Windows 2000 事件日志监控全解析
1. 事件日志监控简介
在 Windows 2000 系统中，事件日志服务负责跟踪各组件的活动。当操作系统、应用程序、设备和服务执行任务时，它们会将操作信息发送给事件日志服务，该服务进而创建活动日志文件。这些日志文件（实际上是几个小型数据库）可用于后续查看特定活动是否发生以及发生的时间。
事件日志服务并非用于实时管理或监控系统，仅用于展示历史活动。并非所有组件的活动都会被发送到事件日志，只有组件程序员认为重要并硬编码到应用程序中的活动才会被记录。
与之对比，实时监控系统（如网络监视器、性能监视器或基于 SNMP 的监控应用程序）可跟踪特定性能信息，用于预测组件故障或判断是否需要调整设置。例如，磁盘系统的平均读取时间、平均寻道时间以及等待处理的读写请求数量等信息可实时跟踪，这些变量的值可能预示磁盘即将发生故障。
而事件日志服务可能会跟踪服务是否启动、启动条件以及某些需要跟踪的检查点条件。以作为服务安装的病毒扫描软件为例，它可能会将服务启动时间戳、软件版本、病毒检测文件的更新情况、每次扫描任务的开始和完成时间戳、扫描到的病毒信息以及对感染文件采取的操作等信息发送到事件日志。
事件日志服务不规定需要记录哪些信息，仅提供服务和存储空间供其他应用程序写入日志。如果每个服务或应用程序都以自己的专有格式写入单独的日志文件，日志管理将变得复杂。事件日志服务提供了一个统一的接口和存储位置，使日志可以从单个应用程序访问，且格式一致。
1.1 事件日志信息监控
Windows 2000 事件日志中的信息涵盖广泛领域，IT 经理可能希望对不同 IT 部门成员可访问的事件日志信
