Как узнать когда удалили программу на компьютере

Вообще да, сообщения от msiexec смотреть надо, но если журнал мелкий, а флуда много, скорее всего, они были стерты как слишком старые.

15 июл 2015 в 13:14
15 июл 2015 в 15:38

1 ответ 1

Сортировка: Сброс на вариант по умолчанию

В общем случае нельзя. Создание файла с программой на диске, например, может затем сопровождаться подменой временнЫх меток файловой системы и т.п. В итоге никакой информации об истинном времени появления файла не будет, но установкой это вполне можно считать. Отдельные же случаи установки вполне могут оставлять достаточно информации для определения времени.

Отслеживать
ответ дан 15 июл 2015 в 13:35
Владимир Мартьянов Владимир Мартьянов
9,639 4 4 золотых знака 21 21 серебряный знак 35 35 бронзовых знаков
Да в реестр большинство инсталляторов прописывают дату.
15 июл 2015 в 15:07
В некоторых случаях: если есть инсталлятор и он что-то пишет в реестр.

15 июл 2015 в 15:33

Я и не имел ввиду простое копирование файла на диск. Я знаю, что в Панели управления есть список установленных приложений и я говорю именно об этих приложениях.

Источник: ru.stackoverflow.com

Windows логи удаления программ

Узнаем кто удалил или установил программу в Windows

Узнаем кто удалил или установил программу в Windows

Добрый день! Уважаемые читатели и гости одного из крупнейших IT блогов в рунете Pyatilistnik.org. В прошлый раз я вас научил определять кто именно перезагрузил сервер, это полезный навык при расследовании инцидентов. Бывают ситуации, что на сервер используют большое количество пользователей с одинаковыми правами, и вдруг куда-то пропадает одна из программ, вы видите что ее нет, логично, что нужно выяснить кто именно удалил программу. Вот этим мы и займемся, я вас научу получать информацию, кто установил или удалил программу в Windows.

Как узнать кто установил программу и когда

И так у меня есть тестовый сервер с операционной системой Windows Server 2019 и я на него в качестве демонстрации буду устанавливать Microdoft Edge Chromium, FireFox Mozilla, а так же LogParser. Все события, что генерируются в операционной системе Windows появляются в просмотре событий, это лог файлы разбитые по журналам. Открываем логи Windows, журнал «Приложение (Application)» или «Система (System)«, все зависит от инсталлятора которым собран пакет, так как есть те, что используют метод MsiInstaller , но есть и другие. Теперь запускаем инсталлятор LogParser. После установки я открываю журнал «Приложение», где я вижу ряд событий,

Где хранятся удаленные файлы из корзины?

первое это событие с ID 1040 покажет вам начало установки программы: Далее идет сообщение с кодом ID 10000. Далее вы увидите событие, где заканчивается установка программы ID 1042 Завершается сеанс событием с кодом ID 10001

И заканчивается установка программы событием с кодом ID 11707 Иногда вы можете увидеть событие с ID 1033. Если вы внимательны, то можете обратить внимание, что источником событий тут выступает MsiInstaller. Зная это вы легко можете произвести фильтрацию. Для этого в правой части найдите пункт «Фильтр текущего журнала»

В источниках событий выберите из выпадающего списка пункт MsiInstaller. В итоге у меня получилось вот так. Теперь когда события отфильтрованы по источнику MsiInstaller, вам будет еще легче найти кто установил, что установил и когда. В моем примере это сделал ROOTАдминистратор. Так же событие ID 11707 с пользователем «SYSTEM (СИСТЕМА)» вы можете обнаружить, когда люди используют «Software Store» в SCCM

Если вы любите веб интерфейс, то должны уже использовать Windows Admin Center, в котором вы легко можете с любого устройства подключиться к просмотру событий нужного сервера и посмотреть необходимые события.

Автоматизация оповещения по событиям 11707

• Адрес вашего SMTP сервера
• От кого будет письмо
• Кому отправлять письмо
• Пароль от ящика отправителя

В результате вы получите письмо вот такого содержания:

Тут два недостатка, во первых вы не видите, где был установлен новый софт, понятно, что можно на каждом сервере, где выполняется скрипт писать свою тему, но это не так удобно. Во вторых у вас в место имени пользователя идет SID, который потом нужно конвертировать в понятное имя.

Так же вам никто не запрещает просто открыть PowerShell и ввести не сложный код:

Напоминаю, что select-object -first 1 выводит первое событие, можете увеличить на нужное вам.

Как найти события установки программ не методом MsiInstaller

Как я и писал выше не все инсталляторы программ используют метод MsiInstaller, например при установке Edge Chrome или Mozilla Firefox, вы в журнале «Приложение» не обнаружите события с кодом ID 11707. В таком случае вам нужно перейти в журнал «СИСТЕМА (SYSTEM)» и сразу отфильтровать события по номеру ID 7045.

Выглядит событие ID 7045 вот так:

Имя службы: Mozilla Maintenance Service
Имя файла службы: «C:Program Files (x86)Mozilla Maintenance Servicemaintenanceservice.exe»
Тип службы: служба режима пользователя
Тип запуска службы: Вручную
Учетная запись службы: LocalSystem

Имя службы: Microsoft Edge Elevation Service
Имя файла службы: «C:Program Files (x86)MicrosoftEdgeApplication80.0.361.111elevation_service.exe»
Тип службы: служба режима пользователя
Тип запуска службы: Вручную
Учетная запись службы: LocalSystem

Как узнать кто удалил программу с сервера или компьютера

По аналогии с установкой, процесс деинсталляции или как его еще называют удаление, генерирует свои события в журналах Windows. Если мы говорим, про источник MsiInstaller из журнала «Приложение (Application)», то нам нужно фильтровать события по ID 11724 и ID 1034.

Так же вы можете спокойно использовать описанный выше скрипт и команду PowerShell, для автоматизации оповещения, о удалении программы.

Дополнительно

Хочу отметить, что существует ряд платных программ которые специализируются на аудите событий в Windows системах, например netwrix и им подобные, где вы так же легко сможете получать всю информацию, о том кто и когда установил программу, или кто и когда ее удалил.

Заметаем следы: быстрая очистка всех журналов событий в Windows

В некоторых случаях требуется удалить на компьютере или сервере все записи в журнале событий Windows. Конечно, очистку системных журналов, можно выполнить и из графической оснастки просмотра событий — Eventvwr.msc (ПКМ по нужному журналу ->Clear Log), однако начиная с Vista, в Windows используется несколько десятков журналов для различных компонентов системы, и очищать их все из консоли Event Viewer будет довольно утомительно. Гораздо проще очистить логи из командной строки: с помощью PowerShell или встроенной утилиты wevtutil.

Очистка журналов событий с помощью PowerShell

В том случае, если у вас установлен PowerShell 3 (по умолчанию уже установлен в Windows 8 / Windows Server 2012 и выше), для получения списка журналов и их очистки можно воспользоваться командлетами Get-EventLog и Clear-EventLog .

Запустите консоль PowerShell с правами администратора и с помощью следующей команды выведите список всех имеющихся в системе классических журналов событий с их максимальными размерами и количеством событий в них.

Для удаления всех событий из конкретного журнала событий (например, журнала System), воспользуйтесь командой:

Clear-EventLog –LogName System

В результате, все события из этого журнала будут удалены, а в журнале события останется только одно событие EventId 104 с текстом « The System log file was cleared ».

Для очистки всех журналов событий нужно бы перенаправить имена журналов в конвейер, однако, к сожалению это запрещено. Поэтому нам придется воспользоваться циклом ForEach:

Get-EventLog -LogName * | ForEach

Таким образом, будут очищены все классические журналы EventLogs.

Очистка журналов с помощью консольной утилиты WevtUtil.exe

Для работы с событиями в Windows уже довольно давно имеется в наличии мощная утилита командой строки WevtUtil.exe . Ее синтаксис немного сложноват на первый взгляд. Вот, к примеру, что возвращает help утилиты:

Чтобы вывести список зарегистрированных в системе журналов событий, выполните команду:

WevtUtil enum-logs
или более короткий вариант:

На экране отобразится довольно внушительный список имеющихся журналов.

Примечание . Посчитать их количество можно с помощью команды WevtUtil el |Measure-Object. В моем случае, в Windows 10 насчитывается 1053 различных журналов).

Можно получить более подробную информацию по конкретному журналу:

Очистка событий в конкретном журнале выполняется так:

Перед очисткой можно создать резервную копию событий в журнале, сохранив их в файл:

WevtUtil cl Setup /bu:SetupLog_Bak.evtx

Чтобы очистить сразу все журналы, можно воспользоваться командлетом Powershell Get—WinEvent для получения всех объектов журналов и Wevtutil.exe для их очистки:

Get-WinEvent -ListLog * -Force | %

Wevtutil el | ForEach

Примечание . В нашем примере не удалось очистить 3 журнала из-за ошибки доступа. Стоит попробовать очистить содержимое этих журналов из консоли Event Viewer.

Очистка журналов может быть выполнена и из классической командной строки:

Источник: onecomp.ru

История удаленных программ в Windows 7

есть ли способ, чтобы увидеть список программ, которые были удалены в Windows 7 машины?

задан Wagner Maestrelli

08.01.2023 21:00 2735

1 ответ

запустите Средство просмотра событий и откройте раздел Журналы Windows, приложение подраздела.

сортировка списка по столбцу источника, прокрутка и просмотр информационных событий, созданных «MsiInstaller».

отвечен harrymc 2023-01-10 04:48

Постоянная ссылка на данную страницу: [ Скопировать ссылку | Сгенерировать QR-код ]

Ваш ответ

Опубликуйте как Гость или авторизуйтесь

Опубликовать ответ

Похожие вопросы про тегам:

• Просмотр полной истории чата Skype
• Можно узнать, сколько страниц было напечатано на принтере?
• Как изменить порядок веб-сайтов, отображаемых в адресной строке firefox?

• Полное удаление ffmpeg
• Принудительно удалите пакет Windows 10 Appx, пропустив все возможные ошибки
• Изменение среды выполнения Java по умолчанию с 1.8 на 1.7

• Смысл порта 0 в выводе netstat
• Как обновить переменную среды PATH user из командной строки
• Что такое «ts» в «tsclient» при доступе к локальному ресурсу в RDP?

• Как настроить Windows, чтобы не поставить мой внешний диск в спящий режим?
• TortoiseSVN / TortoisePlink запрашивает «login as» для любой операции с рабочей копией
• Как запланировать задачу для сна / спящего режима [дубликат]

Недавние вопросы

• 7 Какое максимальное количество разделов можно создать на жестком диске?
• 3 Таблица прилипает к верхней части страницы, как ее удалить?
• 6 При двусторонней печати как исправить, что задняя страница печатается вверх ногами?
• 4 Как превратить оглавление в простой форматированный текст?
• 5 Что значит 1Rx8 и 2Rx8 для оперативной памяти и совместимы ли они?
• 10 Копирование и вставка в Windows PowerShell
• 13 Сочетание клавиш для сворачивания удаленного рабочего стола
• 1 Как включить фон рабочего стола на удаленном компьютере?
• 5 Как сделать ярлык на рабочем столе доступным для всех пользователей в Windows 10
• 1 Зачем Windows 10 нужна служба очереди сообщений и почему она установлена по умолчанию?

Недавние публикации

• Наушники Wireless и True Wireless: чем они отличаются?
• Не включается iPad: причины и решения проблемы
• Как ускорить передачу данных по Bluetooth
• Как правильно приобрести подержанный iPhone?
• Каковы преимущества фотоэлектрической системы?
• 5 лучших USB–пылесосов для клавиатуры
• Как выбрать чехол-аккумулятор для смартфона
• Мобильный телефон Razr: новая складная раскладушка от Motorola стоит 1200 евро
• Компания Nothing: смартфон Phone 2 должен быть «более премиальным» и выйти в этом году
• UMTS — История технологии сотовой связи
• Выбор домена
• 3D-печать: будущее массового производства
• Искусственный интеллект в малом бизнесе: как улучшить эффективность и конкурентоспособность
• Ошибки, которых стоит избегать при продвижении сайта
• Высокие технологии в Windows: что это такое и как их использовать в своих приложениях
• Как домашняя техника упрощает нам жизнь
• Широкий выбор смартфонов в Митино

Акции IT-компаний [07.06]

Apple	$173,24	+0,81%
Amazon	$114,49	-1,94%
Microsoft	$325,19	+3,61%
Google	$123,44	+2,11%
Netflix	$364,74	-0,03%
Intel	$27,45	-5,34%
Facebook	$254,49	+2,11%
Tesla	$185,54	+1,44%
Tencent	$322,40	-3,01%

Цитата дня

Вы никогда не пересечете океан, если не наберетесь мужества потерять берег из виду.

• Какое максимальное количество разделов можно создать на жестком диске?
• Таблица прилипает к верхней части страницы, как ее удалить?
• При двусторонней печати как исправить, что задняя страница печатается вверх ногами?
• Как превратить оглавление в простой форматированный текст?

Источник: kompsekret.ru