So passen Sie die Einstellungen für die Protokollgröße in der Windows-Ereignisanzeige an

Ja, die Windows-Ereignisanzeige ist äußerst praktisch, wenn man Fehler beheben oder einfach nur Systemvorgänge protokollieren möchte. Der Haken dabei: Windows begrenzt standardmäßig die Menge der gespeicherten Protokolldaten. Sobald diese Grenze erreicht ist, werden ältere Ereignisse überschrieben. Das ist nicht optimal, wenn man ein Problem beheben möchte, das schon länger zurückliegt, oder einen detaillierten Prüfpfad benötigt. Daher ist die Erhöhung der maximalen Protokollgröße oft der Schlüssel, um die Protokolle länger zu speichern und aussagekräftigere Informationen zu erhalten. Aber Vorsicht: Unachtsamkeit kann dazu führen, dass die Protokolle stark anwachsen und viel Speicherplatz belegen. Daher ist es wichtig, ein sinnvolles Limit festzulegen.

Wenn Ihre Protokolldateien zu schnell überschrieben werden oder Sie einfach einen längeren Verlauf speichern möchten, erfahren Sie hier, wie Sie die Protokollgröße erhöhen können. Je nach Ihrer Konfiguration kann dies über PowerShell-Befehle, die Ereignisanzeige oder Gruppenrichtlinien erfolgen. Und ja, dies muss möglicherweise auf mehreren Rechnern durchgeführt werden, wenn die Verwaltung über Gruppenrichtlinienobjekte (GPOs) erfolgt, insbesondere in Domänenumgebungen. Denken Sie daran: Größere Protokolldateien sind nicht nur eine optische Maßnahme; sie können bei der Fehlersuche, Sicherheitsüberprüfungen oder der Aufdeckung verdächtiger Aktivitäten wie fehlgeschlagener Anmeldeversuche oder gelöschter Dateien hilfreich sein. Windows macht es einem manchmal unnötig schwer, aber in den meisten Fällen funktionieren diese Schritte. So gehen Sie vor: Wählen Sie die Methode, die am besten zu Ihrem Szenario passt, und legen Sie los.

So erhöhen Sie die Größe des Windows-Ereignisprotokolls – Praktische Methoden

Anpassen der Protokollgröße über PowerShell

Für schnelle Setups ist dies besonders geeignet – PowerShell erledigt die Aufgabe schneller als manuelles Klicken. Die Protokolle werden %SystemRoot%\System32\Winevt\Logs\als .EVTX- Dateien gespeichert. Die Verwaltung einzelner Protokolle ist zwar nicht ganz klar, aber ratsam, da sich bei manchen Konfigurationen die Änderung der Größe eines Protokolls unerwartet auf andere auswirkt oder Windows Fehlermeldungen aufgrund zu großer oder zu kleiner Dateien ausgibt. Wählen Sie daher das Protokoll aus, das Ihnen wichtig ist.

Prüfen Sie zuerst die aktuellen Protokollierungsgrenzen:

Get-WinEvent -ListLog Security | Select MaximumSizeInBytes, FileSize, IsLogFull, OldestRecordNumber, IsEnabled, LogMode

Dieser Befehl ermöglicht Ihnen beispielsweise einen schnellen Überblick über die aktuellen Einstellungen des Sicherheitsprotokolls. Um die Gesamtgröße aller Protokolle im Protokollordner anzuzeigen, versuchen Sie Folgendes:

"{0:N2} MB" -f ((Get-ChildItem C:\Windows\System32\Winevt\Logs\ | Measure-Object Length -Sum).Sum / 1MB)

Um die Protokollgröße zu erhöhen, können Sie `wevtutil` verwenden. Hier ist ein Beispiel, bei dem die maximale Größe des Anwendungsprotokolls auf etwa 200 MB (200 Millionen Bytes) festgelegt ist:

wevtutil sl "Application" /ms:200000000

Alternativ ermöglicht das neuere Cmdlet von PowerShell die übersichtliche Festlegung der Größe:

Limit-EventLog -LogName Application -MaximumSize 200MB -OverflowAction OverwriteOlder

Auf manchen Rechnern sind für die Ausführung dieser Befehle Administratorrechte erforderlich, und manchmal muss das System neu gestartet oder das System neu gestartet werden, damit die Änderungen vollständig wirksam werden. Seltsam, aber es funktioniert.

Die Protokollgröße kann über die Ereignisanzeige-Benutzeroberfläche angepasst werden.

Wenn Sie lieber herumklicken, schauen Sie sich einfach die Ereignisanzeige an. Sie ist überraschend einfach, sobald Sie wissen, wo Sie suchen müssen:

1. Öffnen Sie die Ereignisanzeige, indem Sie eventvwr.msc in das Ausführen-Feld ( Windows + R) oder die Suchleiste eingeben.
2. Suchen Sie Ihr Protokoll (z. B.Sicherheit oder Anwendung ), klicken Sie mit der rechten Maustaste darauf und wählen Sie dann Eigenschaften.
3. Verwenden Sie den Schieberegler oder das Eingabefeld für die maximale Protokollgröße (KB) – und erhöhen Sie den Wert auf einen Wert, der für Ihre Umgebung sinnvoll ist.
4. Legen Sie fest, was geschehen soll, wenn das Protokoll voll ist. Standardmäßig ist „ Ereignisse bei Bedarf überschreiben“ ausgewählt, was für die meisten Anwendungsfälle ausreichend ist. Wenn Sie jedoch alle Ereignisse speichern möchten, wählen Sie „ Protokoll archivieren, wenn voll, Ereignisse nicht überschreiben“. Beachten Sie: Archivierte Protokolle werden im selben Ordner gespeichert und müssen später manuell geöffnet werden.

Manchmal sind die Optionen ausgegraut, wenn man die Konsole nicht als Administrator ausführt. Also ja … Rechtsklick und „ Als Administrator ausführen“ auswählen. Wer hätte gedacht, dass Windows selbst einfachste Dinge so kompliziert macht?

Verwaltung der Protokollgrößen in einer Domäne mithilfe von Gruppenrichtlinien

Wenn Sie mehrere Windows-Rechner in einer Active Directory-Umgebung verwalten, sind Gruppenrichtlinien die beste Lösung. Die Einrichtung ist zwar etwas aufwendiger, aber wenn es funktioniert, ist es eine echte Erleichterung.

1. Starten Sie gpmc.msc, um die Gruppenrichtlinienverwaltung zu öffnen.
2. Erstellen Sie ein neues Gruppenrichtlinienobjekt (GPO) und verknüpfen Sie es anschließend mit der entsprechenden Organisationseinheit (OU) oder dem Domänenbereich.
3. Navigieren Sie zu Computerkonfiguration > Richtlinien > Administrative Vorlagen > Windows-Komponenten > Ereignisprotokolldienst. Hier sehen Sie Protokolle für Anwendung, Sicherheit, Setup und System.
4. Aktivieren Sie die Option „Maximale Protokolldateigröße (KB) festlegen“ und geben Sie Ihre bevorzugte Größe an. Beispielsweise ergibt die Eingabe von 61440 KB etwa 60 MB.
5. Erzwingen Sie eine Gruppenrichtlinienaktualisierung auf den Clients, indem Sie gpupdate /forceden entsprechenden Befehl in PowerShell oder der Eingabeaufforderung ausführen.

Auf den Domänencontrollern trägt die Erhöhung der Größe des Sicherheitsereignisprotokolls zu einer detaillierteren Überwachung bei und erleichtert das Aufspüren von Sicherheitsvorfällen wie fehlgeschlagenen Anmeldeversuchen oder verdächtigen Aktivitäten. Achten Sie jedoch auf den verfügbaren Speicherplatz – die Protokolle können schnell sehr groß werden. Beachten Sie außerdem, dass nicht alle Protokolle über Gruppenrichtlinien konfiguriert werden können – einige, insbesondere unter „Anwendungs- und Dienstprotokolle“, erfordern Anpassungen in der Registrierung.

Um Protokolle zu ändern, die nicht von Gruppenrichtlinienobjekten (GPO) abgedeckt werden, passen Sie einfach deren Registrierungsschlüssel an HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\EventLog\<LogName>. Um beispielsweise das Verzeichnisdienstprotokoll zu vergrößern, erstellen Sie einen MaxSizeREG_DWORD-Wert mit der gewünschten Größe in Byte – beispielsweise 50 MB (50 * 1024 * 1024 = 52428800).Verwenden Sie die Gruppenrichtlinieneinstellungen, um dies auf mehreren Rechnern zu automatisieren.

Letztendlich ist die Vergrößerung der Ereignisprotokollgröße nicht abwegig – im Gegenteil, sie ist sinnvoll, wenn Sie detaillierte Verläufe für die Fehlerbehebung oder Prüfung benötigen. Es erfordert etwas Fingerspitzengefühl, aber bei korrekter Konfiguration erhalten Sie deutlich mehr Einblicke, ohne Ihre Festplatte zu überlasten.

Zusammenfassung

• PowerShell-Befehle wie Limit-EventLog` wevtutil` bieten eine schnelle Möglichkeit, die Größe von Protokolldateien festzulegen.
• Die Benutzeroberfläche der Ereignisanzeige ist einfach, erfordert jedoch Administratorrechte.
• Gruppenrichtlinienobjekte (GPOs) sind Ihr bester Freund, wenn es um die gleichzeitige Verwaltung mehrerer Rechner geht, insbesondere in größeren Netzwerken.
• Achten Sie auf den Speicherplatz – Protokolldateien können riesig werden, wenn sie nicht vollständig freigegeben werden.
• Wenn Sie die Protokolle über die Standardprotokolle hinaus anpassen möchten, bearbeiten Sie die Registrierungsschlüssel direkt.

Zusammenfassung

Mehr Speicherplatz in den Protokolldateien erleichtert die Fehlersuche und ermöglicht einen umfassenderen Einblick in die Vorgänge im System. Zugegeben, es ist kein perfektes System, aber bessere Protokolle bedeuten schnellere Lösungen und weniger Rätselraten. Hoffentlich hilft dies dem einen oder anderen, seine Protokolle besser zu verwalten, ohne dass es zur lästigen Pflicht wird. Ich drücke die Daumen, dass dadurch ein Update vorangetrieben wird, und wenn nicht, hat es zumindest bei einigen Konfigurationen, mit denen ich experimentiert habe, funktioniert.