Der Vergleich einer Protokolldatei mit dem aktuellen Satz aufgelisteter Ereignisse kann durch die folgenden Schritte erfolgen:
1. Öffnen Sie die Ereignisanzeige:
- Drücken Sie Windows-Taste + R , um das Dialogfeld „Ausführen“ zu öffnen.
- Geben Sie eventvwr.msc ein und klicken Sie auf OK um die Ereignisanzeige zu starten.
2. Navigieren Sie zur Protokolldatei:
- Erweitern Sie in der Ereignisanzeige die Windows-Protokolle Ordner und wählen Sie die Protokolldatei aus, die Sie vergleichen möchten. Wenn Sie beispielsweise das Systemprotokoll vergleichen möchten, klicken Sie auf System Protokoll.
3. Exportieren Sie die Protokolldatei:
- Klicken Sie mit der rechten Maustaste auf die Protokolldatei und wählen Sie Alle Ereignisse speichern unter… aus dem Kontextmenü.
- Im Speichern unter Wählen Sie im Dialogfeld einen Speicherort für die Protokolldatei aus und klicken Sie auf Speichern .
- Die Protokolldatei wird mit der Erweiterung *.evtx* gespeichert.
4. Öffnen Sie die exportierte Protokolldatei:
- Doppelklicken Sie auf die exportierte Protokolldatei (*.evtx*), um sie in der Ereignisanzeige zu öffnen.
5. Wählen Sie Aktuelle Protokollereignisse:
- Klicken Sie in der Ereignisanzeige mit der rechten Maustaste auf Benutzerdefinierte Ansichten Ordner und wählen Sie Benutzerdefinierte Ansicht erstellen… aus dem Kontextmenü.
- Im Bereich Benutzerdefinierte Ansicht erstellen Geben Sie im Dialogfeld einen passenden Namen für die Ansicht ein, z. B. Aktuelle Ereignisse und klicken Sie auf Filter… Taste.
- Im Filter Aktivieren Sie im Dialogfeld Informationen Ereignisse auf Ebene und wählen Sie Alle protokollierten Ereignisse für die Ereignisebene .
- Klicken Sie auf OK um den Filter anzuwenden und die benutzerdefinierte Ansicht zu erstellen.
- Ihre benutzerdefinierte aktuelle Ansicht zeigt jetzt die aktuell aufgelisteten Ereignisse in der Ereignisanzeige an.
6. Protokolldateien vergleichen:
- Jetzt sind zwei Fenster der Ereignisanzeige geöffnet:eines mit der gespeicherten älteren Protokolldatei und das andere mit den aktuell aufgelisteten Ereignissen.
- Durch den visuellen Vergleich der Ereignisse in beiden Fenstern können Sie alle neuen Ereignisse identifizieren, die nach dem Speichern der älteren Protokolldatei generiert wurden.
- Sie können auch den Filter verwenden Funktion in der Ereignisanzeige, um den Vergleich auf bestimmte Ereignis-IDs, Quellen oder andere Kriterien einzugrenzen.
7. Aktuelle aufgelistete Ereignisse exportieren:
- Bei Bedarf können Sie die aktuell aufgelisteten Ereignisse auch zur späteren Bezugnahme exportieren.
- Klicken Sie dazu mit der rechten Maustaste auf die benutzerdefinierte Ansicht, die Sie in Schritt 5 erstellt haben, und wählen Sie Alle Ereignisse speichern unter… aus dem Kontextmenü.
- Speichern Sie die Ereignisse an einem geeigneten Ort.
Durch den Vergleich der Protokolldatei mit dem aktuellen Satz aufgelisteter Ereignisse können Sie Einblicke in alle neu aufgetretenen Ereignisse gewinnen oder bestimmte Ereignisse identifizieren, die für eine weitere Analyse von Interesse sind.
