Kernel-EventTracing 4 +3

Dan Hot

treuer Stammgast

• 11. September 2018

• #1

1.
Die maximal zulässige Dateigröße für die Sitzung "EventLog-System" wurde erreicht. Daher können Ereignisse für die Datei "C:\PerfLogs\Admin\EventLog-System.etl" verloren gehen (nicht protokolliert werden). Die maximale Dateigröße ist derzeit auf 104857600 Bytes festgelegt.

2.
Die maximal zulässige Dateigröße für die Sitzung "EventLog-AirSpaceChannel" wurde erreicht. Daher können Ereignisse für die Datei "C:\WINDOWS\System32\Winevt\Logs\AirSpaceChannel.etl" verloren gehen (nicht protokolliert werden). Die maximale Dateigröße ist derzeit auf 1048576 Bytes festgelegt.

3.
Die Sitzung "EventLog-AirSpaceChannel" wurde aufgrund des folgenden Fehlers beendet: 0xC0000188.

Was mir aufgefallen ist



Weiß jemand wie ich das behebe, bzw. was richtig ist?

 

tkmopped

gehört zum Inventar

• 14. September 2018

• #2

Hatten wir schonmal: https://www.drwindows.de/windows-7-...channel-wurde-aufgrund-folgenden-fehlers.html
Ist zwar Win7 sollte aber gehen. Der Ari45 hats gelöst.

 

Dan Hot

treuer Stammgast

• 14. September 2018

• #3

Das hatte ich gesucht, wusste aber nicht mehr wo es zu finden war, danke.

Zu 1.

Hab es mal auf das doppelt gesetzt, Rest stand aber eigentlich richtig.

Zu 2.
Hab ich es dort nicht mal?! Hab auf dem 2ten PC geschaut dort ist es auch nicht.

Zu 3.
Weiß jemand woher die Unterschiede kommen? Beides Win 10 x64 Pro Rechner.

 

Zuletzt bearbeitet: 17. September 2018

Ari45

gehört zum Inventar

• 14. September 2018

• #4

Hallo @Dan Hot!
Es ist schon komisch, dass das Protokoll nicht in der Übersicht erscheint, aber Speichermangel bemängelt.
Schau mal nach, ob die Datei C:\WINDOWS\System32\Winevt\Logs\AirSpaceChannel.etl vorhanden ist.

 

S

sneaker

gehört zum Inventar

• 14. September 2018

• #5

AW: Die Sitzung "EventLog-AirSpaceChannel" wurde aufgrund des folgenden Fehlers beend

Hallo,

Hast du denn das Kernel Event Tracing im erweiterten Auditing aktiviert?
Dieses Audit verursacht Unmengen an Events, die eigentlich nur System Entwickler interessieren
https://docs.microsoft.com/en-us/windows/security/threat-protection/auditing/audit-kernel-object

Deaktiviere das doch mal bitte.

lg sneaker

 

Dan Hot

treuer Stammgast

• 17. September 2018

• #6

@Ari45
Ja C:\WINDOWS\System32\Winevt\Logs\AirSpaceChannel.etl ist vorhanden.

Fehler war aber nach den letzten Windows Updates nicht mehr da.

Gestern die letzte:
Die maximal zulässige Dateigröße für die Sitzung "EventLog-System" wurde erreicht. Daher können Ereignisse für die Datei "C:\PerfLogs\Admin\EventLog-System.etl" verloren gehen (nicht protokolliert werden). Die maximale Dateigröße ist derzeit auf 104857600 Bytes festgelegt.
C:\PerfLogs\Admin\EventLog-System.etl war aber nur 5Mb groß?!

@sneaker nicht das ich wüste. Wenn du mir sagst wie ich es deaktiviere kann ich da gerne nachsehen.

mfg

 

Ari45

gehört zum Inventar

• 17. September 2018

• #7

Zum AirSpaceChannel.etl
Ich hatte auch schon gelesen, dass es ein Bug in Windows sein könnte. Da der Fehler scheinbar mit dem letzten Update beseitigt wurde, sollte dieses Protokoll nicht weiter anwachsen
Ich würde nach ein oder zwei Tage noch mal schauen, ob das Protokoll noch da ist. Eventuell versuchen, das Protokoll zu löschen.

Zu EventLog-System.etl
Öffne die Ereignisanzeige und markiere den Zweig "Windows-Protokolle/ System". Klicke "System" mit rechts an und öffne "Eigenschaften".
Im Eigenschaftsfenster gibt es den Button "Protokoll löschen", das würde ich machen.
Mein Protokoll "System" war zB 10 MB groß. Das geht bis 31.06.18 zurück. So alte Ereignisse interessieren ohnehin niemanden.

 

Dan Hot

treuer Stammgast

• 17. September 2018

• #8

%SystemRoot%\System32\Winevt\Logs\System.evtx
ist 68kb

Fehler kam wieder
C:\PerfLogs\Admin\EventLog-System.etl
ist jetzt bei 15mb

die maximale Größe ist ja nicht mal erreicht?!

SessionName EventLog-System
FileName C:\PerfLogs\Admin\EventLog-System.etl
ErrorCode 3221225864
LoggingMode 276824448
MaxFileSize 104857600

Hilft das vielleicht?! sagt ja nur das es eigentlich bis 100mb gehen sollte

 

Ari45

gehört zum Inventar

• 17. September 2018

• #9

ErrorCode 3221225864 die Angabe ist dezimal
0xC0000188 = STATUS_LOG_FILE_FULL = The log file space is insufficient to support this operation.
deutsch: Der Protokolldateispeicher reicht nicht aus, um diese Operation zu unterstützen

Ich nehme an, dass die Protokolldatei System.etl beschädigt ist.
Lösche sie, wie ich es in #7 empfohlen habe.

 

Dan Hot

treuer Stammgast

• 20. September 2018

• #10

Löschen Hilft leider auch nicht
Fehler kommt immer noch.

 

S

sneaker

gehört zum Inventar

• 20. September 2018

• #11

Hallo
#7 löscht die Event Datei nicht, sondern leert sie nur. Falls die Evtx-Datei tatsächlich einen Becker hat, musst du

- z.B. mit services.msc im "Windows Event Log" die Start Type auf "Deaktiviert" setzen
- den Rechner neu starten.
- unter "C:\Windows\System32\winevt\Logs" die betroffene Log-Datei umbenennen
- den Start Type zurück auf "automatisch" setzen
- den Rechner nochmal neu starten.

Nur so legt Windows eine jungfräuliche Evtx-Datei an.
Die umbenannte Datei kannst du gelegentlich löschen.

lg sneaker

 

Dan Hot

treuer Stammgast

• 20. September 2018

• #12

Ich habe diese Datei gelöscht:

C:\PerfLogs\Admin\EventLog-System.etl