Event ID 7036: Изменено состояние службы (Service State Changed)
Архитектура события и симптомы (Service Control Manager)
Событие 7036 генерируется ядром Service Control Manager (SCM) при любом изменении состояния службы (Running, Stopped). Это самое частое информационное событие (Information Level) в журнале System. Симптомы: системный журнал заспамлен сообщениями вида «The WinHTTP Web Proxy Auto-Discovery Service service entered the stopped state».
Типы состояний служб
| Состояние (State) | Что означает |
|---|---|
| Running | Служба успешно стартовала и готова к обработке запросов. |
| Stopped | Служба остановлена штатно (самой ОС, по таймауту простоя или вручную администратором). |
| Paused | Служба приостановлена, но процесс находится в памяти (редко используется). |
Пошаговое дерево решений (Фильтрация и Мониторинг)
Сценарий 1: Определение критичности остановки (Stopped)
Само по себе событие 7036 — это нормальная работа ОС. Проблема возникает, когда внезапно останавливается критическая служба (например, Spooler, SQL Server или MSExchangeIS). Отследить падение критической службы можно через PowerShell.
Скрипт поиска падений критических служб:$CriticalServices = "SQL Server|Exchange|Spooler"
Get-WinEvent -FilterHashtable @{LogName="System"; ID=7036; StartTime=(Get-Date).AddDays(-1)} |
Where-Object {$_.Message -match $CriticalServices -and $_.Message -match "stopped"} |
Select-Object TimeCreated, MessageСценарий 2: Фильтрация спама от системных служб (WinHTTP / BITS)
Службы, настроенные на тип запуска Вручную (Manual - Trigger Start), постоянно включаются и выключаются ядром для экономии оперативной памяти. Например, Фоновая интеллектуальная служба передачи (BITS) или Служба кэша шрифтов Windows. Это не является ошибкой. Вы можете отключить их логирование на уровне SIEM, но не на уровне ОС.
Сценарий 3: Настройка автоматического восстановления службы
Если служба постоянно останавливается (генерирует 7036 Stopped), настройте ее перезапуск.
- Откройте
services.msc. - Нажмите правой кнопкой на падающую службу -> Свойства -> Вкладка Восстановление (Recovery).
- Установите Первый сбой (First failure) в Перезапуск службы (Restart the Service).
Типовые ошибки администраторов
- Попытка отключить логирование 7036: Отключить логирование 7036 через реестр невозможно, так как это базовое событие SCM, необходимое для аудита состояния сервера. Используйте кастомные представления (Custom Views) в Event Viewer.
- Путаница между 7036 и 7034: 7036 Stopped означает ШТАТНУЮ остановку (команда stop). Если процесс службы упал (Crash), генерируется событие 7034 (Service terminated unexpectedly).
Микроменеджмент служб отнимает часы работы ИТ-отдела. Возьмем ИТ-инфраструктуру на системную поддержку: настроим Zabbix/Prometheus, автоматизируем рестарт служб и предотвратим простои бизнеса.
Частые вопросы (FAQ)
Почему служба WinHTTP Proxy Auto-Discovery спамит событием 7036 каждую минуту?
Эта служба (WPAD) опрашивает сеть на наличие настроек прокси. Если настроек нет, она засыпает и выключается, чтобы не тратить RAM. Через минуту процесс повторяется. Это дизайн Windows 10/Server 2016+.
Как узнать, кто именно остановил службу вручную?
Само событие 7036 не пишет имя пользователя. Для этого вам нужно включить аудит Audit Security State Change и искать событие 4656 в журнале Security с указанием объекта SC_MANAGER.