WDumpEvt : Présentation

WDumpEvt :
Comment gérer les journaux d'événements de
Windows NT™ et Windows 2000™

WDumpEvt est un outil d'administration qui vous facilitera la vie pour consulter et gérer vos journaux d'événements de Windows NT ou Windows 2000.

Vous pouvez récupérer les informations de l'ordinateur local ou de n'importe quel ordinateur du réseau en parcourant un arbre qui pointe sur tous les journaux d'événements des ordinateurs. Vous n'avez qu'à charger le programme sur un ordinateur sous Windows NT ou Windows 2000 puis choisir ce que vous voulez visualiser ou consulter :

  • Visualiser et imprimer:
    • La liste des événements
    • La liste des sessions utilisateurs
    • La liste des sessions en échec
    • La liste des sessions RAS (Remote access session)
    • La liste des impressions.
  • Dumper dans un fichier délimité au format ASCII ou format CSV afin de l'importer ultérieurement dans une base de données, ou au format HTML pour une lecture facile:
    • La liste des événements
    • La liste des sessions utilisateurs
    • La liste des sessions en échec
    • La liste des sessions RAS
    • La liste des impressions
    Le fichier résultant contiendra des informations telles que date, type, numéro, catégorie et description des événements, ainsi que le nom de l'ordinateur et l'utilisateur.
  • Dumper un ou tous les événements ou bien encore seulement depuis le dernier dump.
  • Effacer et/ou sauver les journaux d'événements
  • Définir des actions exécutables par le service LogSched pour avoir des sauvegardes, effacements et des dumps réguliers.
  • Récupérer les propriétés des fichiers evt (sauvegarde des journaux d'événements) : nombre d'événements, date de début et de fin du journal, taille...
Le package est composé de trois modules :
WDumpEvt.exe | le logiciel principal.
LogSched.exe | le service qui exécute les actions.
DumpEvtlog.dll |

Pour plus de détails, voir | Quoi de neuf ?
 | Comment utiliser WDumpEvt ?
 | Comment installer et gérer le service ?

Installation/Désinstallation

Vous n'avez qu'à décompacter le fichier WDEvt22.zip dans un répertoire pour pouvoir utiliser ces outils

Pour utiliser cette version de WDumpEvt, vous devez avoir une version récente de certaines dll système tel que MFC42.dll. Si vous avez un message du style "L'ordinal 6876 est introuvable dans la bibliothèque de liaisons dynamique MFC42.DLL", cela signifie que vos dll sont trop anciennes. Vous pouvez charger des versions plus récentes ici.
Je vous conseille de copier ces dll dans le répertoire d'installation de WDumpEvt et si vous installez le service, de ne pas copier l'exécutable LogSched dans un répertoire système, mais de l'exécuter à partir du répertoire de WDumpEvt.
En cas d'installation réseau du service, il faudra copier ces dll dans le répertoire d'installation du service.

Pour désinstaller le logiciel, utiliser l'outil Ajout/Suppression de programmes du panneau de configuration (ne pas oublier de désinstaller le service avant de désinstaller le logiciel)

Enregistrement

Vous pouvez utiliser WDumpEvt gratuitement pendant la période d'évaluation de 30 jours avant de devoir l'enregistrer.

Trois outils supplémentaires utilisables en ligne de commande sont distribués aux utilisateurs enregistrés :
CDumpEvt | Dump des journaux.
CDumpSession | Dump des sessions utilisateurs, sessions en échec, sessions RAS et impressions
CSavEraLog | Sauvegarde et/ou effacement des journaux.

Pour plus de détails : | Licence d'utilisation
 | Enregistrement
 | Formulaire d'inscription

J'ai besoin de votre aide

Avec Windows 2000, j'ai constaté que certains événements avaient changé d'identifiant, et que de nouveaux événements sont apparus.
Certains de ces événements mériteraient d'être intégré dans les sessions. Malheureusement, je n'ai pas de journaux pour faire des tests.

Si vous avez des journaux (Windows NT4 ou Windows 2000) avec des événements qui vous semblent intéressants de rajouter à mon programme, Je serai intéressée par ce que vous me les envoyez avec un dump de ce journal afin que je puisse voir les libelle des messages.
Je suis particulièrement intéressée par des journaux système avec des événements de connection/déconnection RemoteAcces autre que l'événement 20050.

Merci pour toute l'aide que vous pouvez m'apporter.


WDumpEvt : Quoi de neuf ?

Quoi de neuf ?

Version 2.2 : 01/09/2000

  • Nouveau format de sortie pour les dumps : format CSV.
  • Nouvelle option pour les dumps : Ecraser un fichier existant.
  • Dump des sessions utilisateur, des sessions en échec, des sessions RAS et des impressions en direct et par le service. Format personnalisé.
  • Choix du compte de lancement pour le service.
  • Drag and drop des fichiers .evt et .act
  • Mise à jour des outils en ligne de commandes.
    Si vous êtes enregistrés, vous avez du recevoir ces outils par mail. N'hésitez pas à me contacter si vous ne les avez pas encore reçus.
  • Création d'une dll.
  • Correction de bugs :
    • Une action s'exécutait parfois deux fois lorsque l'on utilisait Exécuter maintenant
    • L'exécution manuelle d'une action (par Exécuter maintenant) ne perturbe plus son exécution par le service.
    • L'effacement d'une action fonctionne maintenant correctement.

Version 2.1.1 : 15/01/2000

  • Ajout d'un menu contextuel dans la fenêtre de description des actions et rafraîchissement automatique de la liste des actions.
  • Correction de bugs :
    • Nom d'utilisateur parfois incorrect pour un événement
    • Suppression du plantage lorsque l'on accède aux données d'un événement.
    • Suppression du plantage lorsque l'on passe de Sessions utilisateur au journal Sécurité.

Version 2.1 : 28/12/1999

  • Mémorisation de la liste des serveurs et ajout automatique à l'ouverture du logiciel.
  • Nouvelles options pour les actions:
    • Charger/Sauvegarde d'une action dans un fichier.
    • Imprimer la définition d'une action.
    • Indicateur de l'état de la dernière action.
    • Action périodique. (toutes les x minutes ou heures)
    • Ajout d'une action Dump et Efface.
    • Ajout d'une post commande : commande exécutée à la fin d'une action.
    Pour ajouter ces nouvelles fonctionnalités, j'ai du modifier le format des actions, vous devez donc redéfinir vos actions.
    Les utilisateurs enregistrés recevront un outil pour faire cette mise à jour automatiquement
  • Nouvelle option pour le dump : ajout du dump dans un fichier existant.
  • Correction de bugs :
    • Suppression du plantage lorsque l'on passe de Sessions utilisateur à Echec d'accès.
    • Le commentaire en fin page pour le dump est maintenant supprimé pour les utilisateurs enregistrés.
    • Suppression du plantage du service qui avait lieu lorsque l'on modifie une action pendant une exécution.

Version 2.0 : 01/10/1999

  • Nouveau panneau avec un afficheur de liste avec trie des colonnes et impression pour :
    • La liste des événements pour un journal complet ou partiel (source, catégorie...)
    • La liste des sessions utilisateurs
    • La liste des sessions en échec
    • La liste des sessions RAS
    • La liste des impressions
  • Nouvelle option pour le dump : par type d'événements (erreur, avertissement, information, audit des succès, audit des erreurs)
  • Modifier les propriétés des journaux : taille maximale et rétention
  • Correction d'un bug: nom d'utilisateur parfois incorrect pour un événement

Version 2.0 beta 1 : 25/02/1999

  • Nouvelle interface.
  • Le logiciel CDumpEvt est remplacé par le service Eventlog scheduler.
  • Options pour le format des fichiers de sortie des dumps.
  • Dump d'une source ou d'une catégorie d'un journal d'événements
  • Version bilingue français/anglais
  • Procédure de désinstallation (au niveau du panneau de configuration dans ajouter/supprimer programmes)
  • Propriétés des fichiers .evt (sauvegarde des fichiers d'événements) disponible dans l'explorateur Windows.

Version 1.2 : 30/04/1998

  • Dump d'une source d'événements
  • Dump depuis le dernier dump
  • Deux formats pour la date : lisible ou OLE
  • Nouveau format de sortie pour le dump : HTML
  • Sauvegarde des journaux d'ordinateurs distants sur toutes machines du réseau.

Version 1.1 : 30/11/1997

  • Spécification du nom de l'ordinateur quand vous dumpez depuis un fichier pour récupérer les noms des utilisateurs et les textes des descriptions, à partir de l'ordinateur distant plutôt qu'à partir de l'ordinateur local.
  • Ajout d'un lien vers l'enregistrement en ligne


WDumpEvt : Utilisation

Comment utiliser WDumpEvt ?

  1. Vous devez choisir un objet dans l'arborescence (voir ci-dessous pour la signification des icônes de l'arbre) ou bien en ajouter un (fichier ou ordinateur) avant de pouvoir l'étudier.
  2. Ensuite choisir une action :
    • Double-cliquez sur un objet pour visualiser la liste des événements ou sessions dans le second panneau.
    • Dans la barre d'outils.
    • Dans un menu.
    • Avec le menu contextuel. (que vous affichez en cliquant sur le bouton droit de votre souris)
    • Et enfin avec le menu contextuel de l'icône de la barre des tâches.

Écran principal

Structure de l'arbre :

Signification des icônes :

  • Ordinateur local.
    • Journal d'événements (sécurité, système ou application)
      • Source. (dépend du journal)
        • Catégorie. (dépend de la source)
    • Sessions utilisateur Liste des sessions utilisateur générée à partir des événements 528, 540 et 538 du journal Sécurité, source sécurité, catégorie ouverture/fermeture de sessions.
    • Sessions utilisateur en échec Liste des tentatives de connexions utilisateur générée à partir des événements de type audit des échecs du journal Sécurité, source sécurité, catégorie ouverture/fermeture de sessions.
    • Impressions Liste des impressions générée à partir des événements 10 du journal Système, source Print.
    • Sessions RAS Liste des sessions RAS générée à partir des événements 20050 du journal Système, source RemoteAccess.
  • Réseau.
    • Domaine.
      • Ordinateur sous Windows NT ou Windows 2000 (station ou serveur)
        • ...(voir ordinateur local)
        • Ordinateur sans Windows NT ou Windows 2000
  • Fichiers
    • Fichier que vous ajoutez.

Menu Barre des tâches :

Quand vous lancez le logiciel, une icône apparaît dans la barre de tâches dans le coin droit. Vous pouvez afficher un menu en cliquant dessus avec le bouton droit de la souris.

  • Actions du jour
  • Toutes les actions
  • Gestion du service
  • Quitter


WDumpEvt : Visualiser les listes

Visualiser les différentes listes

Vous obtenez les listes en double-cliquant sur une feuille de l'arbre du premier panneau ou avec le choix Afficher/Rafraîchir liste du menu contextuel:

  • La liste des événements si vous double-cliquez sur un journal, une source ou une catégorie.
  • La liste des sessions utilisateur si vous double-cliquez sur la feuille Sessions utilisateur.
  • La liste des sessions en échec si vous double-cliquez sur la feuille Echec d'accès.
  • La liste des impressions si vous double-cliquez sur la feuille Impressions.
  • La liste des sessions RAS si vous double-cliquez sur la feuille Ras.

Vous pouvez arrêter la génération de la liste en cliquant dans le panneau contenant la liste.

Vous pouvez trier les colonnes en cliquant sur l'en-tête de la colonne. Vous pouvez trier en sens inverse en recliquant sur l'en-tête.

Vous pouvez obtenir des informations sur un élément de la liste en double-cliquant sur chaque ligne.

Vous pouvez imprimer la liste en cliquant sur le bouton [image] ou visualiser un aperçu avec le bouton [image]. La largeur des colonnes imprimées est proportionnelle à la largeur des colonnes visualisées.

Liste des événements

Pour chaque événement, vous pouvez visualiser les propriétés en double-cliquant sur la ligne

Vous obtenez une fenêtre avec trois onglets:

  • Un pour les informations générales.
  • Un pour les données en trois formats: octets, mots et ascii.
  • Un pour les paramètres de la description.

Quelques champs particuliers

  • Num : c'est le numéro d'ordre de l'événement dans le journal.
  • Description : Si vous listez les événements d'un ordinateur distant, la description de l'événement est décodée sur cet ordinateur distant. Si le décodage échoue, la description est alors obtenue à partir de l'ordinateur local et l'indicateur local est ajouté au message. Vous n'aurez alors une description que si ce logiciel ou service est installé sur votre ordinateur.
  • Paramètres : Ce sont des données spécifiques à cet événement (par exemple un code d'erreur) et qui complètent la description.
    J'ai remarqué que pour certains événements tous les paramètres ne sont pas exploités (par exemple le service de réglage de l'heure du service pack)

Liste des sessions utilisateur

Cette liste est générée à partir des événements 528, 540 et 538 du journal Sécurité, source sécurité, catégorie ouverture/fermeture de sessions.

Pour chaque session, vous pouvez visualiser les détails en double-cliquant sur la ligne

Quelques champs particuliers

  • Utilisateur : Nom de l'utilisateur de la session.
    Ce nom est entre parenthèse si le champ utilisateur de l'événement est vide et donc c'est l'utilisateur qui a généré l'événement qui est listé.
  • Processus d'ouverture de la session : en voici quelques exemples (je préfère laisser les libellés en anglais plutôt que les traduire incorrectement) :
    KSecDD | ksecdd.sys, the security device driver
    User32 ou WinLogon\MSGina | winlogon.exe & msgina.dll, the authentication user interface
    SCMgr | The Service Control Manager
    LAN Manager Workstation Service
    advapi | API call to LogonUser
    IIS | Internet Information Server
    NtLmSsp | NT LAN Manager Security Support Provider
  • Lot d'authentification : Processus d'authentification. C'est en général MICROSOFT_AUTHENTICATION_PACKAGE_V1_0.
  • Type de session :
    2 | session interactive
    3 | session réseau (net use, net view ou accès par un file manager)
    4 | session Batch
    5 | Service
    6 | Proxy
    7 | Unlock Workstation
  • Domaine\Utilisateur : Nom du domaine et de l'utilisateur qui a généré cet événement.

Liste des sessions en échec

Cette liste est générée à partir des événements de type audit des échecs du journal Sécurité, source sécurité, catégorie ouverture/fermeture de sessions.

Pour chaque session, vous pouvez visualiser les détails en double-cliquant sur la ligne.

Quelques champs particuliers

  • Utilisateur : Nom de l'utilisateur de la session.
    Ce nom est entre parenthèse si le champ utilisateur de l'événement est vide et donc c'est l'utilisateur qui a généré l'événement qui est listé.
  • Processus d'ouverture de la session : en voici quelques exemples (je préfère laisser les libellés en anglais plutôt que les traduire incorrectement) :
    KSecDD | ksecdd.sys, the security device driver
    User32 ou WinLogon\MSGina | winlogon.exe & msgina.dll, the authentication user interface
    SCMgr | The Service Control Manager
    LAN Manager Workstation Service
    advapi | API call to LogonUser
    IIS | Internet Information Server
    NtLmSsp | NT LAN Manager Security Support Provider
  • Lot d'authentification : Processus d'authentification. C'est en général MICROSOFT_AUTHENTICATION_PACKAGE_V1_0.
  • Type de session :
    2 | session interactive
    3 | session réseau (net use, net view ou acces par un file manager)
    4 | session Batch
    5 | Service
    6 | Proxy
    7 | Unlock Workstation
  • Domaine\Utilisateur : Nom du domaine et de l'utilisateur qui a généré cet événement.
  • Raison : Raison de l'échec de la session.
    C'est en fait la description de l'événement, la raison étant au début de cette description.

Liste des sessions RAS

Cette liste est générée à partir des événements 20050 du journal Système, source RemoteAccess.

Pour chaque session, vous pouvez visualiser les détails en double-cliquant sur la ligne.

Quelques champs particuliers

  • Domaine\Utilisateur : Nom du domaine et de l'utilisateur qui a généré cet événement.

Liste des impressions

Cette liste est générée à partir des événements 10 du journal Système, source Print.

Pour chaque impression, vous pouvez visualiser les détails en double-cliquant sur la ligne.

Quelques champs particuliers

  • Domaine\Utilisateur : Nom du domaine et de l'utilisateur qui a généré cet événement.


WDumpEvt : Sauvegarde et/ou effacement

Comment effacer et/ou sauver un journal d'événements ?

  1. Choisissez le journal que vous voulez sauver/effacer.

    Si vous choisissez le journal d'un ordinateur distant, vous devez

    • Soit développer la branche réseau
    • Soit l'ajouter avec la commande ajouter un serveur du menu fichier,
    • Soit l'ajouter avec le bouton [image] de la barre d'outils.
  2. Ensuite choisissez l'action:
    • Avec le menu action
    • Avec la barre d'outils : pour sauver, [image] pour effacer, [image] pour sauver puis effacer.
    • Avec le menu contextuel que vous obtenez lorsqu'un journal est sélectionné.

Remarque

Vous ne pouvez sauver un journal que si le fichier spécifié n'existe pas et si le répertoire existe.

Si vous sauvez le journal d'un autre ordinateur, un fichier temporaire est créé sur cet ordinateur, puis le fichier est ensuite déplacé à l'endroit que vous avez spécifié. Vous devez donc avoir les droits d'écriture sur le répertoire temporaire de l'ordinateur distant et il doit y avoir assez de place dans ce répertoire pour faire la sauvegarde.

N'oubliez pas que vous pouvez programmer les sauvegardes/effacements de vos journaux. Voir Comment programmer une action pour plus de détails.


WDumpEvt : Dump

Comment dumper un journal, une source, une catégorie
ou encore les sessions utilisateur, sessions en échec, sessions Ras et impressions ?

  1. Choisissez l'objet (journal, source, catégorie ou sessions utilisateur, échec d'accès, impressions, sessions Ras) que vous voulez dumper.

    Pour pouvoir choisir un objet d'un ordinateur distant, vous devez

    • Soit développer la branche réseau,
    • Soit l'ajouter avec la commande Ajouter un serveur du menu fichier
    • Soit l'ajouter avec le bouton [image] de la barre d'outils.
  2. Ensuite choisissez l'action:
    • Avec le menu action
    • Avec la barre d'outils :
    • Avec le menu contextuel que vous obtenez lorsqu'un journal est sélectionné.

Options communes

Vous ne pouvez dumper un objet que

  • Si le répertoire existe.
  • Si le fichier de sortie spécifié n'existe pas.
  • Ou si vous avez spécifié soit l'option Ecraser un fichier existant, soit l'option Ajouter à un fichier existant.

Vous pouvez choisir entre trois formats de sortie en spécifiant le suffixe de votre fichier et positionner différentes options de sorties tel que noms ou images pour les différents types d'événements grâce à la fenêtre options :

  • Suffixe .TXT : Format texte dont le séparateur par défaut est le point virgule. Vous pouvez le changer grâce à la fenêtre options
  • Suffixe .CSV : Fichier dont le séparateur est une virgule et que l'on peut ouvrir avec Excel. (Attention, Excel formate parfois curieusement les dates)
  • Suffixe .HTML ou .HTM : N'oubliez pas de copier les cinq fichiers gif (leurs noms par défaut sont failure.gif, success.gif, info.gif, warning.gif, error.gif) dans le répertoire où vous sauverez vos dump.

Vous pouvez choisir le format de sortie de la date :
  • Soit sous une forme lisible dont le format sera défini grâce aux Options.
  • Soit sous forme OLE, c'est à dire au format réel qui est utile si vous voulez importer vos fichiers dans MS-Access par exemple.

Si vous effacez le journal, le dump depuis le dernier dump n'a aucun intérêt et peut même être vide alors que le journal ne l'est pas.

Importation du fichier dans Microsoft Access

Si vous importez le fichier texte dans MS Access, vous devez spécifier de dumper la date au format OLE puis l'importer comme un réel, et enfin configurer le champ comme une date.

Dans la version non enregistrée, une ligne d'avertissement est ajoutée à la fin du fichier.

Dump des journaux, des sources ou des catégories

Vous pouvez dumper un numéro d'événements (en donnant son numéro, vous pouvez trouver quelques exemples d'événements intéressants) du journal complet ou bien uniquement depuis le dernier dump ou bien encore d'un ou plusieurs types parmi Erreur, Avertissement, Information, Audit des succès ou Audit des échecs.

Si vous choisissez le format long, vous pouvez avoir chaque information dans un champ séparé et non pas noyé dans une description comme avec l'observateur d'événements. Cela vous permettra, par exemple, de récupérer la taille et le nombre de pages imprimées par chaque utilisateur de votre système.

Les données étant formatées pour être incluses dans des applications bureautiques telles Microsoft Excel™ ou Microsoft Access™, les sauts de lignes sont donc effacés pour avoir une ligne par événement. (Mais pour certains événements qui contiennent beaucoup de données comme les événements générés par Dr Watson, l'événement peut être sur plusieurs lignes à cause de la longueur maximale d'une ligne de fichier) Si vous voulez importer le fichier dans une application Microsoft Office™, n'oubliez pas de choisir le format OLE pour la date.

Contenu du fichier dump

Vous pouvez ajouter une ligne de titre dans votre fichier de sortie, uniquement dans le format usuel, le logiciel ne pouvant pas deviner le nombre et le contenu de chaque champ du format long.

Pour obtenir la description de l'événement, vous devez choisir l'option message. Si vous dumpez le journal d'un ordinateur distant, la description de l'événement est décodée sur cet ordinateur distant. Si le décodage échoue, la description est alors obtenue à partir de l'ordinateur local et l'indicateur local est ajouté au message.

Si vous choisissez de dumper les données au format ascii, seuls les caractères imprimables sont affichés.

Format usuel

Numéro de l'événement; type de l'événement; nom de l'ordinateur; date et heure(format OLE pour les applications MS Office ou format lisible); nom de l'utilisateur; domaine;

Format long

Format usuel plus des informations sur l'événement.

Pour identifier ces informations, vous pouvez les comparer avec la description de l'événement, les champs étant dans le même ordre.

Dump des sessions utilisateur, des sessions en échec, des sessions RAS ou des impressions

Format du fichier dump

Format court

Ce format contient uniquement les champs :

 | Sessions utilisateur | Sessions en échec | Sessions Ras | Impressions
Utilisateur | X | X | X | X
Serveur | X | X | X |
Domaine | X | X | X |
date de l'événement |  | X |  | X
date de début | X |  | X |
date de fin | X |  | X |
durée | X |  | X |
station | X | X | X | X
document |  |  |  | X

Format long

Tous les champs de l'événement.

Format personnalisé

Ce format vous permet de choisir les champs qui vous intéressent et de modifier le titre de chaque colonne. Pour les choisir, vous cliquez sur le bouton Personnaliser... .

Pour modifier le titre d'un champ, vous devez le sélectionner, puis modifier le libellé au niveau du control Titre. Il ne faut pas oublier de cliquer sur le bouton Modifier afin de valider la modification.

Contenu du fichier dump

Sessions utilisateurs

Le contenu des sessions est construit à partir des événements 528 et 540 pour le début de la session, et 538 pour la fin de session du journal sécurité, source sécurité, catégorie ouverture/fermeture sessions.

Sessions en échec

Les sessions de type audit des échecs, du journal sécurité, source sécurité, catégorie ouverture/fermeture sessions.

Sessions Ras

Les sessions sont construites avec les événements 20050 du journal système, source RemoteAccess.

Sous Windows 2000, ces événements ne semblent plus générées. J'aurais besoin que vous m'envoyez des exemples de journaux afin que je puisse prendre en compte ces nouveaux événements en compte.

Impressions

Les impressions sont listées à partir des événements numéro 10 du journal système, source Print.

Exemple de dump au format texte pour la source print d'un journal système avec messages

INFORMATION;10;15-02-98 18:36:12;ISABELLE\Administrateur;print;ISABELLE;;Le document 3, Enveloppes étranger possédé par Administrateur a été imprimé sur HP LaserJet 4L via le port LPT1:. Taille en octets : 36124 ; pages imprimées : 2 ;
INFORMATION;10;12-02-98 21:52:26;ISABELLE\Administrateur;print;ISABELLE;;Le document 2, liste par auteurs (verifies) possédé par Administrateur a été imprimé sur HP LaserJet 4L via le port LPT1:. Taille en octets : 404182 ; pages imprimées : 4 ;
INFORMATION;10;10-02-98 21:09:45;ISABELLE\Administrateur;print;ISABELLE;;Le document 3, tit_isa.doc possédé par Administrateur a été imprimé sur HP LaserJet 4L via le port LPT1:. Taille en octets : 157284 ; pages imprimées : 1 ;
INFORMATION;10;10-02-98 19:32:34;ISABELLE\Administrateur;print;ISABELLE;;Le document 2, (Sans titre) - Bloc-notes possédé par Administrateur a été imprimé sur HP LaserJet 4L via le port LPT1:. Taille en octets : 6948 ; pages imprimées : 2 ;
WARNING;7;17-01-98 21:54:16;ISABELLE\Administrateur;print;ISABELLE;;L'imprimante HP LaserJet 4L a été remise en marche. ; WARNING;8;17-01-98 20:53:02;ISABELLE\Administrateur;print;ISABELLE;;L'imprimante HP LaserJet 4L a été vidée. ;
WARNING;6;17-01-98 20:52:37;ISABELLE\Administrateur;print;ISABELLE;;L'imprimante HP LaserJet 4L a été temporairement arrêtée. ;
Ce fichier a été généré par une version non enregistrée de WDumpEvt version 2.2

Exemple de dump au format html pour la source print d'un journal système, format long avec messages

10 | 15-02-98 18:36:12 | ISABELLE\ Administrateur | print | ISABELLE | Le document 3, Enveloppes étranger possédé par Administrateur a été imprimé sur HP LaserJet 4L via le port LPT1:. Taille en octets : 36124 ; pages imprimées : 2 | 3 | Enveloppes étranger | Administrateur | HP LaserJet 4L | LPT1: | 36124 | 2
10 | 12-02-98 21:52:26 | ISABELLE\ Administrateur | print | ISABELLE | Le document 2, liste par auteurs (verifies) possédé par Administrateur a été imprimé sur HP LaserJet 4L via le port LPT1:. Taille en octets : 404182 ; pages imprimées : 4 | 2 | liste par auteurs (verifies) | Administrateur | HP LaserJet 4L | LPT1: | 404182 | 4
10 | 10-02-98 19:32:34 | ISABELLE\ Administrateur | print | ISABELLE | Le document 2, (Sans titre) - Bloc-notes possédé par Administrateur a été imprimé sur HP LaserJet 4L via le port LPT1:. Taille en octets : 6948 ; pages imprimées : 2 | 2 | (Sans titre) - Bloc-notes | Administrateur | HP LaserJet 4L | LPT1: | 6948 | 2
7 | 17-01-98 21:54:16 | ISABELLE\ Administrateur | print | ISABELLE | L'imprimante HP LaserJet 4L a été remise en marche. | HP LaserJet 4L |  |  |  |  |  |
8 | 17-01-98 20:53:02 | ISABELLE\ Administrateur | print | ISABELLE | L'imprimante HP LaserJet 4L a été vidée. | HP LaserJet 4L |  |  |  |  |  |
6 | 17-01-98 20:52:37 | ISABELLE\ Administrateur | print | ISABELLE | L'imprimante HP LaserJet 4L a été temporairement arrêtée. | HP LaserJet 4L |  |  |  |  |  |

Ce fichier a été généré par une version non enregistrée de WDumpEvt version 2.2


WDumpEvt : Définition des actions

Comment définir une action ?

  1. Vérifiez que le service est démarré. Si ce n'est pas le cas, vous devez l'installer puis le démarrer.

    Vous pouvez définir vos actions même si le service n'est pas installé, mais elles ne seront effectives qu'au moment du démarrage du service.

  2. Choisissez l'objet (journal, source, catégorie ou encore sessions) sur lequel doit agir l'action, puis ouvrez la fenêtre de définition:

    • Avec le menu action
    • Avec la barre d'outils :
    • Avec le menu contextuel que vous obtenez lorsqu'un journal est sélectionné.

Grâce au contrôle nom, vous pouvez charger une action déjà existante ou en créer une nouvelle. En changeant le nom d'une action chargée, vous en créez une nouvelle avec les mêmes caractéristiques, création qui n'est effective qu'après avoir cliqué sur Ajouter/Modifier.

Quelques champs particuliers

Période

Pour définir quand l'action doit être exécutée, vous devez en premier choisir sa périodicité :
  • Une fois : choisir le jour de la semaine (rien pour aujourd'hui), et l'heure.
  • Périodiquement : choisir la période, c'est à dire l'intervalle entre deux actions.
  • Quotidien : choisir l'heure
  • Hebdomadaire : choisir le jour de la semaine et l'heure. Vous pouvez choisir plusieurs jours de la semaine.
  • Mensuel : choisir le jour du mois et l'heure.

Action à effectuer

puis vous choisissez l'action à effectuer:
  • Vous ne pouvez choisir sauvegarde/effacement ainsi que dump et efface que pour les journaux et non pas pour les sources et catégories ni les sessions.
  • Si vous sauvez votre journal, vous devez spécifier le nom et le chemin du fichier. (n'oubliez pas que la sauvegarde et le dump ne sont effectués que si le répertoire spécifié existe)
  • Si vous définissez un dump, vous devez cliquer sur le bouton propriétés pour définir les caractéristiques du dump. Voir Comment dumper pour plus d'explications.

Noms de fichier

Quand vous spécifiez le nom d'un fichier, vous pouvez utiliser :

  • %computer% pour ajouter le nom de l'ordinateur.
  • %date% ou %date(format)% pour insérer la date de l'action dans le nom du fichier.
    Le format de la date est soit celui que vous avez choisi par défaut dans les options, soit celui que vous définissez entre les parenthèses au format de date avancé. (voir la syntaxe de la date)

Si vous définissez une action pour un ordinateur distant, le chemin du fichier est référencé pour cet ordinateur, en d'autres termes, si vous spécifiez depuis l'ordinateur A de sauvegarder un journal de l'ordinateur B dans le fichier c:/save/appli.evt, le fichier appli.evt est sur l'ordinateur B. (le répertoire c:/save devant exister)

Post commande

La post commande permet de lancer une commande après l'exécution de l'action comme par exemple envoyer un mail grâce à l'utilitaire blat.
Dans le texte de votre commande, vous pouvez utiliser :

  • %computer% pour spécifier le nom de l'ordinateur.
  • %date% la date.
  • %file% le nom du fichier.
  • %action% le nom de l'action.
  • %result% le résultat de l'action.

Nom de l'action

Le nom d'une action est référencé par rapport à un objet (journal, source ou catégorie), c'est-à-dire que vous pouvez avoir le même nom du moment que ce n'est pas pour le même objet.

Sauvegarde et chargement d'une action

Vous pouvez sauvegarder les caractéristiques d'une action dans un fichier (suffixe .act) par la commande Sauver du menu Fichier pour les appliquer à un autre objet. (choix Ouvrir du menu Fichier)

Si vous utiliser l'action Charger une action du menu contextuel d'un objet de type serveur ou si vous faite un drag and drop d'un fichier .act, l'action est définie pour le même objet que celui de l'action d'origine, alors que si vous utiliser l'action Ouvrir de la fenêtre Définition d'une action, les caractéristiques de l'action sauvegardée seront appliquées à cet objet.

Vous pouvez également visualiser les caractéristiques d'une action décrite dans un fichier ainsi qu'imprimer et charger cette action à partir du menu contextuel d'un fichier .act dans l'explorateur Windows.

Exécution immédiate

Afin de tester vos actions, vous pouvez les faire exécuter immédiatement par le service grâce au choix Exécuter maintenant du menu Action.

Si le service n'est pas lancé, il n'y a aucune mémorisation de la demande, vous devrez la refaire après avoir lancé le service.

Liste des actions

Vous pouvez obtenir
  • La liste des actions en cliquant sur le bouton [image] de la barre d'outils.
  • La liste des actions restant à exécuter aujourd'hui avec le bouton [image].

Description des colonnes

  • L'icône vous indique si la dernière action a réussi ou non. Pour plus de détail vous pouvez soit consulter le journal application ou bien ouvrir la fenêtre Description de l'action, menu action, choix Dernière exécution et vous obtiendrez :
    • Date de la dernière exécution. (par le service ou par Exécuter maintenant)
    • Statut de l'action: OK si elle s'est bien passée, sinon la raison de l'échec.
    • Nom du fichier généré.
  • L' * dans la septième colonne signifie que l'action doit être exécutée aujourd'hui.
  • Les périodicités sont : U pour une fois, P pour périodique, Q pour quotidien, H pour hebdomadaire et M pour mensuel.
  • Les jours sont : Lun, Mar, Mer, Jeu, Ven, Sam et Dim.
  • Les actions sont : D pour Dump, D/E pour Dump puis Effacement, S pour Sauvegarde, E pour Effacement et S/E pour Sauvegarde et Effacement.

Vous pouvez modifier une action en cliquant sur son nom dans la première colonne. Vous ouvrez ainsi la fenêtre de définition de l'action.

L'état des actions est automatiquement mis à jour toutes les 10 s, ce qui explique qu'une action sélectionnée perde parfois le focus.

Une action est exécutée si le jour actuel correspond à la date définie pour l'action et si l'heure est passée, cela signifie que si vous démarrez le service, toutes les actions dont l'heure est passée sont exécutées.

Vous pouvez trier les colonnes en cliquant sur le haut de la colonne. L'ordre de tri est logique :

  • Pour la colonne heure : ordre chronologique.
  • Pour la colonne périodicité : l'ordre est Une fois, Périodique, Quotidien, Hebdomadaire et Mensuel.
  • Pour la colonne jour : tri par périodicité puis tri chronologique. (avec lundi comme premier jour de la semaine)
  • Pour la colonne action : l'ordre est Sauvegarde, Effacement, Sauvegarde/Effacement et Dump.
  • Pour la colonne dernière exécution : ordre chronologique.
  • Pour les autres colonnes : ordre alphabétique.


WDumpEvt : Gestion du service

Comment installer et gérer le service.

Vous accédez au gestionnaire de service :

  • En cliquant sur le bouton [image] de la barre d'outils.
  • Par le menu contextuel d'un objet de type ordinateur pour avoir l'état du service de l'ordinateur sélectionné.
  • Par le menu contextuel de la barre de tâches pour avoir celui de l'ordinateur local.

Avant d'utiliser le service, vous devez d'abord l'installer :

  1. Appeler le gestionnaire de service. (voir ci-dessus)
  2. Puis cliquer sur Installer:

    N'oubliez pas de spécifier le type de démarrage :

    • Automatique (le service démarre automatiquement à chaque démarrage du système)
    • Manuel (le service peut être démarré manuellement)
    • Désactivé (le service ne peut pas être démarré)
    Vous pouvez également choisir le compte de lancement du service. Par défaut c'est l'administrateur local qui le lance mais si vous voulez accéder à certaines ressources réseaux, il vaut mieux lancer le service avec le compte d'un administrateur du domaine. Le compte doit être spécifié de la forme DOMAINE\COMPTE. Pour démarrer le service, le compte doit avoir le droit Log on as a service.
    • Pour ce droit l'ajouter à l'utilisateur sous Windows NT4, vous devez lancer le Gestionnaire des utilisateurs pour cet ordinateur, menu Stratégies, choix Droits de l'utilisateur. Cochez Afficher les droits avancés des utilisateurs, sélectionnez le droit ouvrir une session en tant que service et ajoutez l'utilisateur.
    • Pour l'ajouter à cet utilisateur sous Windows 2000, vous devez lancer l'utilitaire Stratégie de sécurité locale (panneau de configuration -> Outils d'administration), puis choisir Stratégies locales -> Attribution des droits utilisateur et ajouter l'utilisateur concerné dans la statégie Ouvrir une session en tant que service.

    Si vous installez le service sur un ordinateur distant, vous devez copier LogSched.exe (l'exécutable du service) sur cet ordinateur en sélectionnant Copier fichier exécutable dans le répertoire. Si vous installez le service sur l'ordinateur local, vous pouvez choisir, soit de garder le fichier dans le répertoire de WDumpEvt, soit de le copier dans le répertoire système.

    Attention

    Si vous avez eu besoin de charger les dll systèmes(MFC42.dll...) pour faire fonctionner WDumpEvt, vous avez aussi besoin de ces fichiers pour le service.
    Dans ce cas, je vous conseille de ne pas installer le service dans un répertoire système pour éviter tout conflit entre les dll.
  3. Et enfin, vous devez démarrer le service, soit par la même fenêtre, soit grâce au gestionnaire de services du système.

Remarque

Vous pouvez vérifier l'état du service en haut de la fenêtre ou par le gestionnaire de services, le nom du service est : Eventlog Scheduler
Quand vous changez l'état du service, cela peut prendre quelque temps, surtout si vous arrêtez le service pendant une action: il s'arrêtera à la fin de celle-ci.

Désinstallation du service

Avant de pouvoir désinstaller le service, vous devez l'arrêter.

Quand vous désinstallez le service, vous pouvez choisir soit garder l'exécutable, soit l'effacer. Il vaut mieux effacer le fichier s'il se trouve dans le répertoire système, et le garder s'il est dans le répertoire de WDumpEvt.

Attention, vous pouvez effacer le fichier uniquement si le journal application n'est pas visualisé dans l'observateur d'événements, car il se sert de ce fichier pour décoder la description des événements.

N'oubliez pas de désinstaller le service avant de désinstaller le logiciel WDumpEvt, car Windows NT™ ne fournit aucune procédure pour désinstaller un service.

Remarque

Pour chacune de ces opérations, un événement est écrit dans le journal application.


WDumpEvt : Description des objets

Description des objets

Ordinateur local

Journal d'événements

Source

Catégorie.

Ordinateur sous Windows NT ou Windows 2000

Ordinateur qui n'est ni sous Windows NT, ni sous Windows 2000

Fichier

Liste des sessions utilisateur

Liste des sessions en échec

Liste des impressions

Liste des sessions RAS


WDumpEvt : Gestion des ordinateurs

Ordinateur

Les actions sont différentes suivant le type d'ordinateur.
Pour les ordinateurs sous Windows NT et Windows 2000, vous pouvez :

  • Voir les actions à exécuter aujourd'hui.
  • Voir toutes les actions
  • Gérer le service LogSched.
  • Voir les propriétés de l'ordinateur : c'est-à-dire le commentaire réseau (initialisé avec la commande Net Config Server ou Net Config Workstation)

Pour les autres ordinateurs, vous pouvez uniquement visualiser les propriétés.


WDumpEvt : Gestion des journaux d'événements

Journal d'événements

Si vous sélectionnez un journal, vous pouvez:

  • Le sauvegarder.
  • L'effacer : cette action est irréversible.
  • Le sauvegarder puis l'effacer.
  • Le dumper.
  • Définir une action.
  • Afficher ou rafraîchir la liste d'événements.
  • Récupérer ses propriétés et définir la taille maximale du fichier ainsi que la rétention des événements.

Quelques propriétés particulières

  • Numéro du premier enregistrement : Si ce numéro est différent de 1, cela signifie que les événements plus anciens ont été automatiquement effacer par le système.
  • Date du dernier effacement/sauvegarde/dump : c'est celle de la dernière action réussie qui a été faite avec le logiciel WDumpEvt ou le service LogSched.
  • Rétention : Spécifie l'action entreprise lorsque la taille maximale du journal est atteinte parmi les trois actions suivantes :
    • Tous les nouveaux événements seront enregistrés dans le journal, même si celui-ci est saturé.
      Lorsque le journal est saturé, chaque nouvel événement remplace le plus ancien
    • Les événements seront conservés pendant un certain nombre de jours (que vous devez spécifier entre 1 et 365, par défaut 7) avant d'être remplacé.
      Les nouveaux événements ne seront pas ajoutés si la taille maximale du journal est atteinte et qu'aucun événement n'est antérieur à cette période.
      Ce choix est particulièrement indiqué si vous souhaitez archiver des fichiers journaux de façon hebdomadaire.
    • Les événements existant seront conservés lorsque le journal sera saturé.
      Si la taille maximale du journal est atteinte, les nouveaux événements ne seront pas enregistrés.
      Vous devez alors effacer le journal manuellement.
      Ce choix n'est judicieux que s'il est indispensable de conserver tous les événements.


WDumpEvt : Gestion des sources et catégories

Source et catégorie

Si vous sélectionnez une source ou une catégorie, vous pouvez:

  • La dumper
  • Définir une action
  • Afficher ou rafraîchir la liste d'événements
  • Récupérer ses propriétés

Quelques propriétés particulières

  • Date du dernier dump : c'est celle de la dernière action réussie qui a été faite avec le logiciel WDumpEvt ou le service LogSched.


WDumpEvt : Gestion des Fichiers

Fichier

Avant d'étudier un fichier.evt, vous devez l'importer

  • Par la commande Ajouter du menu Fichier
  • Par le bouton add icon de la barre d'outils
  • En faisant un drag and drop du fichier.

Si vous sélectionnez un fichier, vous pouvez:

  • Le dumper.
  • Modifier le type du fichier:

    Le type de journal est déterminé par défaut à partir du premier et dernier événement. Il peut être erroné, c'est juste une indication. (c'est la raison du point d'interrogation) C'est pour cela que vous avez une possibilité de le changer.

    Le type de fichier détermine les différentes listes que l'on peut afficher à partir de ce fichier comme Impressions et Ras pour un journal système. Il détermine aussi la façon de décoder les descriptions des messages. Si vous choisissez un mauvais type de fichier, vous n'aurez peut être aucune description de message.

  • Afficher ou rafraîchir la liste d'événements.
  • Récupérer ses propriétés : Type et nom du serveur d'ou vient ce journal, nombre d'événements, numéro et date du premier et dernier événement.

    Vous pouvez également obtenir ces informations dans le menu contextuel de l'explorateur Windows, choix Détail.


WDumpEvt : Gestion des sessions utilisateur, des sessions en échec,

Sessions utilisateur
Sessions en échec
Sessions Ras
Impressions

Si vous sélectionnez une session, vous pouvez:

  • En faire un dump
  • Définir une action
  • Afficher ou rafraîchir la liste d'événements
  • Récupérer ses propriétés.

Quelques propriétés particulières

  • Date du dernier dump : c'est celle de la dernière action réussie qui a été faite avec le logiciel WDumpEvt ou le service LogSched.


WDumpEvt : Options

Options

Vous pouvez définir

  • La langue de l'interface (Anglais ou Français) avec le menu Options:
  • Les différents formats pour le fichier de sortie du dump avec le choix Format du menu Options ou avec le bouton [image] de la barre d'outils:
    • Format de la date pour les fichiers de dump et pour les noms de fichiers
    • Le séparateur et les chaînes de caractères pour le type d'événements dans le format texte
    • L'en-tête et le pied de page ainsi que les images ou chaînes de caractères pour le type d'événements.
    • Les marges et police d'impression

Option : format de la date

Le format date pour les dumps est aussi utilisé pour la date dans les différentes fenêtres de propriétés. (Attention le format est celui défini lors de l'action et non lors de l'affichage des propriétés)

Description du format avancé :

  • %M minutes (00-59)
  • %S secondes (00-59)
  • %a notation abrégée du jour de la semaine
  • %A notation complète du jour de la semaine
  • %b notation abrégée du nom du mois
  • %B notation complète du nom du mois
  • %d numéro du jour (01 – 31)
  • %H heure dans le format 24-heures (00 – 23)
  • %I heure dans le format 12-heures (01 – 12)
  • %j jour de l'année (001 – 366)
  • %m mois au format décimal (01 – 12)
  • %U semaine de l'année en format décimal avec dimanche comme premier jour de la semaine (00-53)
  • %w jour de la semaine au format décimal (0 – 6; dimanche est 0)
  • %W semaine de l'année au format décimal, avec lundi comme premier jour de la semaine (00 – 53)
  • %y année sans le siècle au format décimal (00 – 99)
  • %Y année avec le siècle au format décimal
  • %% signe pourcentage

Note pour les programmeurs

Le format avancé correspond à la méthode Format de la classe COleDateTime.

Option : format texte

Le séparateur est le caractère utilisé pour séparer les champs dans les dumps. Le point-virgule est un séparateur judicieux si vous voulez importer le fichier dans une base de données.

Vous pouvez définir les chaînes de caractères qui apparaîtront dans vos dumps pour spécifier le type d'événement. Par exemple AS si vous trouvez que audit des succès est trop long

Option : format HTML

Vous pouvez définir les en-tête et pied de page du fichier HTML. Il faut respecter la syntaxe des fichiers HTML et ne pas oublier de fermer toutes les balises ouvertes.

N'oubliez pas les <TABLE> et </TABLE> dans les en-têtes et pieds de page, autrement votre fichier html ne sera pas correct, les lignes étant définies comme les lignes d'un tableau.

Vous pouvez enlever les balises IMG dans les champs Légende pour la description des types d'événements et choisir un mot ou une abréviation comme dans le format texte.

Les Légende pour la description des types d'événements sont insérées sans modification dans le fichier html, si elles contiennent une balise IMG vous devez faire attention à l'emplacement réel des fichiers image.

Option : Format d'impression

Vous pouvez choisir la taille et la police d'impression de vos listes.


WDumpEvt : Quelques événements intéressants

Quelques événements intéressants

Journal Système
Événements d’impression

10 | Le document a été imprimé.
11 | Le document a été mis en pause.
12 | Le document a repris.
13 | Le document a été supprimé.
18 | Le délai du document a expiré. Le spouleur a attendu et aucune donnée n'a été reçue.

Journal sécurité
Windows NT marche/arrêt

512 | Windows NT se met en route.
513 | Windows NT s’arrête.

Procédure de connexion

529 | Échec de la connexion, Raison: Nom d'utilisateur inconnu ou mauvais mot de passe.
530 | Échec de la connexion, Raison: Violation des restrictions des horaires de connexion du compte.
531 | Échec de la connexion, Raison: Le compte courant a été invalidé.
532 | Échec de la connexion, Raison: Le compte indiqué d'utilisateur a expiré.
533 | Échec de la connexion, Raison: Utilisateur non autorisé à ouvrir une session sur cet ordinateur.
535 | Échec de la connexion, Raison: Utilisateur non autorisé à ouvrir une session sur cet ordinateur.
536 | Échec de la connexion, Raison: Le composant NetLogon n'est pas activé.
537 | Échec de la connexion, Raison: Une erreur inattendue s'est produite pendant le Logon.
538 | Fermeture de session.

Processus

560 | Objet Ouvert.
562 | Handle fermé.
576 | Privilèges spéciaux assignés à la nouvelle session.
592 | Un nouveau processus a été créé.
539 | Un processus s'est terminé.


WDumpEvt : Utilitaires supplémentaires

Utilitaires supplémentaires
en ligne de commande

Ces utilitaires sont uniquement distribués aux utilisateurs enregistrés.

CDumpEvt

Dump des journaux d'événements.

Syntaxe

CDumpEvt /App|/Sys|/Sec [options] nom_fichier
nom_fichier | Nom du fichier résultat. (suffixe TXT, CSV ou HTML)
/App, /Sys or /Sec | Spécifie le journal à dumper.
/Since | Depuis le dernier dump.
/Overwrite | Ecrase un fichier existant.
/Add | Ajoute à un fichier existant.
/Message | Décode les descriptions des événements.
/long | Format long.
/Ole | Date au format OLE.
/Title | Titre.
/Ascii | Format ascii pour les données.
/Hexa | Format hexa pour les données.
/Evt num | Dump d'un seul numéro d'événement dont le numéro est num.
/TypeAuditFailure | Choisissez le type d'événements que vous voulez obtenir. Vous pouvez choisir un ou plusieurs types.
/TypeAuditSuccess
/TypeError
/TypeWarning
/TypeInfo
/Yes | Aucune confirmation à faire avant le dump.
Pour plus de détails sur ces options, Veuillez consulter la page Comment dumper un journal...

CDumpSession

Dump des sessions utilisateur, sessions en échec, sessions RAS et impressions

Syntaxe

CDumpSession /User|/Failure|/Ras|/Print [options] nom_fichier
nom_fichier | Nom du fichier résultat. (suffixe TXT, CSV ou HTML)
/User, /Failure, /Ras or /Print | Spécifie la session à dumper.
/Since | Depuis le dernier dump.
/Overwrite | Ecrase un fichier existant.
/Add | Ajoute à un fichier existant.
/long | Format long.
/Ole | Date au format OLE.
/Title | Titre.
/Yes | Aucune confirmation à faire avant le dump.
Pour plus de détails sur ces options, Veuillez consulter la page Comment dumper un journal...

CSavEraLog

Sauvegarde et/ou effacement des journaux.

Syntaxe

CSavEraLog /Save|/Erase /App|/Sys|/Sec nom_fichier
nom_fichier | Nom du fichier résultat. (suffixe EVT)
/Save et/ou /Erase | Spécifie l'action à exécuter. (sauvegarde, effacement ou les deux)
/App, /Sys or /Sec | Spécifie le journal à dumper.
/Yes | Aucune confirmation à faire avant la sauvegarde ou l'effacement.


WDumpEvt : Enregistrement

Enregistrement de WDumpEvt
Licence d'utilisation

Le logiciel WDumpEvt est Copyright © 1997-2000, Isabelle Vollant.
Tous les droits pour ce logiciel sont réservés par l'auteur.
Vous ne devez pas modifier ou désassembler le contenu des fichiers du programme.

WDumpEvt est un logiciel en Shareware. Cela signifie que vous pouvez l'utiliser gratuitement seulement pour la période d'évaluation de 30 jours. Après cela, vous devez enregistrer votre copie du logiciel en payant une petite redevance à l'auteur ou vous devez arrêter de l'utiliser et l’effacer de votre disque dur.
En plus de légaliser l’utilisation de WDumpEvt et d'aider l'auteur, il y a d’autres raisons de vous enregistrer. Pour plus de détails, allez voir la section enregistrement.

Indépendamment de votre enregistrement, vous êtes encouragé à distribuer la version non enregistrée de WDumpEvt. La version enregistrée ne doit pas être distribuée du tout.

Ce logiciel ne peut pas être revendu ou utilisé dans aucune activité générant des profits, y compris, mais non limité à, distribuer WdumpEvt comme une partie d’un produit commercial ou comme support à des services commerciaux, sans permission écrite de l’auteur.

Il n'y a aucune garantie de fiabilité. Le programme est distribué dans l’état, et l'auteur ne pourra être jugé responsable d'aucune perte de données, de temps ou de revenus ou d'aucun autre dommage ou réclamation directs ou indirects provoqués par ce logiciel.

Enregistrement

Comme défini dans la licence de WDumpEvt, vous devez enregistrer le produit pour continuer de l'utiliser après la période d'évaluation de 30 jours. L'enregistrement implique de payer la somme de :

$50 | FF 250 | 40 euros | Pour le programme principal et le service sur la même machine, et le service LogSched sur deux machines supplémentaires.
$70 | FF 350 | 56 euros | Pour le programme principal et 5 LogSched
$100 | FF 500 | 80 euros | Pour le programme principal et 10 LogSched
$10 | FF 50 | 8 euros | Pour chaque ordinateur supplémentaire ou vous installez le service LogSched.
$90 | FF 450 | 72 euros | 10 LogSched
$200 | FF 1000 | 160 euros | 25 LogSched
$360 | FF 1800 | 288 euros | 50 LogSched
$600 | FF 3000 | 480 euros | 100 LogSched

Contactez-moi pour une licence sur site.

Voici ce que vous obtenez en plus lorsque vous vous êtes enregistré :

  • Trois outils supplémentaires utilisables en ligne de commande
    CDumpEvt | Dump des journaux.
    CDumpSession | Dump des sessions utilisateur, sessions en échec, sessions RAS et impressions
    CSavEraLog | Sauvegarde et/ou effacement des journaux.
  • Support technique. Fourni par e-mail. Je répondrai à n'importe quelle question. Je ferai de mon mieux pour résoudre (ou vous aider à résoudre) tous les problèmes que vous pourriez avoir en utilisant mon logiciel.
  • Code d'enregistrement : qui permet de supprimer l'écran de démarrage et de fin, de stopper la génération des événements d'avertissement dans le journal application, et de supprimer la dernière ligne dans le fichier de dump.

Comment vous enregistrer ?

Vous pouvez vous enregistrer sur Internet (formulaire sécurisé) avec votre carte de crédit

Ou envoyer le formulaire suivant avec un chèque à

Isabelle VOLLANT
17 place Lucien Bossoutrot
78140 Vélizy-Villacoublay
France

émail : ivollant@eventlog.com
Tel : (33) (1) 39 46 27 95


WDumpEvt: Formulaire d'enregistrement

Formulaire d'enregistrement

visa Vous pouvez vous enregistrer sur Internet (formulaire sécurisé) avec votre carte de crédit mastercard

Ou envoyer un chèque à Isabelle VOLLANT
17 place Lucien Bossoutrot
78140 Vélizy-Villacoublay
France

Date :
Nom :
Société :
Adresse1 :
Adresse2 :
Ville : | Etat/Province :
Pays : | Code postal:
Email :

Licences
US$ | FF | euros
Pack 1 : 1 WDumpEvt et 2 LogSched | $50 | FF 250 | 40 euros
Pack 2 : 1 WDumpEvt et 5 LogSched | $70 | FF 350 | 56 euros
Pack 3 : 1 WDumpEvt et 10 LogSched | $100 | FF 500 | 80 euros
Pack 4 : 1 LogSched | $10 | FF 50 | 8 euros
Pack 5 : 10 LogSched | $90 | FF 450 | 72 euros
Pack 6 : 25 LogSched | $200 | FF 1000 | 160 euros
Pack 7 : 50 LogSched | $360 | FF 1800 | 288 euros
Pack 8 : 100 LogSched | $600 | FF 3000 | 480 euros
Total

Commentaire ou suggestions

Signature


WDumpEvt: Remerciements

Remerciements

Je voudrais remercier

  • Mes parents Monique et Jean Claude pour m'avoir aider en relisant ma documentation et en faisant les captures d'écran.
  • Mon frère Gilles (auteur de winimage) pour ses conseils et son support technique.
  • Peder Wiese pour avoir corrigé mon anglais.
  • Les utilisateurs qui m'ont aidés en s'enregistrant et en recommandant ce logiciel à leurs amis et collegues.
  • Les utilisateurs qui m'ont envoyés leurs journaux d'événements.
  • Les utilisateurs qui m'ont signalés les problèmes et envoyés des suggestions.


.topic 1000
Affecte un compte d'ouverture de session au service Logshed. Le compte doit être de la forme domaine\compte.

.topic 1001
Affiche le type de démarrage d'un service, de la façon suivante :

    Automatique 	: permet de spécifier le démarrage automatique du service à chaque fois que le système démarre.

    Manuel 		: indique qu'un utilisateur peut démarrer le service. Le service ne démarre pas automatiquement chaque fois que le système démarre.

    Désactivé 	: empêche le démarrage du service par le système ou par un utilisateur.

.topic 1002
Indique le chemin et l'emplacement du fichier d'origine du service.

Vous pouvez 	soit exécuter le service à partir de cet emplacement,

        soit le copier (de préférence dans un répertoire système) avant de le lancer.

.topic 1003
Indique le chemin et le nom du fichier de destination de la copie.

Le nom et l'emplacement de ce fichier ne pourront pas être modifiés tant que vous ne désinstallerez pas le service.

.topic 1005
Indique que l'on doit copier le fichier exécutable du service avant de le lancer.

Vous devez spécifier le répertoire de destination.

.topic 1006
Indique que le service LogSched ouvrira une session sur le compte du système local plutôt que sur un compte utilisateur.

.topic 1007
Permet de taper le mot de passe du compte utilisateur.

.topic 1008
Affecte un compte d'ouverture de session au service Logshed afin de pouvoir accéder à certaines ressources tels des disques réseau.

.topic 1009
Cliquez ici pour sélectionner le répertoire de copie du service.

.topic 1100
Serveur où sera exécutée l'action.

.topic 1101
Nom du journal sur lequel sera exécutée l'action.

.topic 1102
Identifie le logiciel qui a enregistré l'événement.

Ce logiciel peut être une application ou un composant du système, tel qu'un pilote.

.topic 1103
Affiche une classification de l'événement, telle que définie par la source qui a enregistré l'événement.

.topic 1104
Nom du fichier de destination.

.topic 1516
Sauvegarder le journal.

Cette action n'est disponible que pour un journal.

.topic 1520
Dumper puis effacer le journal.

Cette action n'est disponible que pour un journal.

.topic 1106
Pour une action périodique, durée entre deux actions.

Pour les autres types d'actions, heure d'exécution de l'action.

.topic 1107
jours d'exécution de l'action.

.topic 1314
format de sortie parmi :

    Titre		: ajoute un titre au début du fichier.

    Message	: ajoute le libellé de l'événement.

    Format long ou format personnalisé (pour les dumps de sessions).

    Date OLE	: date au format OLE, c'est-à-dire sous forme d'un réel.

               (Ce format est utile si vous voulez importer un fichier vers MS-Access, par exemple).

    Data hexa	: données dumpées au format hexadécimal.

    Data ascii	: données dumpées au format ascii.

.topic 1110
Options de sortie parmi :

    Tous les événements ou un seul événement (définie par son numéro).

    Depuis le dernier dump , c'est-à-dire depuis la dernière exécution de cette action.

    Ajouter à un fichier existant ou écraser un fichier existant.

    Tous les types ou un ou plusieurs types parmi :

        Erreur

        Avertissement

        Information

        Audit des succès

        Audit des échecs

.topic 1111
Périodicité exécution de l'action parmi :

    Une fois

    Périodique

    Quotidien

    Hebdomadaire

    Mensuel

.topic 1105
Action à faire parmi :

    Sauvegarde

    Effacement

    Sauvegarde puis effacement

    Dump

    Dump et effacement

.topic 1200
Liste des champs disponibles

.topic 1201
Liste des champs inclus dans le dump

.topic 1202
Ajouter un ou plusieurs champs dans le dump

.topic 1203
Supprimer un ou plusieurs champs dans le dump

.topic 1204
Changer l'ordre des champs dans le dump : passe le champ sélectionné avant le champ précédent.

.topic 1205
Changer l'ordre des champs dans le dump : passe le champ sélectionné après le champ suivant.

.topic 1206
Modifier le titre du champ. Ne pas oublier de valider pour prendre en compte la modification.

.topic 1207
Valider la modification du titre.

.topic 1300
Indique le type d'action et l'objet sur lequel va s'appliquer cette action.

.topic 1301
Cliquez pour rechercher un fichier.

.topic 1302
Ajoute un titre au début du fichier.

Cette option n'est disponible qu'avec le format court.

.topic 2305
Ajoute un titre au début du fichier.

.topic 1303
Ajoute le libellé de l'événement

.topic 1304
Si cette option n'est pas sélectionnée, le dump est au format court :

    numéro de l'événement

    type de l'événement

    nom de l'ordinateur

    date et heure

    nom de l'utilisateur

    domaine

Sinon le dump est au format long :

    format court plus les informations spécifiques à l'événement.

.topic 1305
Date au format OLE, c'est-à-dire sous forme d'un réel.

Ce format est utile si vous voulez importer un fichier vers MS-Access, par exemple.

.topic 1306
Données dumpées au format hexadécimal.

.topic 1307
Données dumpées au format ascii.

.topic 1309
Nom du fichier de sortie:

Son extension (TXT, HTM/HTML ou CSV) détermine le type du fichier.

Vous pouvez utiliser

    %computer%			: pour ajouter le nom de l'ordinateur

    %date% ou %date(format)%	: pour insérer la date. Le format est le même que celui des options.

.topic 1310
Si cette option n'est pas sélectionnée, vous devez spécifier le numéro de l'événement à dumper.

.topic 1311
Le dernier dump est :

    pour une action		: la dernière exécution de cette action,

    pour un dump direct	: le dernier dump de cet objet (journal, source, catégorie)

.topic 1313
Numéro de l'événement à dumper.

.topic 1315
Indique le type du journal dont le fichier est une sauvegarde. Si ce type ne vous semble pas correct, vous pouvez le changer.

Si ce type est incorrect, le libellé des événements sera incorrect ou inexistant.

.topic 1316
Indique si les données binaires de l'événement seront dumpées ou non et avec quel format.

Tous les événements ne génèrent pas des données binaires.

.topic 1317
Cliquez ici pour obtenir un aperçu de cette boite de dialogue.

Pour obtenir de l'aide sur un élément particulier, cliquez sur le point d'interrogation en haut de cette boîte de dialogue puis cliquez sur l'élément.

.topic 1319
Dump tous les types d'événements.

.topic 1320
Sélectionnez un ou plusieurs types d'événement à dumper :

    Erreur

    Avertissement

    Information

    Audit des succès

    Audit des échecs

.topic 1321
Ajoute le dump à la fin du fichier existant, ou crée le fichier s'il n'existe pas.

Attention si vous utilisez le format HTML, l'en-tête et le pied de page seront ajoutés également.

.topic 1322
Permet de tester le nom du fichier avec la date courante.

.topic 1323
Remplace le fichier existant par le fichier de dump, ou crée le fichier s'il n'existe pas.

.topic 1400
Nom fourni lorsque vous vous enregistrez.

.topic 1401
Code fourni lorsque vous vous enregistrez.

.topic 1500
Indique la fréquence de l'action.

.topic 1501
L'action ne sera exécutée qu'une fois.

Vous devez spécifier l'heure d'exécution et éventuellement un jour de la semaine.

.topic 1502
L'action sera exécutée périodiquement.

Vous devez spécifier l'intervalle entre chaque dump.

.topic 1503
L'action sera exécutée tous les jours.

Vous devez spécifier l'heure exécution.

.topic 1504
L'action sera exécutée toutes les semaines, une ou plusieurs fois.

Vous devez spécifier un ou plusieurs jours ainsi que l'heure d'exécution.

.topic 1505
L'action sera exécutée tous les mois.

Vous devez spécifier le jour dans le mois ainsi que l'heure d'exécution.

.topic 1506
Nom de l'action.

Le menu déroulant vous indique les actions déjà définies pour l'objet sélectionné

Si vous choisissez une de ces actions, sa définition sera alors chargée.

En renommant ensuite l'action, cela vous permet d'en faire une copie.

.topic 1507
Indique l'heure de démarrage de l'action.

.topic 1510
Choix du ou des jours de l'action hebdomadaire.

.topic 1511
Choix du ou des jours de l'action hebdomadaire.

.topic 1512
Choix du jour de l'action mensuelle.

.topic 1513
Choix du jour de l'action mensuelle.

.topic 1515
Choix de l'action à effectuer.

.topic 1517
Effacer le journal.

Cette action n'est disponible que pour un journal.

.topic 1518
Sauver puis effacer le journal.

Cette action n'est disponible que pour un journal.

.topic 1519
Dump du journal, d'une source ou d'une catégorie.

Cette action est disponible pour un journal, une source ou une catégorie.

.topic 1521
Nom du fichier où sera sauvegardé le journal.

Vous pouvez utiliser

    %computer%			: pour ajouter le nom de l'ordinateur.

    %date% ou %date(format)%	: pour insérer la date. Le format est le même que celui des options.

.topic 1523
Cliquez pour définir les propriétés du dump.

Vous devez définir votre dump afin de valider votre action.

.topic 1524
Définition du cycle des actions périodiques.

.topic 1525
Définition du cycle des actions périodiques.

.topic 1526
Choix de l'unité de la périodicité :

    minute

    heure

.topic 1527
Script à exécuter après l'action

Vous pouvez utiliser

    %computer%	: pour définir l'ordinateur sur lequel s'est déroulée l'action.

    %date%		: la date d'exécution de l'action.

    %file%		: le nom du fichier résultat de l'action

    %action%	: le nom de l'action

    %résultat%	: le résultat de l'action

.topic 1600
Installe le service LogSched.

Vous pouvez spécifier le type de démarrage et l'emplacement des exécutables en cliquant sur ce bouton.

Ce bouton est actif uniquement si le service n'est pas installé, ou si l'état du service est inconnu.

.topic 1601
Démarre le service LogSched.

Ce bouton est actif uniquement si le service est installé et non démarré, ou si l'état du service est inconnu.

.topic 1602
Désinstalle le service LogSched.

Ce bouton est actif uniquement si le service est installé et non démarré, ou si l'état du service est inconnu.

.topic 1603
Arrête le service LogSched.

Ce bouton est actif uniquement si le service est démarré, ou si l'état du service est inconnu.

.topic 1609
Serveur ou est installé le service.

.topic 1604
Indique le chemin et l'emplacement du fichier du service.

Le nom et l'emplacement de ce fichier ne pourront pas être modifiés tant que vous ne désinstallerez pas le service.

.topic 1605
Nom du service.

.topic 1606
Version du service.

La version doit être identique à la version du programme principal WDumpEvt.

.topic 1607
start type txt

.topic 1608
Affiche l'état du service, de la façon suivante :

    Le service n'est pas installé	: Le service n'est pas installé.

    Le service ne tourne pas	: Le service n'est pas en cours d'exécution.

    Le service démarre 		: Le service est en cours de démarrage, mais il n'a pas encore entièrement démarré.

    Le service tourne		: Le service est en cours d'exécution.

    Le service s'arrête		: Le service s'interrompt, mais il n'est pas encore entièrement arrêté.

    État inconnu			: Le service n'a pas encore répondu à la demande d'information.

.topic 1611
Modifie le type de démarrage du service

.topic 1615
Indique le compte d'ouverture de session du service Logshed.

.topic 1900
Affiche des détails sur l'événement précédent.

.topic 1901
Affiche des détails sur l'événement suivant.

.topic 3003
Affiche l'utilisateur si un événement est attribué à un utilisateur spécifique.

.topic 1902
Nom de l'utilisateur qui a imprimé le document.

.topic 1903
Date de l'impression

.topic 1904
Taille du document imprimé.

.topic 1905
Nombre de pages du document imprimé

.topic 1906
Port d'impression

.topic 1907
Nom du serveur d'impression.

.topic 1908
Numéro d'ordre du document.

.topic 1909
Nom du domaine et de l'utilisateur qui a généré cet événement.

.topic 1910
Nom de fichier du document.

.topic 1911
Nom le l'imprimante qui a imprimé le document.

.topic 2002
Date de début de la session.

.topic 2003
Nom de l'utilisateur de la session.

Ce nom est entre parenthèses si le champ utilisateur de l'événement est vide et donc c'est l'utilisateur de l'événement qui est listé.

.topic 2004
Processus d'authentification, c'est en général "MICROSOFT_AUTHENTICATION_PACKAGE_V1_0":

.topic 2005
Station d'ou s'est connecté l'utilisateur.

.topic 2006
Type de la session :

    2 	: session interactive

    3 	: session réseau (net use, net view ou accès par un file manager)

    4 	: session Batch

    5 	: service

    6 	: proxy

    7 	: unlock Workstation

.topic 2007
Numéro d'identification de la session.

.topic 2008
Processus d'ouverture de session:

      "KSecDD":

             ksecdd.sys, the security device driver

      "User32" or "WinLogon\MSGina":

             winlogon.exe & msgina.dll, the authentication user interface

      "SCMgr":

             The Service Control Manager

      "LAN Manager Workstation Service"

      "advapi" :

           API call to LogonUser

    "IIS" :

        Internet Information Server

    NtLmSsp :

        NT LAN Manager Security Support Provider

.topic 2009
Nom du domaine.

.topic 2010
Nom du serveur

.topic 2011
Durée de la session.

.topic 2012
Date de fin de la session.

.topic 2013
Nom du domaine et de l'utilisateur qui a généré cet événement

.topic 2102
Nom de l'utilisateur de la session.

.topic 2109
Date de la tentative de connexion.

.topic 2111
Raison de l'échec de la session.

C'est en fait la description de l'événement, la raison étant au début de cette description.

.topic 2202
Date de début de la session.

.topic 2203
Nom de l'utilisateur de la session.

.topic 2204
Date de l'événement

.topic 2205
Nombre d'octets envoyés pendant la session.

.topic 2206
Nombre d'octets reçus pendant la session.

.topic 2207
Nom du port de connexion.

.topic 2208
Nom du domaine de l'utilisateur

.topic 2209
Nom du serveur

.topic 2210
Durée de la session.

.topic 2211
Date de fin de la session.

.topic 2212
Nom du domaine et de l'utilisateur qui a généré cet événement.

.topic 2213
Vitesse de connexion.

.topic 2214
Raison de la déconnexion de la session.

.topic 2308
Accéder au panneau de choix des champs.

.topic 2309
Format court, la liste des champs dépend du type de session. Pour plus de détails veuillez consulter l'aide.

.topic 2310
Format long, c'est-à-dire tous les champs.

.topic 2311
Format personnalisé : vous pouvez choisir les champs à inclure dans votre dump en cliquant sur le bouton Personnaliser.

.topic 2400
Nombre d'événements du journal

.topic 2401
Affiche le nom et l'emplacement du fichier journal.

.topic 2402
Affiche la taille actuelle du fichier journal.

.topic 2403
Indique la date du premier événement du journal.

.topic 2404
Indique la date du dernier événement du journal.

.topic 2405
Indique la date de l'effacement le plus récent du journal avec WDumpEvt ou avec le service LogSched.

.topic 2406
Indique la date de la sauvegarde la plus récente du journal avec WDumpEvt ou avec le service LogSched.

.topic 2407
Indique la date du dump le plus récent avec WDumpEvt ou avec le service LogSched.

.topic 2408
Numéro du premier événement du journal.

Si ce numéro est différent de 1, cela signifie que les événements plus anciens ont été automatiquement effacés par le système.

.topic 2409
Numéro du dernier événement du journal.

.topic 2410
Indique les bornes (numéro du premier et du dernier événement) du dump le plus récent avec WDumpEvt ou avec le service LogSched.

.topic 2412
Spécifie l'action entreprise lorsque la taille maximale du journal est atteinte.

.topic 2411
Offre un espace vous permettant de taper la taille maximale du fichier journal. Vous pouvez également cliquer sur les flèches pour modifier la taille du fichier journal.

Par défaut la taille maximale est 512 Ko.

Les options de remplacement proposées sous cet onglet spécifient ce qui se produit lorsque la limite est atteinte.

.topic 2413
Spécifie si tous les nouveaux événements seront enregistrés dans le journal, même si celui-ci est saturé.

Lorsque le journal est saturé, chaque nouvel événement remplace le plus ancien.

.topic 2414
Spécifie le nombre de jours pendant lesquels un fichier journal sera conservé avant d'être remplacé.

Vous pouvez définir le nombre de jours devant s'écouler avant qu'un journal puisse être remplacé, en utilisant des chiffres de 1 à 365. Les nouveaux événements ne seront pas ajoutés si la taille maximale du journal est atteinte et qu'aucun événement n'est antérieur à cette période.

Le paramètre par défaut pour cette option est 7.

Ce choix est particulièrement indiqué si vous souhaitez archiver des fichiers journaux de façon hebdomadaire.

.topic 2415
Spécifie si les événements existant seront conservés lorsque le journal sera saturé. Si la taille maximale du journal est atteinte, les nouveaux événements sont supprimés.

Vous devez alors effacer le journal manuellement.

Sélectionnez cette option uniquement lorsqu'il est indispensable de conserver tous les événements.

.topic 2416
Spécifie l'action entreprise lorsque la taille maximale du journal est atteinte.

.topic 2419
Enregistre toutes les modifications effectuées sans fermer cette boite de dialogue.

.topic 2420
Restaure les paramètres par défaut pour le journal.

.topic 2502
Nom du serveur à ajouter dans l'arbre (avec ou sans //).

.topic 2501
Si vous cochez cette case, le serveur sera automatiquement ajouté à chaque démarrage de WDumpEvt.

.topic 2600
Format de la date utilisé pour les dumps.

.topic 2601
Format de la date utilisé pour les noms de fichier.

.topic 2602
Vérification du format de la date à partir de la date courante.

.topic 2603
Le format avancé correspond à la méthode Format de la classe COleDateTime :

    %M 	: minutes (00-59)

    %S 	: secondes (00-59)

    %a 	: notation abrégée du jour de la semaine

    %A 	: notation complète du jour de la semaine

    %b 	: notation abrégée du nom du mois

    %B 	: notation complète du nom du mois

    %d 	: numéro du jour (01 - 31)

    %H 	: heure dans le format 24 heures (00 - 23)

    %I 	: heure dans le format 12 heures (01 - 12)

    %j 	: jour de l'année (001 - 366)

    %m 	: mois au format décimal (01 - 12)

    %U 	: semaine de l'année en format décimal avec dimanche comme premier jour de la semaine (00-53)

    %w 	: jour de la semaine au format décimal (0 - 6; dimanche est 0)

    %W 	: semaine de l'année au format décimal, avec lundi comme premier jour de la semaine (00 - 53)

    %y 	: année sans le siècle au format décimal (00 - 99)

    %Y 	: année avec le siècle au format décimal

    %% 	: signe pourcentage

.topic 2607
Test du format avec la date courante.

.topic 2700
Caractère utilisé pour séparer les champs dans les dumps.

Le point-virgule est un séparateur judicieux si vous voulez importer le fichier dans une base de données.

.topic 2701
Définit la chaîne de caractères que vous voulez voir apparaître dans vos dumps pour spécifier le type d'événement.

.topic 2800
Définit l'en-tête du fichier HTML.

Il faut respecter le format d'un en-tête de fichier HTML et surtout ne pas oublier la balise <TABLE>, les données du dump étant définies dans un tableau HTML.

.topic 2801
Définit le pied de page du fichier HTML.

Il faut respecter le format d'un pied de page de fichier HTML et fermer toutes les balises qui ont été ouvertes dans l'en-tête et donc ne pas oublier la balise </TABLE>.

.topic 2802
Définit la chaîne de caractères que vous voulez voir apparaître dans vos dumps pour spécifier le type d'événement.

Vous pouvez définir cette chaîne de caractères en HTML et ainsi insérer des images. Pensez à spécifier le chemin de l'image à partir de l'emplacement du fichier généré.

.topic 2900
Définit la zone d'impression de la page. L'imprimante imprimera le texte uniquement à l'intérieure de ces marges

.topic 2901
Nom de la police de caractères utilisée pour l'impression des dumps.

.topic 2902
Taille de la police de caractères utilisée pour l'impression des dumps.

.topic 2903
Modification de la taille et de la police de caractères pour l'impression des dumps.

.topic 3002
Affiche la date à laquelle l'événement a été généré.

.topic 3007
Affiche une description textuelle de l'événement. Les descriptions textuelles sont créées par la source de l'événement.

Si l'indication "(local)" est indiquée à la fin de la description d'un événement d'un ordinateur distant, cela signifie que la description n'a pas pu être récupérée de cet ordinateur distant, mais récupérée sur l'ordinateur courant.

.topic 3103
Affiche les données binaires générées par l'événement.

.topic 3104
Affiche les paramètres de l'événement.

C'est-à-dire les données spécifiques à cet événement et qui complètent la description de l'événement. Il se peut que tous les paramètres ne soient pas utilisés dans la description.

.topic 3008
Numéro d'ordre de l'événement dans le journal.

.topic 3010
Affiche un numéro d'événement permettant d'identifier un événement spécifique.

.topic 3009
Affiche le nom exact de l'ordinateur où s'est produit l'événement enregistré.

.topic 3100
Choisissez d'afficher les données binaires au format hexadécimal.

.topic 3101
Choisissez d'afficher les données binaires au format DWORDS.

.topic 3102
Choisissez d'afficher les données binaires au format ASCII (utile pour les événements Dr Watson par exemple).