 수 있으며, 이벤트 ID, 단계, 작업, 연산 부호, 키워드 속성을 포함하여 이벤트 특성이 더욱 자세히 표시된다.

5. 1. XPath 1.0을 사용한 필터링

주의 사항:

• Microsoft의 XPath 구현에는 [http://msdn.microsoft.com/en-us/library/dd996910%28VS.85%29.aspx#limitations 제한 사항]이 있다.^[7]
• XPath 문자열 함수를 사용하는 쿼리는 오류를 발생시킨다.^[8]

5. 2. 이벤트 구독

6. 이벤트 뷰어

윈도우 이벤트 로그는 이벤트 추적 및 로그 아키텍처로, 윈도우 비스타에 도입되었다.^[11] 윈도우 이벤트 로그는 잘 정의되고 구조화된 XML 포맷을 기반으로 다시 쓰여져서 응용 프로그램들이 이벤트를 더 정확하게 기록할 수 있게 하였다. 관리, 운영, 분석, 디버그 로그 유형을 포함한 수많은 여러 종류의 이벤트 로그가 있다.

범위 창틀에 있는 응용 프로그램 로그 노드를 선택하면 진단 로그의 이름을 가진 수많은 새로운 하위 분류의 이벤트 로그가 나타난다. 이벤트 로그는 윈도우 비스타 또는 윈도우 서버 2008을 실행하여 다른 시스템에 자동으로 이동되도록 설정할 수 있다. 이벤트 로그는 또한 원격으로 다른 컴퓨터에서 감시 받을 수 있고, 아니면 여러 개의 이벤트 로그가 집중적으로 기록되어 한 대의 컴퓨터로부터 관리를 받을 수도 있다. 이벤트 로그는 하나 이상의 기준이나 표준 XPath 양식에 따라 보고자 하는 부분만 표시되도록 분류할 수 있으며, 하나 이상의 이벤트에 사용자 정의 보기를 사용할 수 있다. 이러한 분류나 고급 필터는 특정한 하부 시스템이나, 특정한 구성 요소와 기술 지원을 위한 추적에 대한 문제에 관련된 로그를 볼 수 있도록 도와 준다. 이벤트는 또한 직접 다시 설계된 작업 스케줄러에서 실행되는 작업과 연동할 수 있다. 이벤트 특성은 또한 더욱 자세히 표시되며 이벤트 ID, 단계, 작업, 연산 부호, 키워드 속성을 보여 준다.

윈도우 NT는 1993년 출시 이후 이벤트 로그 기능을 갖추고 있다. 이벤트 뷰어는 이벤트 ID를 사용하여 윈도우 컴퓨터가 겪을 수 있는 고유하게 식별 가능한 이벤트를 정의한다. 예를 들어, 사용자의 인증이 실패하면 시스템은 이벤트 ID 672를 생성할 수 있다.

윈도우 NT 4.0은 "이벤트 소스"(즉, 이벤트를 생성한 애플리케이션)를 정의하고 로그를 백업하는 기능을 추가했다. 윈도우 2000은 애플리케이션이 시스템에서 정의된 "시스템", "애플리케이션", "보안" 로그 파일 외에 자체 로그 소스를 만들 수 있는 기능을 추가했다. 윈도우 2000은 또한 NT4의 이벤트 뷰어를 마이크로소프트 관리 콘솔(MMC) 스냅인으로 대체했다. 윈도우 서버 2003은 AuthzInstallSecurityEventSource() API 호출을 추가하여 애플리케이션이 보안 이벤트 로그에 등록하고 보안 감사 항목을 기록할 수 있도록 했다.^[3]

윈도우 NT 6.0 커널 기반의 윈도우 버전(윈도우 비스타 및 윈도우 서버 2008)은 더 이상 총 크기에 300MB 제한이 없다. NT 6.0 이전에는 시스템이 온디스크 파일을 커널 메모리 공간에서 메모리 매핑 파일로 열었으며, 이는 다른 커널 구성 요소와 동일한 메모리 풀을 사용했다.

이벤트 뷰어 로그 파일은 일반적으로 파일 확장자 evtx를 사용하며, C:\Windows\System32\winevt\Logs\와 같은 디렉토리에 나타난다. Windows가 시스템 내에서 발생한 사건(이벤트)을 기록하는 "이벤트 로그"를 참조하기 위한 소프트웨어이다. 이벤트 로그에는 애플리케이션 설치, 서비스 시작 및 중지, 애플리케이션의 비정상 종료, 하드웨어 장애 감지 등의 정보가 기록되며, 시스템 사용자는 이벤트 뷰어를 사용하여 이러한 정보를 참조할 수 있다. 이벤트 뷰어는 이벤트 로그의 내용을 확인하는 것 외에도 특정 유형의 이벤트만 추출하여 표시하거나 이벤트 로그의 유지 관리 방법을 변경하는 기능도 가지고 있다.

참조

_[1] 웹사이트 New tools for Event Management in Windows Vista http://www.microsoft[...] Microsoft 2006-11
_[2] 뉴스 "I am calling you from Windows": A tech support scammer dials Ars Technica https://arstechnica.[...] 2012-10-04
_[3] 웹사이트 AuthzInstallSecurityEventSource Function http://msdn2.microso[...] Microsoft 2007-10-05
_[4] 웹사이트 Eventquery.vbs https://docs.microso[...]
_[5] 웹사이트 Eventcreate https://docs.microso[...]
_[6] 웹사이트 Eventtriggers https://docs.microso[...]
_[7] 웹사이트 Microsoft's Implementation and Limitations of XPath 1.0 in Windows Event Log http://msdn.microsof[...] Microsoft 2009-08-07
_[8] 웹사이트 Powershell script to filter events using an Xpath query http://www.open-a-so[...] 2011-09-20
_[9] 문서 Windows 7 以降の Windows に付属するものは、マイクロソフトの長音表記の変更に伴い「イベント ビューアー」と表記される。
_[10] 웹사이트 カスタム イベント ログの作成と削除 http://msdn.microsof[...] マイクロソフト 2012-12-22
_[11] 웹인용 New tools for Event Management in Windows Vista http://www.microsoft[...] 2007-12-24
_[12] 웹인용 AuthzInstallSecurityEventSource Function http://msdn2.microso[...] 2007-10-05