Недавно нужно было срочно найти, кто и когда отключил службу Windows Defender на одном из серверов. В журнале событий куча мусора, стандартный просмотр через Event Viewer - то ещё удовольствие 😅
В таких случаях PowerShell - наше всё. Вот короткий и полезный скрипт, который спас меня:
Get-WinEvent -LogName "System" -FilterXPath "*[System[Provider[@Name='Service Control Manager'] and (EventID=7036)]]" |
Where-Object { $_.Message -like "*Windows Defender*" -and $_.Message -like "*stopped*" } |
Select-Object TimeCreated, Message
📌 Что делает этот скрипт:
- Фильтрует события
7036 - это смена состояния служб;- Ищет по ключевым словам в сообщении (
stopped и Windows Defender);- Показывает, когда именно служба была остановлена.
🔥 Быстро, удобно и без GUI. Кстати, таким образом можно отслеживать отключения любых критичных сервисов.
👉 @win_sysadmin