У процесі роботи користувача, Windows постійно веде запис різних системних подій у файли журналів, які можна переглянути за допомогою утиліти «Перегляд подій». Самі журнали не займають багато місця на диску, але загальна кількість операцій запису на тривалому відрізку часу значно і потенційно може впливати на загальний ресурс дисків, особливо SSD. За бажанням, запис подій у журнал можна вимкнути.
У цій інструкції докладно про способи відключити журнал подій повністю або частково для окремих подій, очистити його та додаткову інформацію, яка може бути корисною.
Відключення служби «Журнал подій Windows»
Найочевидніший та найпростіший спосіб відключити журнал подій – відключення відповідної служби, проте цей спосіб має недоліки:
- Від зазначеної служби залежать і інші служби, зокрема можуть виникнути проблеми з роботою планувальника завдань, службами відомостей про підключені мережі, списку мереж та автоматичного налаштування мережевих пристроїв.
- Повне відключення журналу подій може бути не найкращим варіантом: відомості про неполадки, що збираються в журналах, можуть бути корисними для діагностики проблем з роботою системи.
Список залежностей служби відрізняється в різних версіях Windows: у Windows 11 проблем після відключення служби «Перегляд журналу подій» ви найімовірніше не помітите, а в Windows 10 вони можуть бути.
Для того, щоб вимкнути службу журналу подій Windows (чого не рекомендуємо робити) ви можете використовувати оснащення «Служби»:
- Натисніть клавіші Win+R на клавіатурі, введіть services.msc та натисніть клавішу Enter.
- У списку служб знайдіть «Windows Event Log» та двічі натисніть на цю службу, що відповідає за журнал подій.
- Натисніть кнопку «Stop», змініть тип запуску на «Disabled» та натисніть «OK».
Ще один спосіб – запустити командний рядок в режимі адміністратора та по черзі використовувати наступні команди:
net stop eventlog sc config eventlog start= disabled
Це повністю відключить ведення журналу подій, але при виникненні проблем із роботою інших системних служб не забудьте, що, можливо, вони були викликані описаними діями.
Вимкнення запису окремих подій чи журналів
Замість відключення журналу подій повністю, ви можете відключити запис лише окремих подій – тих, які записуються найчастіше, при цьому не несуть корисної інформації для більшості користувачів.
Насамперед це події «Аудит успіху» в журналі «Безпека». Щоб вимкнути запис цих подій у командному рядку в режимі адміністратора, використовуйте таку команду:
auditpol /set /subcategory:"Filtering Platform Connection" /success:disable /failure:enable
Вказана команда відключить запис подій типу «Успіх», але залишать запис подій «Відмова». Аналогічно можна відключити події інших підкатегорій, повний список підкатегорій можна отримати за допомогою команди auditpol /list /subcategory:*
Наступна можливість – це відключення запису певних подій по їх GUID, кроки будуть наступними (приклад для журналу «Система»):
- У перегляді подій Event Viewer (Win+R – eventvwr.msc) знайдіть подію, запис яких потрібно відключити. На вкладці «General» буде опис, а от на вкладці «Details» увімкніть режим XML. Тут нам знадобиться значення параметра GUID.
- У редакторі реєстру (Win+R – regedit) перейдіть до розділу:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\WMI\Autologger\EventLog-System
- У цьому розділі виберіть підрозділ з іменем, що збігається з GUID з першого кроку, двічі натисніть за параметром з ім’ям Enabled та встановіть значення 0 для нього, повторіть те саме для EnableProperty.
- Закрийте редактор реєстру та перезавантажте комп’ютер.
І ще один метод для журналів додатків, на прикладі журналу WFP (який у багатьох користувачів постійно пишеться з великою інтенсивністю):
- У Перегляді подій Event Viewer відкрийте «Applications and Services Logs» (Журнали додатків) та перейдіть до потрібного журналу, наприклад: Microsoft – Windows – WFP – Operational.
- Натисніть правою кнопкою миші за журналом та оберіть пункт «Disable Log» (Відключити журнал).
Окремо за журналом wfpdiag.etl: ще одна можливість відключення – це команда:
netsh wfp set options netevents = off
Очищення журналу подій
Файли журналів подій розміщуються в каталогах:
C:\Windows\System32\winevt\Logs C:\Windows\System32\LogFiles
І деяких інших розташуваннях, наприклад – C:\ProgramData\Microsoft\Windows\wfp\
Очищення вручну шляхом видалення файлів небажане та не завжди зручне. Ви можете:
- Використовувати опцію «Clear Log» (Очистити журнал) для відповідного журналу у вікні «Перегляд подій» у контекстному меню журналу або його властивостях.
- Використовувати одну з команд (перша для командного рядка, друга для PowerShell, в обох випадках потрібно запуск в режимі адміністратора):
for /F "tokens=*" %1 in ('wevtutil.exe el') DO wevtutil.exe cl "%1"
Get-EventLog -LogName * | ForEach { Clear-EventLog $_.Log }
Якщо залишаються питання щодо журналів подій у Windows, залиште їх у коментарях і ми чи хтось із наших читачів постараємося вам допомогти.
