Aller au contenuAller à l'arborescence
Arborescence Windows
  1. C:
  2. Windows
  3. System32
  4. winevt
DossierRisque : Prudence

winevt C:\Windows\System32\winevt

C:\Windows\System32\winevt : dossier conteneur du service Journal des événements Windows ; les journaux .evtx sont dans le sous-dossier Logs.

Mis à jour le Par AltF4 Formation

À quoi ça sert

winevt est le point d’ancrage du service Journal des événements Windows (EventLog). Il sert surtout de conteneur : les journaux eux-mêmes sont dans le sous-dossier Logs.

Ce qu’il contient

  • Logs, qui regroupe les fichiers .evtx : System, Security, Application, plus les journaux « Applications et services ».

Risques et bonnes pratiques

  • Les fichiers en cours d’utilisation sont verrouillés par le service EventLog. Déplacer ou supprimer le dossier à la main le fait échouer.
  • Pour déplacer un journal, changez son chemin avec wevtutil sl <journal> /lfn:<chemin> (ou la valeur de Registre File du journal), pas avec l’Explorateur.
  • Pour vider un journal, utilisez l’Observateur d’événements ou wevtutil cl, après une sauvegarde (wevtutil epl) si le journal a une valeur d’audit.

Commandes utiles

Fenêtre de terminal
# Les journaux les plus volumineux, avec leur fichier
Get-WinEvent -ListLog * -ErrorAction SilentlyContinue | Sort-Object FileSize -Descending |
  Select-Object -First 10 LogName, FileSize, MaximumSizeInBytes, LogFilePath

Contenu du dossier

Dossiers 1

Signaler une erreur