Windows事件監(jiān)視器服務(wù)審查

事件監(jiān)視器服務(wù)是Windows的免費(fèi)(供個(gè)人使用)程序，用于監(jiān)視重要的系統(tǒng)事件，例如文件刪除或注冊(cè)表更改。

顧名思義，當(dāng)您單擊提供的install.bat批處理文件時(shí)，將安裝服務(wù)，該文件在創(chuàng)建后即開(kāi)始運(yùn)行。

還有一個(gè)uninstall.bat文件，您可以利用該文件將服務(wù)從以前安裝的操作系統(tǒng)中再次刪除。

下載檔案為32位和64位版本的Windows提供了安裝程序，并且從Windows Vista一直到Windows 10都具有常規(guī)兼容性。

在運(yùn)行安裝程序之前，您可能需要檢查在服務(wù)目錄中找到的config.ini文件，因?yàn)樵撐募x了正在監(jiān)視和記錄的內(nèi)容以及未定義的內(nèi)容。

默認(rèn)情況下，該服務(wù)配置為監(jiān)視所有受支持的事件和操作系統(tǒng)的位置，您可以通過(guò)將行中的“ y”替換為“ n”來(lái)進(jìn)行更改。

事件監(jiān)視器服務(wù)監(jiān)視以下事件和位置：

文件創(chuàng)建

文件刪除

PE圖像掉落

加載的驅(qū)動(dòng)程序

流程創(chuàng)作

流程終止

加載的DLL

登記處

您還可以進(jìn)一步更改日志存儲(chǔ)的默認(rèn)路徑，并為服務(wù)不希望監(jiān)視的文件夾和注冊(cè)表位置添加排除項(xiàng)。

如果不更改路徑，則需要將整個(gè)EMSvc文件夾復(fù)制到c：根目錄，右鍵單擊安裝程序文件，然后從選項(xiàng)中選擇以管理員身份運(yùn)行以成功安裝服務(wù)。

更改路徑后，您可以從系統(tǒng)上的任何其他目錄安裝它，并定義日志文件的存儲(chǔ)位置。

檢查“日志”>“日期”文件夾，以確保服務(wù)正確監(jiān)視事件。在那里，您應(yīng)該為每個(gè)受監(jiān)視事件調(diào)整一個(gè)日志文件，您可以在任何純文本查看器，編輯器或?qū)Ｓ萌罩疚募喿x器中打開(kāi)這些文件。

注意：沒(méi)有選項(xiàng)可以輕松停止監(jiān)視。您可以使用服務(wù)管理器停止該服務(wù)。點(diǎn)擊Windows鍵，鍵入services.msc，然后按Enter。找到名為EMS的服務(wù)，右鍵單擊它，然后從上下文菜單中選擇“停止”或“禁用”?；蛘?，右鍵單擊uninstall.bat文件，然后選擇“以管理員身份運(yùn)行”，以從系統(tǒng)中完全刪除該服務(wù)。

日志文件的大小可以快速增長(zhǎng)，具體取決于計(jì)算機(jī)的使用方式。

事件記錄

日志按日期和時(shí)間列出了每個(gè)事件，并提供了有關(guān)實(shí)際事件的詳細(xì)信息，例如，創(chuàng)建新文件的過(guò)程，該文件的完整路徑和名稱，或Registry操作的類型，以及導(dǎo)致該過(guò)程的過(guò)程。它，以及從Windows注冊(cè)表中創(chuàng)建，更改或刪除的密鑰。

結(jié)束語(yǔ)

事件監(jiān)視器服務(wù)沒(méi)有用戶界面，但作為后臺(tái)服務(wù)運(yùn)行，這意味著它支持標(biāo)準(zhǔn)用戶帳戶和多用戶環(huán)境。

日志甚至在家用系統(tǒng)上也很有用，例如，分析系統(tǒng)上的軟件安裝或惡意軟件攻擊。

如果您希望使用接口監(jiān)視程序，請(qǐng)嘗試使用注冊(cè)表警報(bào)監(jiān)視Windows注冊(cè)表，并使用File Watcher Simple監(jiān)視特定文件夾中的文件更改。