Event Viewer açıldığında çok sayıda kırmızı kayıt görmek, hepsinin mevcut arızayla ilişkili olduğu anlamına gelmez. İncelemenin başlangıç noktası, kullanıcının yaşadığı belirtinin zamanı ve kapsamı olmalı. “Uygulama açılmıyor” yerine “aynı uygulama iki bilgisayarda, bugün ilk oturumdan sonra kapanıyor” bilgisi çok daha iyi bir arama çerçevesi sağlar.
İlk notta cihaz adını, yerel saati, saat dilimini, kullanıcıya görünen hatayı ve son başarılı işlemi kaydedin. Birden fazla sunucunun kaydını karşılaştırıyorsanız saatlerinin uyumunu kontrol edin. Birkaç dakikalık kayma, olay sırasını yanlış yorumlamanıza neden olabilir.
Önce dar bir zaman aralığı seçin
PowerShell’in Get-WinEvent komutu, Windows olay günlüklerini sorgulamak için kullanılabilir. Aşağıdaki örnek son otuz dakikadaki System kayıtlarını okur:
$baslangic = (Get-Date).AddMinutes(-30)
Get-WinEvent -FilterHashtable @{
LogName = 'System'
StartTime = $baslangic
} -MaxEvents 200 |
Select-Object TimeCreated, ProviderName, Id, LevelDisplayName, Message
Bu sorgu günlükleri değiştirmez. Bazı kanalların okunması ek yetki gerektirebilir. Ayrıca 200 sınırı, yoğun bir sistemde bütün ilgili kayıtları göstermeyebilir; sonuçların kesildiğini düşünüyorsanız zaman aralığını daraltın veya sınırı kontrollü artırın. Desteklenen parametreleri Get-WinEvent başvurusundan doğrulayabilirsiniz.
Her olayı okuyup daha sonra filtrelemek yerine sorguda filtreleme yapmak büyük günlüklerde daha verimlidir. Microsoft’un FilterHashtable örnekleri, zaman, sağlayıcı ve olay kimliği filtrelerini açıklıyor. İlk sorgu sonuç vermiyorsa filtreleri tek tek ekleyerek hangi koşulun kayıtları elediğini bulun.
Olay kimliğini sağlayıcısıyla değerlendirin
Tek başına bir Event ID numarası yeterli bağlam sağlamaz. Sağlayıcı adı, kanal, mesaj ve olayın ayrıntıları beraber kaydedilmeli. İnternette aynı numarayla bulunan bir çözüm, farklı sağlayıcının olayına ait olabilir.
Hatanın hemen öncesindeki bilgilendirme ve uyarı kayıtlarını da inceleyin. Servis hesabıyla oturum açma sorunu, disk erişim hatası veya bir bağımlılığın durması, uygulama çökmesinden önce görünebilir. Yalnızca Error seviyesine filtre koymak bu bağlantıyı kaçırmanıza yol açabilir.
Aynı hatanın arızadan önce de düzenli oluşup oluşmadığını kontrol etmek faydalıdır. Eski ve sürekli bir kayıtla yeni başlayan bir kayıt farklı ağırlık taşır. Ancak önce meydana gelmiş olması tek başına neden olduğunu kanıtlamaz; ilişkiyi uygulama davranışı ve diğer kayıtlarla sınayın.
Kanıtı temizlemeden koruyun
Destek için olay dosyası gerekiyorsa Event Viewer’ın dışa aktarma özelliği veya uygun wevtutil export seçeneği kullanılabilir. wevtutil dokümanı, okuma, dışa aktarma ve temizleme işlemlerini ayrı tanımlar. Arıza incelemesi sırasında günlük temizleme komutlarını kullanmayın.
Dışa aktarılan dosyalar kullanıcı adları, cihaz adları, yollar veya uygulamanın kaydettiği hassas bilgiler içerebilir. Dosyayı yetkili, erişimi sınırlı bir konumda tutun; üçüncü tarafla paylaşılacak kapsamı kurum politikasına göre belirleyin.
Son notunuzda belirti, zaman aralığı, ilgili sağlayıcı ve olaylar, yapılan değişiklik ve doğrulama sonucu bulunsun. Böyle bir kayıt, yüzlerce satırlık ekran görüntüsünden daha hızlı okunur ve olay tekrarlandığında karşılaştırma için sağlam bir başlangıç sağlar.
Yorumlar (0)
Henüz onaylanmış yorum yok.