Aller au contenuAller à l'arborescence
Arborescence Windows
  1. C:
  2. Windows
  3. System32
  4. winevt
  5. Logs
  6. System.evtx
JournalRisque : Prudence

System.evtx C:\Windows\System32\winevt\Logs\System.evtx

Journal Système : événements du noyau, des pilotes et des services Windows, consulté dans l'Observateur d'événements.

Mis à jour le Par AltF4 Formation

À quoi ça sert

System.evtx enregistre ce que les composants de Windows signalent : démarrage et arrêt, pilotes, services, matériel, disque, réseau. C’est le premier journal à ouvrir après un redémarrage inattendu, un écran bleu ou un service qui tombe. Pour le fonctionnement commun des .evtx (verrouillage, taille, export), voir la fiche du dossier winevt\Logs.

Ce qu’il contient

  • Les arrêts et redémarrages : 41 (Kernel-Power, redémarrage sans arrêt propre), 6008 (arrêt précédent inattendu), 1074 (arrêt demandé, avec le processus et l’utilisateur), 6005 et 6006 (démarrage et arrêt du journal d’événements).
  • Les écrans bleus : 1001 (BugCheck).
  • Les services : 7036 (changement d’état), 7034 (arrêt inattendu), 7045 (nouveau service installé, à surveiller côté sécurité).
  • Les erreurs de pilotes et de disque (sources disk, Ntfs, storahci).
  • 104 : l’effacement d’un journal.

Risques et bonnes pratiques

  • Ne supprimez pas le fichier : le service EventLog le verrouille, et son historique sert au diagnostic.
  • Pour une panne, partez de l’heure du 41 ou du 6008, puis lisez les événements des minutes qui précèdent : la cause y figure souvent (disque, pilote, alimentation).
  • Avant d’effacer le journal, exportez-le. Un 104 laisse une trace, mais pas le contenu perdu.
  • Sur un poste client, la taille maximale par défaut est de 20 Mo : les événements anciens y sont écrasés. Augmentez-la, ou centralisez les journaux, si vous voulez de l’historique.

Commandes utiles

Fenêtre de terminal
# Arrêts inattendus, arrêts demandés et écrans bleus
Get-WinEvent -FilterHashtable @{LogName='System'; Id=41,6008,1074,1001} -MaxEvents 20 | Select-Object TimeCreated, Id, Message


# Erreurs des dernières 24 h
Get-WinEvent -FilterHashtable @{LogName='System'; Level=2; StartTime=(Get-Date).AddDays(-1)}


# Nouveaux services installés
Get-WinEvent -FilterHashtable @{LogName='System'; Id=7045} -MaxEvents 10 | Select-Object TimeCreated, Message


# Sauvegarder le journal puis l'effacer (en administrateur)
wevtutil cl System /bu:"$env:USERPROFILE\Desktop\System-avant-effacement.evtx"

Format

Fichier binaire XML (.evtx), géré par le service Journal des événements Windows. Chaque événement porte un identifiant, un niveau (Information, Avertissement, Erreur, Critique), une source, un horodatage et un message.

Rotation et archivage

Taille maximale et règle de rétention (écraser les anciens événements, archiver, ne pas écraser) se règlent dans les propriétés du journal ou par stratégie de groupe. wevtutil gl System affiche les valeurs en vigueur. Archivez par export avec wevtutil epl ou depuis l’Observateur d’événements.

Comment le lire

Observateur d’événements > Journaux Windows > Système. Filtrez par niveau, source ou ID. Pour un .evtx copié depuis une autre machine, utilisez « Ouvrir un fichier journal enregistré » ou Get-WinEvent -Path.

Signaler une erreur