Windows でのイベントビューアのログサイズの構成

Windows イベントビューアログには、Windows のサービスとアプリケーションのステータスの分析、エラーのトラブルシューティング、およびセキュリティイベントの監査に必要な有用な情報が保存されます。デフォルトでは、Windows のイベントビューアログのサイズは制限されており、ファイルサイズを超えると、新しいイベントが古いイベントを上書きし始めます。イベントビューアに送信されるイベントが多すぎると、最後の数時間のイベントのみがログに記録される可能性があり、効率的な監視とログ分析には不十分になる可能性があります。

古いイベントが上書きされるのを防ぎ、十分な期間常にイベントを保持できるようにするには、イベントビューアログの最大サイズを増やすことができます。

もっと詳しく知る：イベントビューアですべてのイベントログをクリアする方法

コンテンツ：

PowerShell を使用して Windows イベントログのサイズを設定するにはどうすればよいですか?
イベントビューアコンソールからのイベントログファイルサイズの調整
GPO を使用して Windows イベントログファイルのサイズを増やす

PowerShell を使用して Windows イベントログのサイズを設定するにはどうすればよいですか?

Windows イベントログファイルは次の場所に保存されます。%SystemRoot%System32WinevtLogsとしてのディレクトリ.EVTXファイル。ログごとに個別のファイルがあることに注意してください。したがって、必要な Windows ログのみの最大サイズを管理し、他のログについてはデフォルト設定のままにすることができます。

PowerShell を使用すると、Windows 上で有効になっているすべてのイベントビューアーログの現在の制限を表示できます。

Get-Eventlog -List

Get-WinEvent コマンドレットを使用すると、特定のイベントログファイルのサイズを取得できます。たとえば、セキュリティログファイルの現在および最大サイズを取得する方法は次のとおりです。

Get-WinEvent -ListLog Security| Select MaximumSizeInBytes, FileSize, IsLogFull, OldestRecordNumber, IsEnabled, LogMode

PowerShell を使用して、イベントログファイルが含まれるフォルダーの合計サイズを取得できます。
"{0:N2} MB" -f ((gci c:windowsSystem32WinevtLogs| measure Length -s).sum / 1Mb)

ログの最大サイズを増やすには、wevtutulコマンドラインツール (新しいサイズはバイト単位で設定されます):

wevtutil sl "Application" /ms:200000000

または、PowerShell を使用して、新しい最大アプリケーションログファイルサイズを設定することもできます。

Limit-Eventlog -Logname Application -MaximumSize 200MB -OverflowAction OverwriteOlder

イベントビューアコンソールからのイベントログファイルサイズの調整

最大ログサイズを増やす最も簡単な方法は、イベントビューアコンソールから直接行うことです。

イベントビューア MMC スナップインを開きます (eventvwr.msc);
必要なログ (セキュリティなど) を選択し、そのプロパティを開きます。
新しい制限を下に設定します最大ログサイズ (KB)そして変更を保存します。
ログファイルの最大サイズに達したときに実行するアクションを選択することもできます。必要に応じてイベントを上書きします (最も古いイベントから順に)。このモードはデフォルトで使用され、新しいイベントが古いイベントを単純に上書きすることを意味します。
ログがいっぱいになったらアーカイブし、イベントを上書きしないでください– 現在のイベントログは次の場所にアーカイブされます。System32WinevtLogsフォルダーがいっぱいになると、新しいイベントが新しい EVTX ファイルに書き込まれます。イベントビューアの [保存されたログを開く] メニューからアーカイブされたイベントファイルにアクセスできます。
イベントを上書きしない（ログを手動でクリア）– 古いイベントが上書きされないようにするには、このオプションを有効にします。新しいイベントを書き込むには、ログを手動でクリアする必要があることに注意してください。

GPO を使用して Windows イベントログファイルのサイズを増やす

グループポリシーを使用すると、Active Directory ドメイン内のコンピューターまたはサーバー上のイベントログファイルのサイズを一元管理できます。

グループポリシー管理スナップインを実行します (gpmc.msc)、新しい GPO を作成し、イベントビューアー設定を変更するコンピューターまたはサーバーを含む組織単位にリンクします (GPO をドメインルートにリンクすることもできます)。
次の GPO セクションに移動しますコンピュータの構成->ポリシー->管理用テンプレート->Windows コンポーネンnts ->イベントログサービス。このディレクトリには、基本的な Windows ログを管理するためのノードが含まれています。
```
Application
Security
Setup
System
```
ログの最大サイズを増やすには、最大ログファイルサイズ (KB) を指定します。オプションを選択して有効にし、必要なサイズを設定します;
クライアントのグループポリシー設定を更新し、新しい最大ログファイルがログプロパティで指定されていること、およびそれを変更できないことを確認します。別のサイズを設定しようとすると、エラーが表示されます。
```
Event Viewer
The Maximum Log Size specified is not valid. It is too large or too small. The Maximum Log Size will be set to the following: 61440 KB
```

Active Directory ドメインコントローラーの最大セキュリティログサイズを増やすと、次のことが可能になります。

ユーザーのドメインログイン履歴を保存し、特定の Windows ホストへのログオン試行の成功/失敗を表示します。
AD でユーザーアカウントロックアウトの原因を見つけます。
AD でユーザーを作成したユーザーを特定し、ユーザーのパスワードをリセットしたり、特定のセキュリティグループのメンバーシップを変更したりできます。

上記の GPO セクションには、他のイベントログのオプションは含まれていません。アプリケーションとサービスのログ -> Microsoft。別のイベントログ (標準イベントログ以外) のサイズを増やす必要がある場合は、レジストリを使用して行うことができます。 Windows イベントログ設定は、HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesEventLog に保存されます。<log_name>レジストリキー。最大ログファイルサイズは、最大サイズパラメータ(REG_DWORD型)。グループポリシーの基本設定を使用して、ドメインコンピューター上のカスタムイベントログの MaxSize パラメーターのレジストリ値を構成できます。

GPO を使用してレジストリキーと設定を構成する方法について説明します。

この例では、ディレクトリサービスドメインコントローラーにログオンします。このログの設定は、次のレジストリキー HKLMSYSTEMCurrentControlSetServicesEventLogDirectory Service に保存されます。

GPO を開いて、次の場所に移動します。コンピュータの構成->設定->Windowsの設定->レジストリ;
選択新しい->レジストリ項目;

次の設定で新しいレジストリパラメータを作成します。

Hive: HKEY_LOCAL_MACHINE
Key path: SYSTEMCurrentControlSetServicesEventLogDirectory Service
Value name: MaxSize
Value type: REG_DWORD
Value data: 52428800 (the maximum file size is given in bytes. In our example it is 50 MB.)

たとえば、RDS ホストへのリモートデスクトップ接続の履歴を含むログを長期間保存したい場合は、ファイルのサイズを増やす必要があります。ターミナルサービス-RemoteConnectionManagerログ。

Windows イベントログのサイズを増やすことにより、長期間にわたってより多くの情報を取得できます。たとえば、イベントログを使用して Windows の再起動履歴を取得したり、共有ネットワークフォルダーからファイルを削除したユーザーや NTFS アクセス許可を変更したユーザーを確認したりできます。