История Wi-Fi в виде отчета в Windows 10

История Wi-Fi может быть предоставлена вам в виде подробного отчета, выполнением всего лишь одной команды в Командной строке ОС Windows 10. Хотите узнать, когда ваш компьютер был подключен к беспроводной сети, длительность подключения и другие связанные события? Читайте дальше.

Операционная система последней версии сохраняет много информации всякий раз, когда вы подключаете свой компьютер к сети Wi-Fi. Это такая информация, как имя сети, к которой подключался ПК, время начала и окончания соединения, продолжительность сеанса и ошибки, полученные при попытке подключения.

Системный инструмент командной строки позволяет создавать очень подробный отчет об использовании беспроводной сети. Легко понятный HTML-отчет включает все события, произошедшие за последние три дня. В дополнение к истории вы получите и сведения о вашем компьютере, такие как имя, версию BIOS, номер сборки Windows 10 и идентификатор.

Сгенерированный файл отчета вы можете открыть с помощью любого установленного в системе интернет-браузера. Следуйте приведенным ниже указаниям для осуществления задуманного.

ИСТОРИЯ WI-FI

Запустите Командную строку с административными правами и дайте следующую команду:

после чего нажмите клавишу Enter на клавиатуре. Далее Windows 10 сгенерирует соответствующий отчет и сохранит его в месте, указанном в окне вывода. По умолчанию это — C:\ProgramData\Microsoft\Windows\WlanReport.

Теперь, когда у вас есть сформированный отчет, перейдите в указанную папку посредством Проводника файлов. Обратите внимание, что папка «ProgramData» по умолчанию не отображается. Для её отображения активируйте пункт меню «Скрытые элементы» в меню «Вид» вверху на Панели инструментов.

Что полезного можно вытащить из логов рабочей станции на базе ОС Windows

Пользовательская рабочая станция — самое уязвимое место инфраструктуры по части информационной безопасности. Пользователям может прийти на рабочую почту письмо вроде бы из безопасного источника, но со ссылкой на заражённый сайт. Возможно, кто-то скачает полезную для работы утилиту из неизвестно какого места. Да можно придумать не один десяток кейсов, как через пользователей вредоносное ПО может внедриться на внутрикорпоративные ресурсы. Поэтому рабочие станции требуют повышенного внимания, и в статье мы расскажем, откуда и какие события брать для отслеживания атак.

Для выявления атаки на самой ранней стадии в ОС Windows есть три полезных событийных источника: журнал событий безопасности, журнал системного мониторинга и журналы Power Shell.

Журнал событий безопасности (Security Log)

Это главное место хранения системных логов безопасности. Сюда складываются события входа/выхода пользователей, доступа к объектам, изменения политик и других активностей, связанных с безопасностью. Разумеется, если настроена соответствующая политика.

Перебор пользователей и групп (события 4798 и 4799). Вредоносное ПО в самом начале атаки часто перебирает локальные учетные записи пользователей и локальные группы на рабочей станции, чтобы найти учетные данные для своих тёмных делишек. Эти события помогут обнаружить вредоносный код раньше, чем он двинется дальше и, используя собранные данные, распространится на другие системы.

Создание локальной учётной записи и изменения в локальных группах (события 4720, 4722–4726, 4738, 4740, 4767, 4780, 4781, 4794, 5376 и 5377). Атака может также начинаться, например, с добавления нового пользователя в группу локальных администраторов.

Попытки входа с локальной учётной записью (событие 4624). Добропорядочные пользователи заходят с доменной учётной записью и выявление входа под локальной учётной записью может означать начало атаки. Событие 4624 включает также входы под доменной учетной записью, поэтому при обработке событий нужно зафильтровать события, в которых домен отличается от имени рабочей станции.

Попытка входа с заданной учётной записью (событие 4648). Такое бывает, когда процесс выполняется в режиме “Запуск от имени” (run as). В нормальном режиме работы систем такого не должно быть, поэтому такие события должны находиться под контролем.

Блокировка/разблокировка рабочей станции (события 4800-4803). К категории подозрительных событий можно отнести любые действия, которые происходили на заблокированной рабочей станции.

Изменения конфигурации файрволла (события 4944-4958). Очевидно, что при установке нового ПО настройки конфигурации файрволла могут меняться, что вызовет ложные срабатывания. Контролировать такие изменения в большинстве случаев нет необходимости, но знать о них точно лишним не будет.

Подключение устройств Plug’n’play (событие 6416 и только для WIndows 10). За этим важно следить, если пользователи обычно не подключают новые устройства к рабочей станции, а тут вдруг раз — и подключили.

Windows включает в себя 9 категорий аудита и 50 субкатегорий для тонкой настройки. Минимальный набор субкатегорий, который стоит включить в настройках:

• Logon;
• Logoff;
• Account Lockout;
• Other Logon/Logoff Events.

Account Management

• User Account Management;
• Security Group Management.

Policy Change

• Audit Policy Change;
• Authentication Policy Change;
• Authorization Policy Change.

Системный монитор (Sysmon)

Sysmon — встроенная в Windows утилита, которая умеет записывать события в системный журнал. Обычно требуется его устанавливать отдельно.

Эти же события можно в принципе найти в журнале безопасности (включив нужную политику аудита), но Sysmon даёт больше подробностей. Какие события можно забирать из Sysmon?

Создание процесса (ID события 1). Системный журнал событий безопасности тоже может сказать, когда запустился какой-нибудь *.exe и даже покажет его имя и путь запуска. Но в отличие от Sysmon не сможет показать хэш приложения. Злонамеренное ПО может называться даже безобидным notepad.exe, но именно хэш выведет его на чистую воду.

Сетевые подключения (ID события 3). Очевидно, что сетевых подключений много, и за всеми не уследить. Но важно учитывать, что Sysmon в отличие от того же Security Log умеет привязать сетевое подключение к полям ProcessID и ProcessGUID, показывает порт и IP-адреса источника и приёмника.

Изменения в системном реестре (ID события 12-14). Самый простой способ добавить себя в автозапуск — прописаться в реестре. Security Log это умеет, но Sysmon показывает, кто внёс изменения, когда, откуда, process ID и предыдущее значение ключа.

Создание файла (ID события 11). Sysmon, в отличие от Security Log, покажет не только расположение файла, но и его имя. Понятно, что за всем не уследишь, но можно же проводить аудит определённых директорий.

А теперь то, чего в политиках Security Log нет, но есть в Sysmon:

Изменение времени создания файла (ID события 2). Некоторое вредоносное ПО может подменять дату создания файла для его скрытия из отчётов с недавно созданными файлами.

Загрузка драйверов и динамических библиотек (ID событий 6-7). Отслеживание загрузки в память DLL и драйверов устройств, проверка цифровой подписи и её валидности.

Создание потока в выполняющемся процессе (ID события 8). Один из видов атаки, за которым тоже нужно следить.

События RawAccessRead (ID события 9). Операции чтения с диска при помощи “\\.\”. В абсолютном большинстве случаев такая активность должна считаться ненормальной.

Создание именованного файлового потока (ID события 15). Событие регистрируется, когда создается именованный файловый поток, который генерирует события с хэшем содержимого файла.

Создание named pipe и подключения (ID события 17-18). Отслеживание вредоносного кода, который коммуницирует с другими компонентами через named pipe.

Активность по WMI (ID события 19). Регистрация событий, которые генерируются при обращении к системе по протоколу WMI.

Для защиты самого Sysmon нужно отслеживать события с ID 4 (остановка и запуск Sysmon) и ID 16 (изменение конфигурации Sysmon).

Журналы Power Shell

Power Shell — мощный инструмент управления Windows-инфраструктурой, поэтому велики шансы, что атакующий выберет именно его. Для получения данных о событиях Power Shell можно использовать два источника: Windows PowerShell log и Microsoft-WindowsPowerShell / Operational log.

Windows PowerShell log

Загружен поставщик данных (ID события 600). Поставщики PowerShell — это программы, которые служат источником данных для PowerShell для просмотра и управления ими. Например, встроенными поставщиками могут быть переменные среды Windows или системный реестр. За появлением новых поставщиков нужно следить, чтобы вовремя выявить злонамеренную активность. Например, если видите, что среди поставщиков появился WSMan, значит был начат удаленный сеанс PowerShell.

Microsoft-WindowsPowerShell / Operational log (или MicrosoftWindows-PowerShellCore / Operational в PowerShell 6)

Журналирование модулей (ID события 4103). В событиях хранится информация о каждой выполненной команде и параметрах, с которыми она вызывалась.

Журналирование блокировки скриптов (ID события 4104). Журналирование блокировки скриптов показывает каждый выполненный блок кода PowerShell. Даже если злоумышленник попытается скрыть команду, этот тип события покажет фактически выполненную команду PowerShell. Ещё в этом типе события могут фиксироваться некоторые выполняемые низкоуровневые вызовы API, эти события обычно записывается как Verbose, но если подозрительная команда или сценарий используются в блоке кода, он будет зарегистрирован как c критичностью Warning.

Обратите внимание, что после настройки инструмента сбора и анализа этих событий потребуется дополнительное время на отладку для снижения количества ложных срабатываний.

Расскажите в комментариях, какие собираете логи для аудита информационной безопасности и какие инструменты для этого используете. Одно из наших направлений — решения для аудита событий информационной безопасности. Для решения задачи сбора и анализа логов можем предложить присмотреться к Quest InTrust, который умеет сжимать хранящиеся данные с коэффициентом 20:1, а один его установленный экземпляр способен обрабатывать до 60000 событий в секунду из 10000 источников.

How to check the event log (if any) for network failure?

Suppose, when you leave your computer running while it’s connected to internet and after a while if your WiFi modem freezes in the middle, then there would be a «Limited or No Network connectivity» message indicated by a yellow warning sign on the «Internet access» icon in system tray.

Could you get a timestamp for when this actually occurred in Event Viewer or in some other way?

So far I was only able to find the Event IDs under «WLAN-AutoConfig» for when the network was actually connected and disconnected.

6 Answers 6

In case you just need to know when internet access was lost / restored regardless of state changes of various network devices, navigate to UTC in Event Viewer:

Applications and Services Logs/Microsoft/Windows/UniversalTelemetryClient/Operational

Look for event ID 55. It displays a friendly text «Is the Internet available:» followed by true or false.

You can type at the command prompt:

An HTML report will be generated, containing the logs of the last 3 days. In the «Summary/Wireless sessions» section, you can find informations about relevant activities.

The path to the generated report will be printed by the tool, by default it tries to write to C:\ProgramData\Microsoft\Windows\WlanReport\wlan-report-latest.html .

In the event viewer we can enable logging of WiFi. It gives detailed logs of the signal strength of WiFi.

The complete process including screenshots is given here.

Open the Windows Event viewer (eventvwr.msc) and then within the View Menu enable the Show Analytic and Debug Logs options.

Navigate to the WLAN-autoconfig event log. Since we enabled the Analytic and Debug logs option, beside the Operational log we also see the Diagnostic log.

The Diagnostic event log by default is not enabled, so first we have to enable it by right-clicking -> select Properties.

As soon as the Diagnostics mode is enabled you should see events coming in. To enforce things a bit simply disable and enable your wireless connection using your vendor’s wireless connection software or by pressing the hardware button on your laptop.

Не удается подключиться к этой сети Wi-Fi в Windows 10 — как исправить?

Одна из самых частых проблем при подключении к Wi-Fi в Windows 10 — сообщение «Не удается подключиться к этой сети». Информации о причинах проблемы это уведомление не даёт, а потому пользователю подчас сложно разобраться, в чём дело и как решить проблему.

В этой инструкции подробно о том, почему Windows 10 пишет, что не удается подключиться к этой сети и различные способы исправить ситуацию. На схожую тему: Что делать, если не работает Wi-Fi на ноутбуке.

Одна из самых простых и распространенных причин ошибки при подключении к сети Wi-Fi

Самый простой способ получить ошибку «Не удается подключиться к этой сети» при подключении — ввести неправильный пароль (ключ безопасности сети) от Wi-Fi (иногда при этом сообщается, что введен недопустимый ключ безопасности, а иногда — выводится сообщение, рассматриваемое в статье).

Даже если вы уверены, что всё введено правильно, учитывайте следующие моменты:

1. Перепроверьте раскладку клавиатуры при вводе пароля, учитывайте, что заглавные и строчные буквы нужно вводить именно так, как они были заданы в пароле.
2. Если вы установили пароль Wi-Fi, содержащий кириллицу или какие-либо спец-символы, это может являться причиной проблемы: попробуйте изменить пароль Wi-Fi на роутере таким образом, чтобы он состоял только из латиницы и цифр.
3. Если кто-то из членов семьи мог поменять пароль на Wi-Fi без вашего ведома, уточните этот вопрос у него.

И, наконец, бывает и такое, что очень начинающий пользователь, нажимая по значку Wi-Fi, видит, что там доступно множество сетей, и предполагает, что он ими может пользоваться для доступа в Интернет, хотя это не так: это не ваши сети и вы не можете к ним просто так (не зная пароля) подключиться.

Способы исправить проблему «Не удается подключиться к этой сети»

Если с паролем Wi-Fi гарантированно нет никаких проблем (или он сохранен в системе), попробуйте использовать следующие варианты решения проблемы.

Внимание: прежде чем приступать, проверьте, а сохранится ли проблема, если перезагрузить ноутбук и роутер (выключить роутер из розетки и включить через 10-15 секунд). Если проблема появляется после завершения работы (а также после режима сна или гибернации) и включения ноутбука, но всё работает исправно после перезагрузки, попробуйте отключить быстрый запуск Windows 10 (и выполнить перезагрузку после этого).

Отключите «Случайные аппаратные адреса» в параметрах Wi-Fi, помните о блокировке по MAC-адресу

Если в настройках роутера включена блокировка подключения устройств по их MAC-адресу в настройках Wi-Fi роутера, вы можете получить рассматриваемую ошибку подключения. Также на её появление может повлиять включение опции «Случайные аппаратные адреса» в Windows 10.

Чтобы проверить, не включена ли эта функция, зайдите в Параметры — Сеть и Интернет — Wi-Fi и, при наличии раздела «Случайные аппаратные адреса» (есть не во всех версиях ОС), отключите эту опцию.

Попробуйте «забыть» сеть Wi-Fi и снова подключиться к ней

Если пароль сети сохранен (не запрашивается при подключении), попробуйте «забыть» сеть, а затем снова подключиться к ней. При использовании этого метода необходимо, чтобы вы помнили пароль вашей сети Wi-Fi. Также его можно посмотреть на другом устройстве: Как посмотреть пароль Wi-Fi в Windows 10, Как посмотреть пароль Wi-Fi на Android.

Чтобы забыть сеть в последних версиях Windows 10, достаточно нажать по её имени в списке подключений и выбрать пункт «Забыть». После этого попробуйте заново подключиться к сети.

Включение и повторное отключение режима полёта, отключение беспроводного соединения

Если на вашем ноутбуке есть клавиша включения режима полёта попробуйте включить режим полета с помощью неё, а затем снова отключить его, а затем проверить подключение. Если такая клавиша отсутствует, включите «Режим в самолете» в области уведомлений Windows 10.

А после включения режима снова выключите его и вновь попробуйте подключиться к сети Wi-Fi. Если это не помогло, попробуйте следующий вариант:

1. Нажмите клавиши Win+R на клавиатуре, введите ncpa.cpl и нажмите Enter.
2. В списке найдите ваше беспроводное соединение, нажмите по нему правой кнопкой мыши и выберите пункт «Отключить».
3. После того, как оно будет отключено, снова нажмите по нему правой кнопкой мыши и выберите пункт «Подключить».

Далее можно попробовать вновь подключиться к беспроводной сети.

Драйверы Wi-Fi адаптера

Если до недавнего времени проблем с подключением не было, попробуйте такой вариант:

1. Зайдите в диспетчер устройств (можно через меню по правому клику на кнопку «Пуск»).
2. Перейдите в свойства вашего Wi-Fi адаптера (находится в разделе «Сетевые адаптеры», для перехода в свойства можно дважды нажать по имени адаптера или использовать контекстное меню).
3. Посмотрите, активна ли кнопка «Откатить». Если да, используйте её для отката драйвера.

Также можно попробовать использовать точки восстановления Windows 10.

Если же проблема появилась после установки Windows 10 или крупного обновления системы, попробуйте скачать драйвер вашего Wi-Fi адаптера с официального сайта производителя ноутбука (внимание: я понимаю, что у вас не работает Интернет, но вы можете скачать его и на телефон, а потом скопировать на проблемный компьютер) и установить его. Если на сайте производителя драйверы только для предыдущих версий ОС, помните: они обычно прекрасно работают и под Windows 10.

Отключение IPv6 в свойствах подключения

По некоторым отзывам этот метод также иногда оказывается работоспособным:

1. Откройте список подключений (Win+R — ncpa.cpl), нажмите правой кнопкой мыши по беспроводному подключению (обычно «Беспроводная сеть») и выберите пункт «Свойства».
2. Снимите отметку с IP версии 6 (TCP/IPv6) и примените настройки.

Включение или отключение FIPS

Попробуйте включить или отключить FIPS-совместимые алгоритмы шифрования, для этого в Windows 10 Pro или Enterprise:

1. Нажмите клавиши Win+R, введите gpedit.msc и нажмите Enter.
2. Перейдите к разделу Конфигурация компьютера — Конфигурация Windows — Параметры безопасности — Локальные политики — Параметры безопасности.
3. Найдите пункт «Системная криптография: использовать FIPS-совместимые алгоритмы для шифрования, хэширования и подписывания» и дважды нажмите по нему.
4. Установите значение «Включен», если он отключен или наоборот.

После этого сохраните настройки, закройте редактор локальной групповой политики и перезагрузите ваш ноутбук или ПК.

В случае Windows 10 Домашняя запустите редактор реестра (Win+R — regedit) и перейдите к разделу

В правой части окна реестра обратите внимание на значение параметра Enabled.

Если оно равно 0, измените на 1 (после двойного клика по параметру) и наоборот. Затем закройте редактор реестра и перезагрузите систему.

Другие варианты решения проблемы

Среди прочих причин и методов решения проблемы «Не удается подключиться к этой сети» в Windows 10 можно выделить следующие:

• Помните, что плохой прием сети Wi-Fi может также вызывать эту ошибку. Проверьте, сохраняется ли она, когда подключаемый ноутбук находится в непосредственной близости к роутеру. Иногда может помочь выбор свободного канала Wi-Fi.
• Если проблема актуальна для всех устройств, подключающихся к этой Wi-Fi сети, возможно, что-то было изменено в параметрах роутера, возможно, даже кем-то посторонним (изменен пароль Wi-Fi, включена блокировка по MAC-адресу). Решение — попробовать заново выполнить настройку роутера, предпочтительно — с предварительным сбросом на заводские настройки (если для вас это не сложно).
• Если вы устанавливали сторонние антивирусы или файрволлы, попробуйте отключить их, а лучше попробовать полностью удалить с компьютера и выполнить его перезагрузку.
• Если вы отключали какие-либо службы Windows 10 в целях оптимизации, это может оказаться причиной проблемы: попробуйте вновь включить их.
• Попробуйте использовать встроенное средство устранения неполадок сети Windows 10. Даже если оно не исправит ошибку, оно может сообщить о каких-то проблемах, решение для которых удастся найти в Интернете.
• Попробуйте выполнить сброс параметров сети средствами Windows 10.
• Теоретически, причиной проблемы могут быть вирусы на вашем ноутбуке или компьютере. Если есть подозрения на это, попробуйте выполнить соответствующую проверку. Также рекомендую воспользоваться AdwCleaner.

Среди прочих советов часто можно встретить рекомендацию запустить командную строку от имени администратора, затем по порядку использовать следующие команды

С последующей перезагрузкой. Это может помочь, но, на мой взгляд, излишне: встроенный сброс сети Windows 10 выполняет все указанные действия.

Видео инструкция

Если вы сможете поделиться в комментариях информацией о том, какой именно способ вам помог, это может оказаться полезным для получения статистики по проблеме.

А вдруг и это будет интересно:

Почему бы не подписаться?

Рассылка новых, иногда интересных и полезных, материалов сайта remontka.pro. Никакой рекламы и бесплатная компьютерная помощь подписчикам от автора. Другие способы подписки (ВК, Одноклассники, Телеграм, Facebook, Twitter, Youtube, Яндекс.Дзен)

25.11.2020 в 11:44

В роутере Asus на диапазонох 2.4 и 4 Ггц могут оказаться разные пароли, бывает это трудно заметить и происходять постоянные сбои связи.

25.11.2020 в 17:06

Какой способ подойдёт если подключение к Вай Фай не происходит после того, как ноутбук выключается и включается работая от батареи? Когда есть постоянное подключение к электросети проблема не возникает.

26.11.2020 в 10:47

Возможно, поможет отключение экономии энергии для Wi-Fi адаптера в дополнительных параметрах схемы электропитания.
Также проверьте вариант с отключением быстрого запуска.

14.03.2021 в 19:49

Здравствуйте. У меня есть такая проблема: купил эту штуку (адаптер WLAN + BT PCIe).
Установил драйвера с компакта (CD) но этот адаптер не работает, то есть не раздает вай фай. А если раздает, то например телефон или планшет ловит его но пишет НЕТ ИНТЕРНЕТА у планшета или телефона, или пишет на планшете и телефоне не получил IP ADRESS. Сам компьютер ловит вай фай. В чем проблема?

15.03.2021 в 09:48

Здравствуйте.
А как именно раздаете Wi-Fi? Если вдруг путем ручной настройки — попробуйте использовать встроенную функцию 10-ки «Мобильных хотспот».
Плюс проблема может быть, если вы на этом компьютере одновременно принимаете Wi-Fi и его же раздаёте — не всегда это работает (обычно раздачу используют, когда на компьютере, скажем, интернет по кабелю, а раздается уже по Wi-Fi).

15.03.2021 в 15:06

Я по всякому пробовал. Думаю что у меня Ethernet сетевая карта называется realtek недружит с Intel. Пробовал всякий раз: раздаю через Ethernet далее хочу раздать через свой встроенный адаптер-НЕ ИДЁТ. А вот когда раздаю Ethernet через Local area Connection 10, то раздает но интернета НЕТ. Вчем судь? Может кто поможет эту проблему решать?

15.03.2021 в 19:44

А общий доступ к интернет подключению разрешили в его свойствах?

15.03.2021 в 20:23

Да, поставил галочку и указал в Ethernete на какой WiFi раздавать пробовал всякие варианты и мой установленный WiFi 6 AX200 и Local area Connection 10. Local area Connection 10 раздает вай фай, но интернета НЕТ, а WiFi 6 AX200 вообще не работает.

31.03.2021 в 13:11

Хороший у Вас сайт! Спс за Ваши советы…

У меня возникает проблема при подключении из win 10 к открытой сети OBDWIFI адаптера.

Разные компы под управлением WIN 10 сообщают сразу же при попытке подключения: «Не удалось подключится»

Что делать не понимаю. Старый ноут на виндовс ХП спокойно подключается..

Любой телефон тоже

31.03.2021 в 20:37

Здравствуйте и спасибо за отзыв.
интересная ситуация у вас… если честно, что-то не приходят в голову идеи даже, кроме того, что что-то в параметрах сети настолько «старое», что 10-ка не хочет коннектится. а вот что и как поправить не ясно так издалека.

01.04.2021 в 09:46

Добрый день! Спасибо за Ваш ответ 🙂 мне вот тоже не ясно :))) Но факт — что подключение не проходит…. беру тот же УСБ ВИФИ одаптер — ставлю на вин 7 32 бита — и соединяюсь успешно….

А на 10 ке ни с внешним адаптером не с встроенным в нубук не получается соединится с открытой сетью…. В какую сторону копать? Может где то есть лог в котором больше конкретики чем в окне подключения?

02.04.2021 в 10:29

В просмотре событий пишут вот здесь можно накопать где-то Applications and Services Logs/Microsoft/Windows/UniversalTelemetryClient/Operational
как по-русски путь будет выглядеть сейчас глянуть не могу