Grafické nástroje (MMC konzole) zůstávají od Windows 7 prakticky beze změny; novinkou Windows 10/11 je aplikace Zabezpečení Windows, přepracovaný Správce úloh a důraz na PowerShell (Get-Counter, Get-WinEvent, Get-Service). Všechny MMC nástroje jsou ve Windows 11 dostupné přes Nástroje Windows (Ovládací panely > Systém a zabezpečení > Nástroje Windows), dříve Nástroje pro správu.

Aplikace Zabezpečení Windows je jen „sběrač“ stavu – používá službu Windows Security Service (SecurityHealthService) a Windows Security Center Service (wscsvc). Vypnutí těchto služeb nevypne Defender ani firewall, jen aplikace přestane ukazovat správný stav. Nastavení vynucená zásadami skupiny / Intune mají přednost před nastavením v aplikaci. Po instalaci antiviru třetí strany se Microsoft Defender Antivirus automaticky vypne, aplikace ale dál zobrazuje stav ostatních součástí. Zdroj: https://learn.microsoft.com/en-us/windows/security/operating-system-security/system-security/windows-defender-security-center/windows-defender-security-center Zdroj (ochrana před zneužitím, DEP): https://learn.microsoft.com/en-us/defender-endpoint/customize-exploit-protection

Applet stále existuje (Ovládací panely > Systém a zabezpečení > Zabezpečení a údržba) a cvičení E06 (Lab 08) ho používá pro Hlášení problémů. Primárně učit aplikaci Zabezpečení Windows; applet ukázat jako místo, kde je WER, automatická údržba a odkaz „Zobrazit historii spolehlivosti“. WER: ve Windows 10/11 zbývá jen úroveň automatického odesílání (ovlivněná úrovní diagnostických dat) a možnost vypnout; výjimky pro programy jsou jen pro čtení. Podrobnosti k WER v Zabezpečení a údržbě viz E06, sekce Hlášení a řešení problémů. Zdroj (WER): https://learn.microsoft.com/en-us/troubleshoot/windows-client/system-management-components/windows-error-reporting-diagnostics-enablement-guidance

Snímky z ovládacího panelu Zabezpečení a údržba (Windows 11 24H2): hlavní stránka s rozbalenou sekcí Údržba a stránka Změnit nastavení (zapnutí a vypnutí jednotlivých zpráv zabezpečení a údržby). Volba úrovně oznamování problémů z Windows 8 (automaticky / dotázat se / nikdy) už neexistuje – zůstává jen přepínač Zapnuto/Vypnuto v Údržba > Nastavení hlášení problémů, resp. cmdlety Get-/Disable-WindowsErrorReporting.

Čím vyšší číslo priority, tím vyšší priorita (na rozdíl např. od UNIXových systémů, kde je to naopak). Prioritu Reálný čas používat jen výjimečně – proces může předběhnout i části systému. Nastavení spřažení a priority je na záložce Podrobnosti (Details), stejně jako sloupec UAC virtualizace a Platforma (32/64bit, ARM64).

Windows 11 22H2: „Added an efficiency mode that allows you to limit the resource usage of a process“, „Task Manager will automatically match the system wide theme“, nový panel příkazů. Windows 11 24H2 přidal Mica materiál a novou ikonu v nastavení Správce úloh. Režim efektivity nelze zapnout pro skupiny procesů systému (např. Průzkumník Windows), jen pro jednotlivé procesy. Procesy, kterým režim zapnul sám systém, mají také zelený lístek. NPU: záložka NPU na Výkon je na počítačích s NPU (Copilot+ PC); sloupce NPU a NPU Engine (Procesy, Uživatelé, Podrobnosti) a NPU Dedicated/Shared Memory (Podrobnosti) přibyly ve volitelné aktualizaci KB5089573 (26. 5. 2026) a v KB5094126 (9. 6. 2026) pro 24H2/25H2 – informace jen z novinářských zdrojů (Neowin, Windows Central), na learn.microsoft.com zatím nedohledáno; sloupce se zapínají pravým tlačítkem na záhlaví sloupců. Zdroj: https://learn.microsoft.com/en-us/windows/whats-new/whats-new-windows-11-version-22h2 Zdroj: https://learn.microsoft.com/en-us/windows/whats-new/whats-new-windows-11-version-24h2 Zdroj (NPU, neoficiální): https://www.windowscentral.com/microsoft/windows-11/windows-11-task-manager-npu-stats-insider Zdroj (NPU, neoficiální): https://www.neowin.net/news/microsoft-brings-improved-windows-11-hardware-monitoring-with-upgraded-task-manager/

Snímek ze Správce úloh Windows 11 24H2: záložka Podrobnosti (Details) s kontextovou nabídkou procesu – Nastavit prioritu / Nastavit spřažení / Režim efektivity / Virtualizace řízení uživatelských účtů / Vytvořit soubor výpisu paměti.

Nástroj je ve Windows 11 beze změny (Windows 7+). Hodí se pro odhalení procesu, který drží otevřený soubor (Přidružené popisovače) nebo naslouchá na portu.

Sysinternals je dnes součástí Microsoftu; kromě klasického ZIP je Sysinternals Suite v Microsoft Store (ID 9p7knl5rwt25) a ve winget (Microsoft.Sysinternals.Suite, jednotlivé nástroje např. Microsoft.Sysinternals.ProcessExplorer, Microsoft.Sysinternals.ProcessMonitor). Sysinternals Live umožňuje spustit nástroj bez stažení: \\live.sysinternals.com\tools\procexp.exe. Od Windows 8 běží programy standardně bez oprávnění správce; pro zobrazení všech procesů zvolit File > Show Details for All Processes. Zdroj: https://learn.microsoft.com/en-us/sysinternals/downloads/process-explorer Zdroj: https://learn.microsoft.com/en-us/sysinternals/downloads/sysinternals-suite

Process Explorer umožňuje zjišťovat i tak detailní informace jako např. call stack procesu. Vše pod procesem services.exe jsou procesy služeb, při najetí na jakýkoliv z těchto procesů lze zjistit konkrétní služby, jež daný proces zajišťuje. Ve Windows 10/11 s více než 3,5 GB RAM běží většina služeb v samostatných procesech svchost.exe (viz Služby).

Nástroj je ve Windows 11 beze změny. Pokud je vypnuto Hlášení problémů (Disable-WindowsErrorReporting), přestanou se zaznamenávat i pády aplikací – viz E06, Lab 08. Zdroj (index 1–10, 28 dní, uchování 1 rok): https://techcommunity.microsoft.com/blog/askperf/using-reliability-monitor-for-troubleshooting/372962

Některé služby jsou chráněné (např. Application Identity pro AppLocker, Windows Defender Antivirus s Tamper Protection) – v konzoli je nelze zastavit ani změnit typ spouštění, konfigurují se zásadami nebo přes Zabezpečení Windows. Ve Windows 11 je konzole v Ovládací panely > Systém a zabezpečení > Nástroje Windows (dříve Nástroje pro správu), nebo přes Správce úloh > Služby > Otevřít Služby.

Rozdělení svchost: „Beginning with Windows 10 Creators Update (version 1703), services that were previously grouped will instead be separated – each will run in its own SvcHost process. This change is automatic for systems with more than 3.5 GB of RAM running the Client Desktop SKU.“ Počet instancí svchost typicky 17–21 (sloučené) vs. 67–74 (rozdělené). Per-user služby vidíme v services.msc s příponou _LUID; šablony vidět nejsou. Vypnutí = změna hodnoty Start=4 u šablony v HKLM\SYSTEM\CurrentControlSet\Services (zásady skupiny – předvolby registru, skript). Get-Service nevrací účet, pod kterým služba běží – k tomu Get-CimInstance Win32_Service | Select Name, StartName, PathName. Zdroj: https://learn.microsoft.com/en-us/windows/application-management/svchost-service-refactoring Zdroj: https://learn.microsoft.com/en-us/windows/application-management/per-user-services-in-windows

Nástroj je od Windows Vista prakticky beze změny, ve Windows 11 se otevírá i z nabídky Win+X (Prohlížeč událostí). Sekce Ovládacích panelů se ve Windows 11 jmenuje Nástroje Windows (Windows Tools). Webovou alternativou je nástroj Events ve Windows Admin Center (viz dále).

Akce zaslání e-mailu a zobrazení zprávy jsou od Windows 8 označeny jako zastaralé (deprecated) a v Plánovači úloh nejdou uložit. Namísto nich lze spustit program, jenž bude tyto úlohy realizovat (msg.exe, PowerShell skript). Viz E06, Lab 03. Události lze exportovat i z příkazové řádky nástrojem wevtutil nebo Get-WinEvent | Export-Csv (viz další snímek). Zasílání událostí na vzdálené počítače existuje od Windows Vista.

Ukázat Protokoly aplikací a služeb > Microsoft > Windows, hlavně Diagnosis-PLA/Operational, kde zapisuje události nástroj Sledování výkonu (ID 2031 = překročení prahu výstrahy – používá se v E06 Lab 02–04), a Eventlog-ForwardingPlugin/Operational (stav předávání událostí). Protokoly Analytic a Debug jsou skryté – Zobrazit > Zobrazit protokoly pro analýzu a ladění.

wevtutil: Level 1 = Critical, 2 = Error, 3 = Warning, 4 = Information, 5 = Verbose. Filtr XML vytvořený v Prohlížeči událostí (záložka XML ve vlastním zobrazení) lze vložit do Get-WinEvent -FilterXml, takže si lze dotaz „naklikat“ a pak automatizovat. Get-EventLog pracuje jen s klasickými protokoly (Application, System, Security) a v PowerShell 7 už není – používat Get-WinEvent. Zdroj: https://learn.microsoft.com/en-us/windows-server/administration/windows-commands/wevtutil Zdroj: https://learn.microsoft.com/en-us/powershell/module/microsoft.powershell.diagnostics/get-winevent Zdroj: https://learn.microsoft.com/en-us/powershell/scripting/samples/creating-get-winevent-queries-with-filterhashtable

Přeposílané události lze filtrovat pomocí standardních filtrů zmíněných dříve (filtruje se již na zdrojovém počítači). WinRM se používá pro přenos událostí, služba Sběr událostí systému Windows na kolektoru odběry spravuje a události ukládá (typicky do protokolu Předané události). Zdrojový počítač podle postupu Microsoftu potřebuje jen winrm qc -q a zásadu SubscriptionManager; wecutil qc /q se spouští pouze na kolektoru (E06, Lab 04, krok 2 vs. krok 9). Firewall: winrm quickconfig vytvoří výjimku pro WinRM (TCP 5985); pro HTTPS je nutný certifikát serveru a port 5986. Zdroj: https://learn.microsoft.com/en-us/windows/win32/wec/setting-up-a-source-initiated-subscription

U collector režimu nelze přidávat další počítače po nastavení odběru bez úpravy odběru; musí se vytvořit nový odběr nebo odběr upravit. Někdy se zdrojovému (source) počítači říká forwarding. Postup pro W11-domain → W2022-dc viz E06, Lab 04 (winrm quickconfig, gpedit, wecutil qc, vytvoření odběru v Prohlížeči událostí, Minimalizovat zpoždění). Zdroj: https://learn.microsoft.com/en-us/windows/win32/wec/setting-up-a-source-initiated-subscription

Optimalizace doručení: Normální (dávky po 5 událostech, max. 15 min), Minimalizovat šířku pásma (max. 6 h), Minimalizovat zpoždění (max. 30 s). Minimalizace šířky pásma vynutí dávkování/kompresi, což má za následek vyšší zpoždění. Vlastní hodnoty lze nastavit jen přes wecutil ss (DeliveryMaxItems, DeliveryMaxLatencyTime). Zdroj (režimy doručení): https://learn.microsoft.com/en-us/previous-versions/windows/it-pro/windows-server-2008-R2-and-2008/cc749167(v=ws.10) Zdroj: https://learn.microsoft.com/en-us/windows-server/administration/windows-commands/wecutil

Windows Admin Center: „manages Windows Server 2016 and later, Windows 11, Windows 10, and more through the Windows Admin Center gateway installed on Windows Server or domain-joined Windows 10 or 11“. Gateway komunikuje s cílem přes Remote PowerShell a WMI over WinRM. Ke stažení z Microsoft Evaluation Center, aktualizace přes Microsoft Update. V PowerShell 7 už parametr -ComputerName u Get-Service není (odstraněn); použít Invoke-Command / PowerShell remoting. Zdroj: https://learn.microsoft.com/en-us/windows-server/manage/windows-admin-center/understand/what-is Zdroj: https://learn.microsoft.com/en-us/windows-server/manage/windows-admin-center/overview

Poškozené odkazy na čítače (čítač chybí v seznamu) lze opravit příkazem lodctr /r (obnoví registr čítačů ze záloh). Zdroj: https://learn.microsoft.com/en-us/powershell/module/microsoft.powershell.diagnostics/get-counter

Režim porovnávání grafů (/comp) není uveden v nápovědě nástroje ani v dokumentaci; ve Windows 11 stále funguje a používá se v E06, Lab 01.

Ukázat přidání dalších čítačů (např. TCP protokol, .NET, GPU Engine, …) a volbu Zobrazit popis. V případě, že některé čítače chybí (nejsou v seznamu), může to být tím, že odkazy na ně jsou poškozeny. Odkazy lze opravit (navrátit do původního stavu) příkazem lodctr /r.

Ukázat cesty pro správu v konfiguračních kolekcích, jež zaznamenávají výsledek nějakého WMI dotazu (což není z názvu na první pohled vůbec zřejmé). Šablona výstrahy fsaTemplate.xml se používá v E06, Lab 03.

Diagnostika systému běží 60 sekund; perfmon /report otevře po dokončení sestavu (varování, kontroly základního systému, výkon, konfigurace). Ukázat sestavu Diagnostiky systému.

Naplánovaná úloha se spouští zadáním jejího jména na záložce Upozorňující úloha, kde se má podle nápovědy zadávat WMI úloha (jež neexistuje). Argumenty úlohy lze sice zadat, ale naplánované úlohy je nepodporují (ve Windows XP se na záložce zadával program nebo skript, teď se tam zadává název naplánované úlohy, ale rozhraní zůstalo jako ve Windows XP). Praktičtější cesta (E06, Lab 03): výstraha zapíše událost 2031 a na ni se v Prohlížeči událostí přidruží úloha (msg.exe / skript). Ukázat skript, jenž dělá to, co upozornění čítačů výkonu (Get-Counter v cyklu + porovnání s prahem). Zdroj (Send-MailMessage obsolete): https://learn.microsoft.com/en-us/powershell/module/microsoft.powershell.utility/send-mailmessage

Kolekce dat api zatím nic nedělá, ve Sledování výkonu ani přes příkaz logman se nezobrazí, že v dané sadě je, lze ji vidět pouze po exportu v cílovém souboru. V případě zadání jen jednoho názvu se tento název použije jak pro sadu, tak pro kolekci (v nápovědě to není napsané). Název čítače musí být v lokalizaci daného systému, tedy česky v českých Windows, anglicky v anglických atd. -el u výstrahy = zapsat událost do protokolu (Diagnosis-PLA), -tn <úloha> spustí naplánovanou úlohu. Zdroj: https://learn.microsoft.com/en-us/windows-server/administration/windows-commands/logman

Nelze spouštět jednotlivé kolekce dat, jen celé sady. relog umí také sloučit více .blg souborů nebo zapsat do SQL.

Získané hodnoty jsou v CounterSamples[].CookedValue; RawValue je surová hodnota. Mnoho sad čítačů je chráněno ACL – pro úplný seznam spustit PowerShell jako správce. Export-Counter / Import-Counter existují jen ve Windows PowerShell 5.1 (v PowerShell 7 nejsou). Zdroj: https://learn.microsoft.com/en-us/windows-server/administration/windows-commands/typeperf Zdroj: https://learn.microsoft.com/en-us/powershell/module/microsoft.powershell.diagnostics/get-counter

WPT je součástí Windows ADK (volitelná součást Windows Performance Toolkit); WPR: Windows 8 a novější, WPA: Windows 8 a novější s .NET Framework 4.5+. Xperfview už není podporován, záznamy se otevírají ve WPA. wpr.exe (CLI) je v %windir%\System32 od Windows 10 – pro záznam není nutné nic instalovat; WPA pro analýzu ano. Zdroj: https://learn.microsoft.com/en-us/windows-hardware/test/wpt/ Zdroj: https://learn.microsoft.com/en-us/windows-hardware/test/wpt/windows-performance-analyzer Zdroj (WPR součást Windows, Defender): https://learn.microsoft.com/en-us/defender-endpoint/troubleshoot-av-performance-issues-with-wprui

Spouštění kódu v nespustitelných oblastech (např. na zásobníku) se používá např. při útocích typu buffer overflow. Ve výchozím nastavení je DEP povolena pro všechny důležité služby a procesy systému, lze ji ale povolit i pro ostatní aplikace a služby (a případně pak explicitně vybrat aplikace a služby, které takto nemají být chráněny). DEP je konfigurovatelná jen pro 32bitové (x86) aplikace, pro ostatní architektury je trvale zapnutá. Ochrana před zneužitím (Exploit protection) nahradila dřívější EMET; systémová nastavení mají hodnoty Zapnuto/Vypnuto/Použít výchozí, nastavení pro program mají přednost. Konfiguraci lze exportovat do XML a nasadit zásadami skupiny / Intune. Zdroj: https://learn.microsoft.com/en-us/defender-endpoint/customize-exploit-protection

Dialogy Možnosti výkonu > Vizuální efekty a Virtuální paměť (snímky z Windows 11 24H2). Windows 11 nabízí část vizuálních efektů také v Nastavení > Přístupnost > Vizuální efekty (animace, průhlednost). Velikost stránkovacího souboru nechat na „Automaticky spravovat velikost souboru stránkování pro všechny jednotky“; ruční nastavení dává smysl při ladění výpisů paměti (úplný výpis vyžaduje stránkovací soubor ≥ RAM na systémové jednotce) nebo při přesunu na jiný disk.