Решение задач по программированию

В системах с размером установленной памяти более 640 Кбайт возможны различные варианты использования последних 384 Кбайт из первого мегабайта физической памяти:

*память не используется;

*область (или часть ее) перемещается в конец дополнительной памяти;

*область (или часть ее) используется в качестве теневой (Shadow) памяти адаптеров и ROM BIOS.

Перемещение неиспользуемого остатка первого мегабайта в конец дополнительной памяти (разрешается установкой параметра Memory Relocation в CMOS Setup) возможно не всегда. Обычно такое перемещение становится невозможным, если хоть часть из этого кусочка используется в качестве теневой памяти.

Также перемещение может предлагаться лишь при небольших объемах установленной памяти, и на современных системных платах эта возможность почти не встречается. Поэтому не стоит удивляться сообщению об объеме памяти, обнаруженном тестом POST, в котором относительно установленного «не хватает» 384 Кбайт.

Иногда BIOS предлагает такое распределение памяти, при котором под стандартную память выделяются 512 Кбайт, а остальная память идет как расширенная. Пользу такого распределения оценить трудно. При этом вышесказанное про верхние 384 Кбайт становится справедливым для оставшихся 512 Кбайт, правда, на возможность их перемещения в конец дополнительной памяти ограничения будут мягче.

Острее всего проблема обеспечения доступности памяти стоит для приложений MS-DOS, исполняемых в среде этой системы. Обычно «битва» идет за килобайты стандартной памяти (conventional memory), доступной приложениям. Из 640 Кбайт после загрузки ОС и необходимых резидентных драйверов на долю приложений может остаться около 500 Кбайт, а то и меньше, что для ряда приложений неприемлемо. Несмотря на повсеместное внедрения ОС типа Windows 9х, интерес к запуску больших приложений MS-DOS (например, бухгалтерских программ, в том числе и принудительно распространяемых налоговыми органами, а также игр) сохраняется и поныне. Сообщение о нехватке памяти на компьютере с ОЗУ размером, например, 32 Мбайт для приложения, скромно просящего всего 590 Кбайт, неприятно удивляет неискушенных пользователей. Однако эта нехватка не фатальна, если правильно выбрать версию и способ загрузки ОС. Все программные настройки, влияющие на объем доступной памяти, кроются в файлах CONFIG.SYS и AUTOEXEC.BAT, размещенных в корневом каталоге загрузочного диска.

Понимая проблемы, возникающие в связи с использованием памяти различными процессорами, для DOS-приложений можно рекомендовать следующие версии MS-DOS, оптимальные по размеру свободной стандартной памяти:

*для компьютеров класса XT на процессорах 8086/88 - MS-DOS 3.30;

*для компьютеров класса AT на процессорах 80286 - MS-DOS 5.x;

*для компьютеров класса AT на процессорах 80386 и выше - MS-DOS 6.2x (правда, одно время встречались некачественные системные платы для 80386, на которых MS-DOS 6.2x отказывалась загружаться в НМА, хотя MS-DOS 5.x работала нормально).

Кроме MS-DOS, существуют и другие операционные системы реального режима, совместимые с MS-DOS (например, PC DOS, DR DOS, COMPAQ DOS). Каждая из них имеет свои преимущества и недостатки по сравнению с соответствующим поколением MS-DOS, но их обсуждение выходит за рамки данного пособия. Операционные системы (и оболочки) защищенного режима на компьютеры с процессором класса ниже 386 пытаться устанавливать почти бессмысленно. Система MS-DOS 3.3 (более ранние рассматривать не будем) загружалась целиком в стандартную память, но была довольно компактной и оставляла приемлемое место для приложений своего времени. Когда вышла MS-DOS версии 4 с более развитыми возможностями, появившимися ценой ее разрастания, многие приложения отказывались работать в ее среде именно из-за нехватки памяти, и эта версия ОС широкого распространения не получила. Более удачной стала версия 5, которая «научилась» использовать «высокую память» (НМЛ) на компьютерах с процессором 286 и выше, если таковая присутствовала. Для этого был введен специальный драйвер высокой памяти, и в файле CONFIG.SYS должны присутствовать строки:

DEVICE=[<path>]HIMEM.SYS (загрузка драйвера высокой памяти)

DOS=HIGH (указание на загрузку ОС в высокую память)

Конечно, в верхнюю память загружается не вся ОС - часть все-таки попадает и в стандартную память. Кроме того, в стандартную память загружаются и резидентные драйверы - например, русификаторы клавиатуры и экрана, драйвер мыши и т. п. Все они отрывают свой кусок от памяти, которую могли бы использовать приложения. На компьютерах с 32-разрядными процессорами (386 и выше), имеющих механизм страничной переадресации, появилась возможность использования «верхней памяти» (UMA) с помощью драйвера EMM386.EXE. Этот драйвер отыскивает в области UMA (A0000-FFFFFh) регионы, не занятые памятью устройств, и отображает их на области доступной дополнительной памяти. В эти регионы, нормально адресуемые процессором в реальном режиме, можно помещать модули операционной системы и загружаемые драйверы; их же могут использовать и приложения.

Для наиболее компактной загрузки MS-DOS версий 5 и выше (а также Windows 9х, которая может представляться как MS-DOS 7) в файле CONFIG.SYS должны быть следующие директивы:

DEVICE=[<path>]HIMEM.SYS (загрузка драйвера высокой памяти);

DEVICE=[<path>]EMM386.EXE (загрузка диспетчера расширенной памяти);

DOS=HIGH. UMB (указание на загрузку ОС в высокую и верхнюю память).

Резидентные драйверы (русификаторы клавиатуры, экрана и принтера, драйвер мыши) по умолчанию обычно загружаются в стандартную память. Если приложениям MS-DOS не хватает свободной памяти, то, по крайней мере, часть резидентных драйверов можно загрузить в верхнюю память UMA. Для драйверов, загружаемых из файла CONFIG.SYS, вместо команды DEVICE» следует использовать команду DEVICEHIGH [/L:n[,m]]=, которая попытается загрузить драйвер в n-регион UMB. Необязательный параметр m задает требуемый объем памяти (он может отличаться от размера файла с драйвером). Ключ загрузки /L вместе с параметрами n, m используется для ручной оптимизации памяти. Если драйверу требуется выделить несколько областей памяти, то они перечисляются в списке вида /L:nl[,ml]:n2[,m2][;...]. Для резидентных программ, загружаемых из файла AUTOEXEC.BAT, тем же целям служит команда LOADHIGH (LH) с аналогичными необязательными параметрами, задающими размер одной или нескольких областей UMA. Строка запуска будет иметь вид:

LH[/L:n[,m]] <путь\><файл>[<параметры>]

Посмотреть текущее положение свободных блоков памяти можно командой MEM/F из командной строки DOS/Windows. Чтобы не заниматься ручной оптимизацией памяти, в состав DOS/Windows введена диалоговая утилита MEMMAKER.EXE, которая за несколько этапов расставит требуемые команды в файлах CONFIG.SYS и AUTOEXEC.BAT. До ее запуска в этих файлах должны присутствовать ссылки на все необходимые драйверы и программы. Файл CONFIG.SYS должен начинаться с вышеприведенных трех строк (если не указать DOS=HIGH, утилита может «постесняться» использовать высокую память для загрузки DOS). Запуск нерезидентных приложений, а также оболочки типа Norton Commander из файла AUTOEXEC.BAT на время работы MEMMAKER следует отменить (MEMMAKER несколько раз перезагружает компьютер и автоматически запускается после отработки файла AUTOEXEC.BAT). При начальном запуске MEMMAKER спрашивает, требуется ли память EMS для приложений, и, если нет, то установит ключ NOEMS в строке запуска EMM386.

Для того чтобы в верхнюю память поместилось как можно больше модулей, ее следует оптимизировать. Оптимизация UMA подразумевает такое конфигурирование базовых адресов буферной и постоянной памяти адаптеров, при котором свободные области UMA получались бы максимально возможного размера. Нужно стремиться к плотному соединению областей UMA, занимаемых адаптерами. Тогда максимальный размер блоков UMB увеличится, и драйвер типа EMM386 сможет разместить в нем более крупные модули, что, в свою очередь, позволит освободить дополнительное место в остродефицитной стандартной памяти. Если на конфигурирование адаптеров не обращать внимания, то может оказаться, что два компьютера с одинаковым составом аппаратных средств и программным обеспечением будут после загрузки ОС иметь значительно различающиеся размеры стандартной памяти.

Многие адаптеры (контроллеры SCSI, адаптеры локальных сетей и др.) позволяют задавать адреса областей встроенных RAM и ROM, отображаемых в пространство памяти компьютера. Это позволяет разрешать (или, наоборот, создавать) конфликты использования UMA, а также оптимизировать использование ее блоков. При конфигурировании устанавливаемых адаптеров необходимо исключить перекрытия занимаемых адресов, поскольку из-за этого, скорее всего, ни одно из конфликтующих устройств работать не будет. Самый неприятный (трудно устранимый) конфликт возникает, если при конфигурировании какого-либо адаптера его память перекрывает буфер или BIOS графического адаптера. Если конфигурирование осуществляется джамперами, то вернуть нормальную конфигурацию труда не составит. А если адаптер конфигурируется только с помощью специальной утилиты, изменяющей содержимое его энергонезависимой памяти, то изменить его конфигурацию можно, лишь загрузив и выполнив соответствующую утилиту. Но при конфликте с графическим адаптером это сделать не так-то просто - в лучшем случае удастся загрузить компьютер со «слепым» экраном, а в худшем - POST откажется продолжать тестирование и загрузку, обнаружив ошибку графического адаптера и сообщив об этом попискиванием динамика. Но эта ситуация не так безнадежна: есть еще в природе графический адаптер MDA, у которого видеобуфер не совпадает по адресам с распространенными адаптерами EGA и VGA, а расширение BIOS у него отсутствует. Вставив неудачно сконфигурированную плату в компьютер с адаптером MDA (и, конечно, соответствующим монитором), можно утилитой задать правильную конфигурацию. Однако этот способ для новых компьютеров, не имеющих слотов шины ISA, уже непригоден.

Кроме занимаемого пространства, оптимизация использования UMA касается, как ни странно, и быстродействия. Для областей памяти адаптеров часто бывает полезным применение теневой памяти. Управление теневой памятью осуществляется через CMOS Setup для определенных областей. Поэтому, размещая конфигурируемые области памяти, иногда следует учитывать возможности задания границ теневой памяти в CMOS Setup. Необходимо помнить, что Shadow ROM блокирует запись, a Shadow RAM игнорирует возможность изменения со стороны адаптера затеняемой области памяти, что приведет к ошибкам при некорректном использовании теневой памяти. Для процессоров 386 и выше теневую память может организовать и драйвер EMM386, но этой его функцией пользуются редко.

Работу приложений в среде MS-DOS, в которой активно используется программный код BIOS, значительно ускоряет затенение ROM BIOS, как системной, так и BIOS графического адаптера и дискового контроллера. Для многозадачных ОС защищенного режима (Windows и др.) затенение ROM BIOS ускоряет только начальный процесс загрузки ОС, поскольку в рабочем режиме здесь в основном используются драйверы, загружаемые в ОЗУ.

Приложения ОС Windows пользуются виртуальной памятью, и никакие старые спецификации EMS и XMS им не нужны. Суммарный объем виртуальной памяти, доступной всем приложениям, определяется размером ОЗУ и файлов подкачки (их может быть и несколько). В Windows 9x размер файла подкачки изменяется динамически, по мере потребностей системы. Для того чтобы приложениям хватало памяти, на диске, несущем файл подкачки, должно быть достаточно свободного пространства (десятки и сотни мегабайт). Конечно же, важен и объем установленной физической памяти - ее малый объем может быть принципиальным ограничением на запуск ряда приложений или установку операционных систем. При малом объеме ОЗУ свопинг (подкачка страниц) будет слишком интенсивным, в результате чего скорость работы приложений существенно снижается (обращения к диску выполняются на несколько порядков медленнее, чем к ОЗУ). Приложения реального времени (например, аудио- и видеопроигрыватели и тем более кодеры) могут стать неработоспособными именно из-за малого объема ОЗУ. Поскольку файл подкачки изменяет свой размер в процессе работы, важно следить за фрагментацией диска, несущего этот файл - обращение к фрагментированному файлу выполняется медленнее, чем к нефрагментированному. При выборе диска для размещения файла подкачки следует учитывать его быстродействие - время доступа и скорость передачи данных. При использовании приложений реального времени, интенсивно обменивающихся с дисками (те же проигрыватели и кодеры, а также программы, записывающие компакт-диски), по возможности файл подкачки следует размещать на других дисках.

Если на компьютере под управлением ОС защищенного режима (Windows, Unix, OS/2...) перестают запускаться приложения с сообщениями о недостаточном объеме оперативной памяти - проверьте наличие свободного места на жестких дисках, используемых для подкачки. Если памяти не хватает приложениям MS-DOS - проверьте файлы AUTOEXEC.BAT и CONFIG.SYS и запустите утилиту MEMMAKER или выполните ручную оптимизацию памяти.

Увеличение физического объема оперативной памяти в ряде случаев может привести к неожиданному снижению производительности компьютера. Это возможно, когда системная плата (или процессор со вторичным кэшем) не способна кэшировать весь объем ОЗУ. У многих системных плат для процессоров Pentium кэшируются только первые 64 Мбайт ОЗУ; у первых процессоров Pentium II кэшировались только 512 Мбайт. Память, выходящая за размеры кэшируемой области, конечно же, доступна, но ее производительность гораздо ниже кэшируемой. ОС Windows 9x распределяет память, начиная с верхней границы доступной памяти, причем наверх попадает ее ядро, скорость работы которого существенна для работы многих приложений. Если после увеличения ОЗУ ядро попадает в некэшируемую область, можно наблюдать снижение производительности. Для лечения этого недуга можно воспользоваться условно-бесплатной программой W2CACHE.COM, которая запускается в начале загрузки Windows и, оставаясь резидентной, «съедает» верхнюю часть памяти, заставляя ядро Windows загружаться в нижнюю, кэшируемую область. После окончания загрузки Windows программа освобождает занимаемую память, и ОС отдает ее в распоряжение приложений.

Это может быть служба, которая не хочет запускаться, установка устройства или ошибка в работе приложения. События регистрируются и сохраняются в журналах событий Windows и предоставляют важные хронологические сведения, помогающие вести мониторинг системы, поддерживать ее безопасность, устранять ошибки и выполнять диагностику. Необходимо регулярно анализировать информацию, содержащуюся в этих журналах. Вам следует регулярно следить за журналами событий и настраивать операционную систему на сохранение важных системных событий. В том случае, если вы администратор серверов Windows, то необходимо следить за безопасностью их систем, нормальной работой приложений и сервисов, а также проверять сервер на наличие ошибок, способных ухудшить производительность. Если вы пользователь персонального компьютера, то вам следует убедиться в том, что вам доступны соответствующие журналы, необходимые для поддержки своей системы и устранения ошибок.

Программа "Просмотр событий" представляет собой оснастку консоли управления Microsoft (MMC) и предназначена для просмотра и управления журналами событий. Это незаменимый инструмент для наблюдения за работоспособностью системы и устранения возникших неполадок. Служба Windows, которая управляет протоколированием событий, называется "Журнал событий". В том случае, если она запущена, Windows записывает важные данные в журналы. При помощи программы "Просмотр событий" вы можете выполнять следующие действия:

Просматривать события определенных журналов;

Применять фильтры событий и сохранять их для последующего использования в виде настраиваемых представлений;

Создавать подписки на события и управлять ими;

Назначать выполнение конкретных действий на возникновение определенного события.

Запуск приложения "Просмотр событий"

Приложение "Просмотр событий" можно открыть следующими способами:

Нажмите на кнопку "Пуск" для открытия меню, откройте "Панель управления", из списка компонентов панели управления выберите "Администрирование" и из списка административных компонентов стоит выбрать "Просмотр событий";

Откройте "Консоль управления MMC". Для этого нажмите на кнопку "Пуск", в поле поиска введите mmc, а затем нажмите на кнопку "Enter". Откроется пустая консоль MMC. В меню "Консоль" выберите команду "Добавить или удалить оснастку" или воспользуйтесь комбинацией клавиш Ctrl+M. В диалоге "Добавление и удаление оснасток" выберите оснастку "Просмотр событий" и нажмите на кнопку "Добавить". Затем нажмите на кнопку "Готово", а после этого - кнопку "ОК";

Воспользоваться комбинацией клавиш WIN +R для открытия диалога "Выполнить". В диалоговом окне "Выполнить", в поле "Открыть" введите eventvwr.msc и нажмите на кнопку "ОК.

Журналы событий в Windows 7

В операционной системе Windows 7, существуют две категории журналов событий: журналы Windows и журналы приложений и служб. Журналы Windows - используются операционной системой для регистрации общесистемных событий, связанных с работой приложений, системных компонентов, безопасностью и запуском. А журналы приложений и служб - используются приложениями и службами для регистрации событий, связанных с их работой. Для управления журналами событий можно использовать оснастку "Просмотр событий" или программу командной строки wevtutil.

Приложение - хранит важные события, связанные с конкретным приложением. Например, Exchange Server сохраняет события, относящиеся к пересылке почты, в том числе события информационного хранилища, почтовых ящиков и запущенных служб. По умолчанию помещается в%SystemRoot%\System32\Winevt\Logs\Application.Evtx.

Безопасность - хранит события, связанные с безопасностью, такие как вход/выход из системы, использование привилегий и обращение к ресурсам. По умолчанию помещается в %SystemRoot%\System32\Winevt\Logs\Security.Evtx

Установка - в этот журнал записываются события, возникающие при установке и настройке операционной системы и ее компонентов. По умолчанию размещается в %SystemRoot%\System32\Winevt\Logs\Setup.Evtx.

Система - хранит события операционной системы или ее компонентов, например неудачи при запусках служб или инициализации драйверов, общесистемные сообщения и прочие сообщения, относящиеся к системе в целом. По умолчанию помещается в %SystemRoot%\System32\Winevt\Logs\System.Evtx

Пересылаемые события - если настроена пересылка событий, в этот журнал попадают события, пересылаемые с других серверов. По умолчанию помещается в %SystemRoot%\System32\Winevt\Logs\ForwardedEvents.Evtx

Internet Explorer - в этот журнал записываются события, возникающие при настройке и работе с браузером Internet Explorer. По умолчанию помещается в %SystemRoot%\System32\Winevt\Logs\InternetExplorer.Evtx

Windows PowerShell - в этом журнале регистрируются события, связанные с использованием оболочки PowerShell. По умолчанию размещается в %SystemRoot%\System32\Winevt\Logs\WindowsPowerShwll.Evtx

События оборудования - если настроена регистрация событий оборудования, в этот журнал записываются события, генерируемые устройствами. По умолчанию помещается в %SystemRoot%\System32\Winevt\Logs\HardwareEvent.Evtx

В Windows 7 инфраструктура, обеспечивающая регистрацию событий, основана также как и в Windows Vista на XML. Данные о каждом событии соответствуют XML-схеме, что позволяет получить доступ к XML-коду любого события. Кроме того, можно создавать основанные на XML запросы для получения данных из журналов. Для использования этих новых возможностей не требуются знания об XML. Оснастка "Просмотр событий" предоставляет простой графический интерфейс для доступа к этим возможностям.

Свойства событий

Существует несколько свойств событий оснастки "Просмотр событий", которые подробно описаны немного ниже:

Источник - это программа, зарегистрировавшая событие в журнале. Это может быть как имя программы (например, "Exchange Server"), так и название компонента системы или большого приложения (например, имя драйвера). Например, "Elnkii" означает драйвер EtherLink II.

Код события - это число, определяющее конкретный тип события. В первой строке описания обычно содержится название типа события. Например, 6005 - это идентификатор события, которое происходит при запуске службы ведения журналов событий. Соответственно, в начале описания этого события находится строка "Запущена служба журнала событий". Код события и имя источника записи могут использоваться представителями группы поддержки программного продукта для устранения неполадок.

Уровень - это уровень важности события. В журналах системы и приложений события могут иметь следующие уровни важности:

Уведомление - обозначает изменение в приложении или компоненте, такое как возникновение информационного события, связанного с успешным действием, создание ресурса или запуск службы.

Предупреждение - обозначает предупреждение общего характера на неполадку, способную повлиять на службу или привести к более серьезной проблеме, если оставить ее без внимания;

Ошибка - обозначает, что возникла проблема, которая может повлиять на функции, внешние по отношению к приложению или компоненту, вызвавшим событие;

Критическая ошибка - обозначает, что произошел сбой, после которого приложение или компонент, инициировавшие событие, не могут восстановиться автоматически;

Аудит успехов - успешное выполнение действий, которые вы отслеживаете через аудит, например использование какой-либо привилегии;

Аудит отказов - неудачное выполнение действий, которые вы отслеживаете через аудит, например ошибка при входе в систему.

Пользователь - определяет учетную запись пользователя, от имени которого возникло данное событие. К пользователям относятся особые сущности, например Local Service, Network Service и Anonymous Logon, а также учетные записи реальных пользователей. Это имя представляет собой идентификатор клиента, если событие фактически было вызвано серверным процессом, или основной идентификатор, если олицетворение не производится. В некоторых случаях запись журнала безопасности содержит оба идентификатора. А также в этом поле может стоять N/A (Н/Д), если в данной ситуации учетная запись неприменима. Олицетворение происходит в случаях, когда сервер позволяет одному процессу присвоить атрибуты безопасности другого процесса.

Рабочий код - содержит числовое значение, которое определяет операцию либо точку в пределах операции, при выполнении которой возникло данное событие. Например, инициализация или закрытие.

Журнал - имя журнала, в который было записано данное событие.

Категория и задачи - определяет категорию события, иногда используемую для последующего описания допустимого действия. У каждого источника событий свои категории. Например следующие категории: вход/выход, использование привилегий, изменение политики и управление учетной записью.

Ключевые слова - это набор категорий или меток, которые могут использоваться для фильтрации или поиска событий. Например: "Сеть", "Безопасность" или "Ресурс не найден".

Компьютер - идентифицирует имя компьютера, на котором произошло событие. Обычно это имя локального компьютера, но также может быть имя компьютера, переславшего событие, или имя локального компьютера до того, как оно было изменено.

Дата и время - определяет дату и время возникновения данного события в журнале.

ИД процесса - представляет идентификационный номер процесса, создавшего данное событие. Компьютерная программа представляет из себя только пассивную совокупность инструкций, в то время как процесс - это непосредственное выполнение этих инструкций

ИД потока - представляет идентификационный номер потока, создавшего данное событие. Процесс, порождённый в операционной системе, может состоять из нескольких потоков, выполняющихся "параллельно", то есть без предписанного порядка во времени. При выполнении некоторых задач такое разделение может достичь более эффективного использования ресурсов вычислительной машины

ИД процессора - представляет идентификационный номер процессора, обработавшего событие.

Код сеанса - это идентификационный номер сеанса на сервере терминалов, в котором произошло событие.

Время работы в режиме ядра - определяет время, потраченное на выполнение инструкций режима ядра, в единицах времени ЦП. Режим ядра имеет неограниченный доступ к системной памяти и внешним устройствам. Ядро системы NT называют гибридным ядром или макроядром.

Время работы в пользовательском режиме - определяет время, потраченное на выполнение инструкций пользовательского режима, в единицах времени ЦП. Режим пользователя состоит из подсистем, которые передают запросы ввода\вывода соответствующему драйверу режима ядра посредством менеджера Ввода-вывода.

Загруженность процессора - это время, потраченное на выполнение инструкций пользовательского режима, в тиках ЦП.

Код корреляции - определяет действие в процессе, для которого используется событие. Этот код используется для указания простых отношений между событиями. Корреляция - статистическая взаимосвязь двух или нескольких случайных величин (либо величин, которые можно с некоторой допустимой степенью точности считать таковыми). При этом, изменения одной или нескольких из этих величин приводят к систематическому изменению другой или других величин.

ИД относительной корреляции - определяет относительное действие в процессе, для которого используется событие

Работа с журналами событий:

Просмотр событий

Для того чтобы просмотреть события журнала приложений, выполните следующие действия: В дереве консоли выберите "Журналы Windows"; Выберите журнал "Приложения".

Желательно почаще просматривать журналы событий "Приложение" и "Система" и изучать существующие проблемы и предупреждения, которые могут предвещать о проблемах в будущем. При выборе журнала в среднем окне отображаются доступные события, включая дату события, время и источник, уровень события и другие данные.

Панель "Область просмотра" показывает основные данные о событиях на вкладке "Общие", а дополнительные специфические данные - на вкладке "Подробности". Включить и выключить эту панель можно, выбрав меню "Вид", а затем команду "Область просмотра".

Для критических систем рекомендуется хранить журналы за последние несколько месяцев. Все время назначать журналам такой размер, чтобы в них умещалась вся информация, как правило, неудобно, решить эту задачу можно по-другому. Можно экспортировать журналы в файлы, распложенные в заданной папке. Для того чтобы сохранить выбранный журнал выполните следующие действия:

*В дереве консоли выберите журнал событий, который нужно сохранить;

*Выберите команду "Сохранить события как" из меню "Действие" или из контекстного меню журнала выберите команду "Сохранить все события как";

*В появившемся диалоге "Сохранить как" выберите папку, в которую должен быть сохранен файл. Если требуется сохранить файл в новой папке, то ее можно создать непосредственно из этого диалога, используя контекстное меню или кнопку "Новая папка" на панели действий. В поле "Тип файла" нужно выбрать желаемый формат файла из доступных: файлы событий - *.evtx, xml-файл - *.xml, текст с разделением табуляции - *.txt, csv с разделением запятыми - *.csv. В поле "Имя файла" введите имя и нажмите на кнопку "Сохранить". Для отмены сохранения нажмите на кнопку "Отмена";

*В том случае, если журнал событий не предназначен для просмотра на другом компьютере, в диалоговом окне "Отображать сведения" оставьте заданный по умолчанию вариант "Не отображать сведения", а если журнал предназначается для просмотра на другом компьютере, то в диалоговом окне "Отображать сведения" выберите вариант "Отображать сведения для следующих языков" и нажмите на кнопку "ОК".

Очистка журнала событий

Иногда приходится очищать заполненные журналы событий для обеспечения эффективногоанализа предупреждений и критических ошибок операционной системы. Для того чтобы очистить выбранный журнал выполните следующие действия:

В дереве консоли выберите журнал событий, который требуется очистить;

Очистите журнал одним из следующих способов:

В меню "Действие" выберите команду "Очистить журнал"

На выбранном журнале нажмите правой кнопкой для открытия контекстного меню. В контекстном меню выберите команду "Очистить журнал" Далее можно либо очистить журнал, либо заархивировать его в том случае, если это не было сделано ранее:

Чтобы очистить журнал событий без сохранения нажмите нажать на кнопку "Очистить";

Чтобы очистить журнал событий после его сохранения нажмите на кнопку "Сохранить и очистить". В появившемся диалоге "Сохранить как" выберите папку, в которую должен быть сохранен файл. Если требуется сохранить файл в новой папке, то ее можно создать непосредственно из этого диалога используя контекстное меню или кнопку "Новая папка" на панели действий. В поле "Имя файла" введите имя и нажмите на кнопку "Сохранить". Для отмены сохранения нужно нажать на кнопку "Отмена".

Установка максимального размера журнала

Как было сказано выше, журналы событий хранятся в виде файлов в папке %SystemRoot%\System32\Winevt\Logs\. По умолчанию максимальный размер этих файлов ограничен, но его можно изменить следующим способом:

В дереве консоли выберите журнал событий, для которого следует изменить размер; Выберите команду "Свойства" из меню "Действие" или из контекстного меню выбранного журнала В поле "Максимальный размер журнала (КБ)" установите требуемое значение при помощи счетчика или установите вручную без использования счетчика. В этом случае значение будет округлено до ближайшего числа, кратного 64 КБ так как размер файла журнала должен быть кратен 64 КБ и не может быть меньше 1024 КБ.

События сохраняются в файле журнала, размер которого может увеличиваться только до заданного максимального значения. После достижения файлом максимального размера, обработка поступающих событий будет определяться политикой хранения журналов. Доступны следующие политики сохранения журнала:

Переписывать события при необходимости (сначала старые файлы) - в этом случае новые записи продолжают заноситься в журнал после его заполнения. Каждое новое событие заменяет в журнале наиболее старое;

Архивировать журнал при заполнении; не переписывать события - в этом случае файл журнала автоматически архивируется при необходимости. Перезапись устаревших событий не выполняется.

Не переписывать события (очистить журнал вручную) - в этом случае журнал очищается вручную, а не автоматически.

Для того чтобы выбрать нужную политику сохранения журналов выполните следующие действия:

В дереве консоли выберите журнал событий, для которого следует изменить размер;

Выберите команду "Свойства" из меню "Действие" или из контекстного меню выбранного журнала;

На вкладке "Общие", в разделе "При достижении максимального размера" выберите требуемый параметр и нажмите на кнопку "ОК".

Активация аналитического и отладочного журнала

Аналитический и отладочный журналы по умолчанию неактивны. После активации они быстро заполняются большим количеством событий. По этой причине желательно активировать указанные журналы на ограниченный период времени для того, чтобы собрать необходимые для поиска и устранения неполадок данные, а затем снова их отключить. Активацию журналов можно выполнить следующим образом:

В дереве консоли найдите и выберите аналитический или отладочный журнал, который необходимо активировать;

Выберите команду "Свойства" из меню "Действие" или из контекстного меню выбранного аналитического или отладочного журнала;

На вкладке "Общие" установите флажок на опции "Включить ведение журнала"

Открытие и закрытие сохраненного журнала

При помощи оснастки "Просмотр событий" можно открывать и просматривать сохраненные ранее журналы. Одновременно можно открыть несколько сохраненных журналов и обращаться к ним в любое время в дереве консоли. Журнал, открытый в "Просмотре событий", может быть закрыт без удаления содержащихся в нем сведений. Для открытия сохраненного журнала выполните следующие действия:

Выберите команду "Открыть сохраненный журнал" в меню "Действие" или из контекстного меню в дереве консоли;

В диалоговом окне "Открыть сохраненный журнал", передвигаясь по дереву каталогов, откройте папку, содержащую нужный файл. По умолчанию в диалоговом окне будут выведены все файлы журналов событий. Также при открытии можно выбрать тип файлов, которые нужно отображать в диалоге открытия. Доступные типы файлов: файлы журнала событий (*.evtx, *.evt, *.etl), а также файлы событий (*.evtx), старые файлы событий (*.evt) или файлы журнала трассировки (*.etl). После того, как нужный файл журнала будет найден, выделите его, щелкнув на нем левой кнопкой мыши, что поместит его имя в строку для ввода имени файла и нажмите на кнопку "Открыть"

В диалоге "Открыть сохраненный журнал", в поле "Имя" введите новое имя, которое будет использоваться для журнала в дереве консоли. Оно используется только для представления журнала в дереве консоли и имя файла журнала при этом не изменяется Можно также использовать существующее имя файла журнала. В поле "Описание" введите описание журнала. Оно будет отображаться в центральной области при выделении родительской папки журнала в дереве консоли;

Для создания папки, в которой будет расположен сохраненный журнал, нажмите на кнопку "Создать папку". В поле "Имя" введите имя папки, в которой будет находиться открытый журнал, а затем нажмите кнопку "ОК". Если родительская папка не выбрана, новая папка будет расположена в папке "Сохраненные журналы"

Для того чтобы открытый журнал событий стал недоступным для других пользователей компьютера, вы можете снять флажок "Все пользователи". В том случае, если этот флажок останется активным, открытый журнал будет доступен всем пользователям, но для его удаления из дерева консоли потребуются права администратора;

Для открытия журнала, нажмите на кнопку "ОК".

Для того чтобы удалить открытый журнал их дерева событий, выполните следующие действия:

В дереве консоли выберите журнал, который следует удалить;

Выберите команду "Удалить" из меню "Действие" или из контекстного меню выбранного журнала

В диалоге "Просмотр событий" нажмите на кнопку "Да".

Задание: Выпишите основные термины и понятия о журнале событий Windows.

На виртуальной машине в операционной системе Windows7 выполнить действия по просмотру событий журнала, сохранении отчётов, установлению максимального размера журнала, удалению журнала событий. Оформить отчёт по действиям анализа журнала событий.

Общий ресурс, или общий сетевой ресурс -- в информатике, это устройство или часть информации, к которой может быть осуществлён удалённый доступ с другого компьютера, обычно через локальную компьютерную сеть или посредством корпоративного интернета, как если бы ресурс находился на локальной машине.

Примерами такого могут служить общий доступ к файлам (также известный как общий доступ к диску и общий доступ к папкам), общий доступ к принтеру (совместный доступ к принтеру), сканеру и т. п. Общим ресурсом называется «совместный доступ к диску» (также известным как подключенный диск, «общий том диска», «общая папка», «общий файл», «общий документ», «общий принтер».

Термином «общие файлы» обычно называют совместный доступ к файлам, преимущественно в контексте операционных систем или служб локальных компьютерных сетей, например, Microsoft Windows documentation.[1] C получением распространения BitTorrent и аналогичных протоколов в начале 2000-х годов, термин общий доступ к файлам всё больше стал применяться к передаче файлов в одноранговых сетях через Интернет.

Общий доступ к файлам и принтерам в локальной сети может быть организован на базе централизованногофайлового сервера или сервера печати, что иногда обозначается как клиент-серверная организации работы компьютеров или децентрализованная модель, иногда называемая одноранговой топологией сети или сетевой рабочей группой. При соединении по схеме клиент-сервер, клиентский процесс на локальном пользовательском компьютере инициирует соединение, в то время как серверный процесс удалённого компьютера на файл-сервере или сервере печати пассивно ждёт запросов для начала сессии соединения. В одноранговой сети любой компьютер может быть как сервером, так и клиентом.

Безопасность

Сетевой общий доступ обычно делается пользователями путём пометки директории или файла или изменения разрешений файловой системы или прав доступа в свойствах каталога или файла. Эта процедура различна на разных платформах. В операционной системе Windows XP Home Edition для общего доступа файлы или папки должны размещаться в специальной папке «Общие документы», обычно имеющей путьC:\Documents and Settings\All users\Shared documents.

Ответственность за безопасность общего сетевого ресурса возникает, когда доступ к общим файлам увеличивается (обычно разными средствами), и кто-то не должен иметь доступ к общим ресурсам. Общие сетевые ресурсы основываются на постоянном доступе к сети и имеют большой потенциал для каналов связи при неширокополосном доступе к сети. По этой причине общий доступ к файлам и принтерам в локальной сети или в корпоративном интранете обычно защищается межсетевыми экранами от компьютеров извне. Тем не менее, общие ресурсы могут быть доступны для авторизованных пользователей посредством технологии виртуальной частной сети.

Наименование и подключение ресурсов

Общий ресурс доступен клиентским компьютерам посредством особого назначения имён, подобного UNC, используемого в персональных компьютерах с DOS и Windows. Это означает, что сетевой ресурс может быть доступен по следующему имени:

\\ИмяСерверногоКомпьютера\ИмяРесурса

где ИмяСерверногоКомпьютера -- это имя в WINS или DNS-имя, или IP-адрес серверного компьютера или путь к нему. Общая папка при этом может быть доступна под именем ИмяРесурса, которое может отличаться от локального имени папки на сервере. Например, \\server\c$ обычно обозначает устройство с буквой C: на Windows-машинах. Общее устройство или папка часто подключается к клиентскому персональному компьютеру, это означает, что ресурсу назначается буква диска на локальном компьютере. Например, буквой устройства H: обычно обозначается домашняя папка на центральном файловом сервере.

Раньше ИТ-специалисту приходилось мириться с тем, что у конечных пользователей не было возможности быстро и просто сделать запись последовательности своих действий, связанных с возникновением какой-то проблемы. В Windows 7 появилась новая утилита Problem Steps Recorder, которая представляет собой простой инструмент для захвата изображения с экрана монитора с возможностью аннотации изображений. После того, как вы нажмете "Record", приложение начинает отслеживать сигналы с вашей мыши и вашей клавиатуры и делать скриншоты, к которым вы можете прикреплять свои комментарии. Как только вы остановите запись, программа автоматически сохранит все полученные снимки в ZIP-файле, который содержит HTML-страницу в виде веб-архива (файла с расширением mht) с последовательностью ваших действий. Далее вам придется просто просмотреть в браузере файл для анализа ситуаций.

Эта утилита является, по сути, простым, но продвинутым инструментом для выполнения захвата экрана или снятия скриншотов. Это нечто вроде автоматизированного варианта "Print Screen", который при этом документирует все щелчки мыши, нажатия клавиш клавиатуры и собирает кое-какой технический материал, а затем сводит все это в отчет в формате MHTML. Отчет можно отправить прямиком в службу поддержки. А также можно поступить и наоборот, и отправить от службы поддержки подробную инструкцию, куда нажать и в какой последовательности, чтобы устранить эту проблему.

Составление отчета - это, пожалуй, сильное место утилиты. Утилита регистрирует каждое действие пользователя скриншотом, на котором подсвечены кнопки или объекты, с которыми взаимодействовал пользователь. Отчет можно просматривать и в виде веб-страницы, и в виде слайдшоу, а можно и в виде XML, чтобы определить, к примеру, координаты курсора мыши

Новый инструмент Windows 7 `Problem Steps Recorder', как его использовать, и как он экономит ваше время. Инструмент `PSR' способен быстро и просто документировать любые проблемы в Windows 7, шаг за шагом, в письменной форме. Самое лучшее в PSR - это то, что даже конечный пользователь может его использовать для записи проблем, чтобы потом представить их администратору.

На что способен инструмент Windows 7 Problem Steps Recorder (PSR)?

Инструмент PSR (Problem Steps Recorder) может использоваться обычным пользователем или администратором. Список тех задач, которые пользователь или администратор может выполнить с помощью этого инструмента после его установки:

1. Записать ряд действий, выполненных на вашем компьютере, шаг за шагом

2. Записывает эти действия, чтобы их можно было выполнить, используя снимки текстов и экрана монитора в момент выполнения действия

3. Эта документация будет включать те опции, которые пользователь выбирал во время выполнения определенных задач

4. Документация НЕ БУДЕТ включать никакую вводимую пользователем информацию из соображений безопасности и конфиденциальности

5. PSR позволит пользователю создавать «Комментарии» на протяжении всего процесса. Эти комментарии будут включать текст, вводимый пользователем в разделе комментариев, А ТАКЖЕ ту область экрана, которую пользователь выбирает во время создания этих примечаний (я покажу вам это немного позже)

6. Отчет PSR покажет вам версию ОС и даже URL любой веб-страницы, на которую заходил пользователь во время процесса

Запуск Windows 7 Problem Steps Recorder (PSR)

Вы не найдете PSR ни в одном из разделов меню Пуск в Windows 7. Единственным способом запуска PSR является выполнение исполняемого файла ` PSR.exe.

PSR.exe файл можно найти в папке:

C:\Windows\System32\psr.exe

Самым простым способом запуска PSR является переход в меню Пуск, и в поле Поиск (Search) просто вводим psr, а затем нажимаем ENTER.

Отслеживание событий -- основа безопасности систем

Когда на компьютере происходит какое-либо значимое событие, операционная система записывает это событие в журнал. Входом в журналы служит Event Viewer (eventvwr.exe). Большинство администраторов открывают Event Viewer, только когда пытаются решить какую-нибудь проблему, и многие знакомые администраторы говорят мне, что используют Event Viewer только на серверах. Оба подхода ошибочны, потому что периодическая проверка системных журналов часто позволяет выявлять неполадки на ранней стадии, до того как они превратятся в серьезную проблему. Уметь пользоваться Event Viewer очень важно, поэтому я хочу предложить читателям краткий обзор по этой теме и представить свои способы работы с Event Viewer.

Общие сведения

Event Viewer открывается через меню Administrative Tools (если это меню добавлено в Programs) или через приложение Administrative Tools панели управления. Консоль программы Event Viewer содержит список доступных журналов. На компьютерах Windows по умолчанию имеются следующие журналы:

Application (журнал приложений) -- содержит события, записываемые программами. Приложение определяет типы записываемых событий и язык сообщения.

Security (журнал безопасности) -- содержит события, относящиеся к безопасности компьютера, такие как попытки регистрации в системе или манипуляции с файлами.

System (журнал системы) -- содержит события, записываемые компонентами Windows.

В системах Windows Server 2003 и Windows 2000 Server в зависимости от роли сервера можно также использовать следующие журналы:

Directory Service -- содержит события, имеющие отношение к Active Directory (AD), и доступен только на контроллерах домена (DC).

File Replication Service -- содержит события, записываемые во время репликации между DC, и доступен только на DC.

DNS Server -- содержит события, относящиеся к разрешению имен DNS, и доступен только на серверах DNS.

Event Viewer отображает типы событий, каждое из которых имеет собственный уровень важности и собственную пиктограмму в журнале. Например:

Error (ошибка) -- сигнализирует об актуальной проблеме, которая может касаться потери функциональности, такой как нарушение корректного запуска служб и драйверов.

Warning (предупреждение) -- указывает на проблему, которая впоследствии может стать серьезной, если не обращать внимания на предупреждение. Предупреждения сугубо информативны и не свидетельствуют о наличии проблемы в настоящем или обязательном ее появлении в будущем.

Success Audit (аудит успехов) -- это событие, имеющее отношение к системе безопасности, которое произошло и записывается потому, что система или администратор включили аудит данного события.

Failure Audit (аудит отказов) -- это событие, имеющее отношение к системе безопасности, которое не произошло, но запись о нем делается потому, что система или администратор включили аудит данного события.

Информация, отображаемая в Event Viewer, включает дату и время, когда произошло событие, источник события (то есть служба, драйвер устройства или приложение, записавшее событие в журнал), категорию события, ID события, имя пользователя, который был зарегистрирован в системе, когда событие произошло (не обязательно) и имя компьютера, на котором произошло событие. Для того чтобы просматривать журнал Security, необходимо иметь права администратора.

Настройка Event Viewer

Системные журналы начинают функционировать автоматически при запуске операционной системы. Размеры журнальных файлов ограничены, и система записывает события, удаляя старые записи в соответствии с выбором параметров журнала. Чтобы просмотреть или изменить конфигурацию, нужно щелкнуть правой кнопкой на имени журнала в списке Event Viewer и выбрать в раскрывающемся меню пункт Properties. Должно появиться соответствующее диалоговое окно свойств, как показано на рисунке 1.

Менять конфигурацию следует в зависимости от ситуации. Если вы не вносите существенных изменений в конфигурацию журнала или не видите необходимости в аудите событий, то работа настроек по умолчанию должна вас устроить. Настройка по умолчанию для максимального размера файла журнала составляет 512 Кбайт, и когда журнал заполнен, система автоматически заменяет старые записи новыми через 7 дней. Однако, если в систему вносятся существенные изменения или вводится в действие подробный аудит, журналы, скорее всего, начнут заполняться многочисленными записями. Если журнал оказывается заполненным и не содержит записей, хранящихся более 7 дней, утилите Event Viewer будет нечего удалить, чтобы освободить место для новых записей, и система прекратит записывать события. В этой ситуации нужно увеличить размер журнального файла или выполнить настройку журнала на затирание старых записей по мере необходимости (вариант Overwrite events -- as needed).

Фильтры

Когда администратор исследует журнал, чтобы решить какую-либо проблему, или проверяет реакцию компьютера на существенное изменение конфигурации, он может ускорить этот процесс, избавившись от не имеющих отношения к делу записей в панели Details. Диалоговое окно Properties каждого журнала имеет вкладку Filter, с помощью которой выбираются типы отображаемых событий. Например, вы не хотите видеть информационные записи от определенных компьютеров или вы хотите видеть только события, произошедшие в течение недели после внесения системных изменений. Следует просто нужным образом выбрать фильтры (или отменить выбор). Помните, что фильтры влияют только на то, что отображается в окне; система продолжает записывать в журнал события тех типов, которые были отфильтрованы. Например, если есть основания полагать, что возникла угроза системе безопасности в виде вторжения извне, можно оставить для отображения события только тех типов, быстрый взгляд на которые позволяет обнаружить аномалии в регистрации, такие как события с ID 675 и 681, соответствующие неудачным попыткам аутентификации, или событие с ID 644, означающее блокировку учетной записи вследствие многократного некорректного ввода пароля.

Сортировка журнала

Погружаясь в решение какой-нибудь проблемы, я предпочитаю сортировать журналы, чтобы иметь возможность находить нужные записи непосредственно по типу события, идентификационному номеру (ID) события или по предполагаемому источнику сообщения. Например, я могла бы задаться целью найти событие Userenv, если проблема касается некоторого пользователя, имеющего проблемы с доступом в сети.

Общее событие Userenv имеет ID 1000 в журнале приложений и его описание гласит, что Windows не смогла определить имя пользователя или компьютера. Это означает, что конфигурация TCP/IP компьютера для обращения к DNS-серверу установлена некорректно. Администраторы сплошь и рядом используют неправильные адреса при настройке DNS на клиентских компьютерах; я часто нахожу IP-адрес шлюза в поле для адреса DNS. Проверку журнала компьютера-«обидчика» со своей рабочей станции обычно выполнить проще, чем идти к клиентскому компьютеру и проверять настройки TCP/IP.

Чтобы сосредоточиться на событиях конкретных типов, нужно выбрать подходящий журнал в консоли, раскрыть его содержимое, затем щелкнуть область заголовка столбца, по которому предстоит выполнить сортировку. По умолчанию журналы отсортированы по дате, а затем по времени.

Очистка журнала

Любой журнал можно очистить, чтобы освободить дополнительное место для записей. Если выбрана настройка Do not overwrite events (clear log manually) --«Не затирать события (очистка журнала вручную)», необходимо периодически чистить журнал.

Чтобы очистить журнал, следует щелкнуть правой кнопкой на названии журнала в списке консоли Event Viewer и выбрать пункт Clear all Events («Стереть все события»). Система спрашивает, нужно ли сохранить журнал перед тем, как очистить его. Если в журнале есть записи, которые могли бы пригодиться в будущем (например, при длительном отслеживании проблемы), можно выполнить архивацию содержимого журнала.

Архивация журнала

Любой журнал можно заархивировать как отдельный файл -- это полезно, если в журнале появляются необычные записи и требуется понаблюдать некоторое время за изменением его содержимого. Иногда в журналах появляются события, которые выглядят угрожающе, но пользователь не ощущает никаких проблем. Если проблемы возникнут позже, сотрудникам службы поддержки Microsoft, возможно, будет полезно изучить историю этого события.

Чтобы создать архивную копию журнала, нужно щелкнуть правой кнопкой мыши по названию журнала в консоли и выбрать в меню Save Log File As («Сохранить файл журнала как...»). По умолчанию Windows сохраняет файл в папке Administrative Tools, расположенной в папке C:documentssettingsusernamestart menuprograms. Можно указать другую папку или создать отдельную папку для хранения архивных копий журналов. Я обычно присваиваю журналам имя в формате имя_журнала-дата (например, apps-dec012003). Windows добавляет расширение .evt.

...