Если в вашей организации несколько системных администраторов, у вас периодически может возникать вопрос “Кто перезагрузил сервер?”. В этой статье я покажу как найти определения пользователя, который перезагрузил или выключил компьютер/сервер Windows.
Информация об учетной записи, которая отправила команду перезагрузки Windows сохраняется в журнал событий.
- Откройте консоль Event Viewer (
eventvwr.msc) и перейдите в раздел Windows Logs -> System; - Включите фильтр журнала событий, выбрав в контекстном меню пункт Filter Current Log;
- В поле фильтра укажите EventID 1074 и нажмите OK;
- В журнале событий останутся только события выключения (перезагрузки), откройте любое из них;
- В событии от источника User32 будет указан пользователь, который инициировал перезагрузку Windows. В этом примере это пользователь a.novak.
The process C:\Windows\Explorer.EXE (MSK-DC03) has initiated the restart of computer MSK-DC03 on behalf of user WINITPRO\a.novak for the following reason: Other (Unplanned) Reason Code: 0x5000000 Shutdown Type: restart Comment:
Рассмотрим еще несколько примеров событий перезагрузки/выключения Windows. В качестве пользователя, запустившего перезагрузку операционную систему может быть указан NT AUTHORITY\SYSTEM.
Это означает, что перезагрузку инициировала одна из служб или программ Windows, запущенная от имени SYSTEM.. Например, это может быть процесс службы
wuauserv
, который закончил установку обновлений Windows и выполнил перезагрузку согласно настроенной политике Windows Update или с помощью задания модуля PSWindowsUpdate.
The process C:\Windows\uus\AMD64\MoUsoCoreWorker.exe (WKS-PC11S22) has initiated the restart of computer WKS-PC11S22 on behalf of user NT AUTHORITY\SYSTEM for the following reason: Operating System: Service pack (Planned) Reason Code: 0x80020010 Shutdown Type: restart Comment:
Если ваша Windows запущена внутри виртуальной машины VMware, то если выполнить Restart Guest из консоли управления VMware, событие (выключения) будет выглядеть так:
The process C:\Program Files\VMware\VMware Tools\vmtoolsd.exe (MSK-DC03) has initiated the shutdown of computer MSK-DC03 on behalf of user NT AUTHORITY\SYSTEM for the following reason: Legacy API shutdown Reason Code: 0x80070000 Shutdown Type: shutdown
В этом случае выключение Windows также инициировано NT AUTHORITY\SYSTEM, т.к. службы интеграции VMware Tools запущены от имени системы.
Вы можете получить информацию о событиях перезагрузки с помощью PowerShell. Следующая команда выберет все события с EventID 1074:
Get-WinEvent -FilterHashtable @{logname=’System’;id=1074}|ft TimeCreated,Id,Message
Команда вернула описания всех событий перезагрузки и выключения Windows.
Можно использовать следующий скрипт PowerShell, который возвращает более короткий список с последними десятью событиями с именами пользователей, и процессами, которые инициировали перезагрузку/выключение сервера.
Get-EventLog -LogName System |
where {$_.EventId -eq 1074} |select-object -first 10 |
ForEach-Object {
$rv = New-Object PSObject | Select-Object Date, User, Action, process, Reason, ReasonCode
if ($_.ReplacementStrings[4]) {
$rv.Date = $_.TimeGenerated
$rv.User = $_.ReplacementStrings[6]
$rv.Process = $_.ReplacementStrings[0]
$rv.Action = $_.ReplacementStrings[4]
$rv.Reason = $_.ReplacementStrings[2]
$rv
}
} | Select-Object Date, Action, Reason, User, Process |ft
Также с помощью PowerShell можно быстро получить имя пользователя, который перезагрузил удаленный компьютер. Получить доступ к журналу событий на удаленном хосте можно с помощью формата Get-EventLog -ComputerName или вы можете подключиться к компьютеру через PSRemoting с помощью командлета Invoke-Command:
Invoke-Command -ComputerName rds2-12 -ScriptBlock {Get-WinEvent -FilterHashtable @{logname=’System’;id=1074} |select-object TimeCreated,Id,Message -first 1}
По событию 1074 можно найти только причины корректных (штатных) перезагрузок сервера. Если Windows была перезагружена не штатно (например, при потере электропитания, или появления BSOD), тогда нужно искать события с EventID 6008.
The previous system shutdown at 4:34:49 AM on 1/17/2022 was unexpected.
И конечно, вы не сможете понять, кто перезагрузил Windows, если журналы событий были очищены, или старые события перезатерты более новыми (в домене желательно настроить увеличенный размер журналов событий с помощью GPO).
Давно юзаю толпу вьюшек.
А вот за скрипт спасибо )
Откуда такое стойкое желание использовать client-side фильтры?
Get-WinEvent -FilterHashtable @{logname=’System’;id=1074} — это работает в разы быстрее вашей команды. Сравните через measure-command.
Да, согласен, через where-object выборка логов работает намного медленнее.
Поправил код в статье на ваш вариант.
Function Get-LastReboot {
[CmdLetBinding()]
PARAM(
[string[]]
$ComputerName
)
BEGIN {
$output = @()
}
PROCESS {
foreach ($Computer in $ComputerName) {
$WinEvent = Get-WinEvent -ComputerName $computer -FilterHashtable @{logname = ‘System’; id = 1074 } -MaxEvents 1
$WinEventData = ([xml]$WinEvent.ToXml()).Event.EventData.Data;
$output += $WinEvent |
Select-Object @{Label = ‘Computer’; Expression = { $WinEventData[1].InnerText } },
@{Label = ‘Date’; Expression = { $_.TimeCreated } },
@{Label = ‘Action’; Expression = { $WinEventData[4].InnerText } },
@{Label = ‘Reason’; Expression = { $WinEventData[2].InnerText } },
@{Label = ‘User’; Expression = { $WinEventData[6].InnerText } },
@{Label = ‘Process’; Expression = { $WinEventData[0].InnerText } }
}
}
END {
return $output
}
}
Get-LastReboot -ComputerName ‘ComputerName#1′,’ComputerName#2’ | Sort-Object Date -Descending | Format-Table -AutoSize
А можно и без XML, напрямую так сказать:
Function Get-LastReboot {[CmdLetBinding()]
PARAM(
[string[]]
$ComputerName
)
BEGIN {
$output = @()
}
PROCESS {
foreach ($Computer in $ComputerName) {
$output += Get-WinEvent -ComputerName $computer -FilterHashtable @{logname = 'System'; id = 1074 } -MaxEvents 1 |
Select-Object MachineName,
@{Name = 'Date'; Expression = { $_.TimeCreated } },
@{Name = 'Action'; Expression = { $_.Properties[4].Value } },
@{Name = 'Reason'; Expression = { $_.Properties[2].Value } },
@{Name = 'User'; Expression = { $_.Properties[6].Value } },
@{Name = 'Process'; Expression = { $_.Properties[0].Value } }
}
}
END {
return $output
}
}
Get-LastReboot -ComputerName 'CompName#1','CompName#2' | Sort-Object Date -Descending | Format-Table -AutoSize