이벤트 뷰어 오류: 지정된 파일을 찾을 수 없습니다.

오류 화면

위 오류에 대한 조치 방법

Windows 이벤트 뷰어의 로그 구성을 수정하는 것이 생각보다 번거롭다.

아래 글을 참고할 수 있는데, 여기서도 깔끔하게 제거하지는 않기 때문에 조금 더 깔끔하게 제거하는 방법을 작성한다.

https://logbinder.helpspot.com/index.php?pg=kb.page&id=71

https://logbinder.helpspot.com/index.php?id=71&pg=kb.page

 

레지스트리와 잔여 파일을 제거해야 한다.

레지스트리의 위치는 총 3군데이며 아래 경로 하위에 키를 찾아야 한다.

• HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\WINEVT\Channels
• HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\WINEVT\Publishers
• HKLM\SYSTEM\CurrentControlSet\Control\WMI\Autologger

먼저 Channels 값을 조회해보자(CMD에서 입력).

C:\> REG QUERY "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\WINEVT\Channels\RemoteDesktopServices-RemoteFX-SessionLicensing-Debug"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\WINEVT\Channels\RemoteDesktopServices-RemoteFX-SessionLicensing-Debug
    ChannelAccess    REG_SZ    O:BAG:SYD:(A;;0x2;;;S-1-15-2-1)(A;;0x2;;;S-1-15-3-1024-3153509613-960666767-3724611135-2725662640-12138253-543910227-1950414635-4190290187)(A;;0xf0007;;;SY)(A;;0x7;;;BA)(A;;0x7;;;SO)(A;;0x3;;;IU)(A;;0x3;;;SU)(A;;0x3;;;S-1-5-3)(A;;0x3;;;S-1-5-33)(A;;0x1;;;S-1-5-32-573)
    Enabled    REG_DWORD    0x1
    Isolation    REG_DWORD    0x0
    OwningPublisher    REG_SZ    {10ab3154-c36a-4f24-9d91-ffb5bcd331ef}
    Type    REG_DWORD    0x3

출력된 내용에서 OwningPublisher 값으로 HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\WINEVT\Publishers 하위 키를 조회해야 한다.

C:\>REG QUERY "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\WINEVT\Publishers\{10ab3154-c36a-4f24-9d91-ffb5bcd331ef}"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\WINEVT\Publishers\{10ab3154-c36a-4f24-9d91-ffb5bcd331ef}
    (Default)    REG_SZ    Microsoft-Windows-RemoteDesktopServices-RemoteFX-SessionLicensing
    Enabled    REG_DWORD    0x1
    MessageFileName    REG_EXPAND_SZ    %systemroot%\system32\LSClientService.dll
    ResourceFileName    REG_EXPAND_SZ    %systemroot%\system32\LSClientService.dll

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\WINEVT\Publishers\{10ab3154-c36a-4f24-9d91-ffb5bcd331ef}\ChannelReferences

MessageFileName, ResourceFileName이라는 값이 나오는데 해당 파일은 찾아보니 이미 없었다.

마지막으로 Autologger쪽 조회하면 FileName이 나온다.

이게 실제 이벤트가 쌓인 파일이라고 보면 된다.

C:\> REG QUERY "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\WMI\Autologger\EventLog-RemoteDesktopServices-RemoteFX-SessionLicensing-Debug"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\WMI\Autologger\EventLog-RemoteDesktopServices-RemoteFX-SessionLicensing-Debug
    Start    REG_DWORD    0x1
    BufferSize    REG_DWORD    0x4
    MinimumBuffers    REG_DWORD    0x0
    MaximumBuffers    REG_DWORD    0xa
    FlushTimer    REG_DWORD    0x5
    MaxFileSize    REG_DWORD    0x1
    FileName    REG_SZ    %SystemRoot%\System32\Winevt\Logs\RemoteDesktopServices-RemoteFX-SessionLicensing-Debug.etl
    LogFileMode    REG_DWORD    0x8000081
    ClockType    REG_DWORD    0x2
    Guid    REG_SZ    {6584f4c5-64b8-505a-56a6-8b5aedcf0e2e}
    OwningChannel    REG_SZ    RemoteDesktopServices-RemoteFX-SessionLicensing-Debug
    Status    REG_DWORD    0x0

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\WMI\Autologger\EventLog-RemoteDesktopServices-RemoteFX-SessionLicensing-Debug\{10ab3154-c36a-4f24-9d91-ffb5bcd331ef}

이제 나온 내용을 바탕으로 삭제를 진행하는데, 혹시 모르니 삭제할 레지스트리를 미리 백업한다.

REG EXPORT "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\WINEVT\Channels\RemoteDesktopServices-RemoteFX-SessionLicensing-Debug" C:\Temp\BkUp-WiNEVT-Chnnels.reg
REG EXPORT "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\WINEVT\Publishers\{10ab3154-c36a-4f24-9d91-ffb5bcd331ef}" C:\Temp\BkUp-WiNEVT-Publishers.reg
REG EXPORT "HKLM\SYSTEM\CurrentControlSet\Control\WMI\Autologger\EventLog-RemoteDesktopServices-RemoteFX-SessionLicensing-Debug" C:\Temp\BkUp-Autologger.reg
REG DELETE /f "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\WINEVT\Channels\RemoteDesktopServices-RemoteFX-SessionLicensing-Debug"
REG DELETE /f "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\WINEVT\Publishers\{10ab3154-c36a-4f24-9d91-ffb5bcd331ef}"
REG DELETE /f "HKLM\SYSTEM\CurrentControlSet\Control\WMI\Autologger\EventLog-RemoteDesktopServices-RemoteFX-SessionLicensing-Debug"

여기까지 하면 이벤트 뷰어에서 항목이 제거되므로 오류는 나지 않는다.

이제 남은 파일도 정리한다.

DEL %SystemRoot%\System32\Winevt\Logs\RemoteDesktopServices-RemoteFX-SessionLicensing-Debug.etl

그 외...

• Publishers 목록 확인: REG QUERY "HKLM\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\WINEVT\\Publishers