1、 Windows日志简介

Windows系统日志是记录系统中硬件、软件和系统问题的信息，同时还可以监视系统中发生的事件。用户可以通过它来检查错误发生的原因，或者寻找受到攻击时攻击者留下的痕迹。

Windows主要有以下三类日志记录系统事件：应用程序日志、系统日志和安全日志。

1）系统日志

记录操作系统组件产生的事件，主要包括驱动程序、系统组件和应用软件的崩溃以及数据丢失错误等。系统日志中记录的时间类型由Windows NT/2000操作系统预先定义。

默认位置

%SystemRoot%\System32\Winevt\Logs\System.evtx

2）应用程序日志

包含由应用程序或系统程序记录的事件，主要记录程序运行方面的事件，例如数据库程序可以在应用程序日志中记录文件错误，程序开发人员可以自行决定监视哪些事件。如果某个应用程序出现崩溃情况，那么我们可以从程序事件日志中找到相应的记录，也许会有助于你解决问题。

默认位置

%SystemRoot%\System32\Winevt\Logs\Application.evtx

3）安全日志

记录系统的安全审计事件，包含各种类型的登录日志、对象访问日志、进程追踪日志、特权使用、帐号管理、策略变更、系统事件。安全日志也是调查取证中最常用到的日志。默认设置下，安全性日志是关闭的，管理员可以使用组策略来启动安全性日志，或者在注册表中设置审核策略，以便当安全性日志满后使系统停止响应。

默认位置

%SystemRoot%\System32\Winevt\Logs\Security.evtx

2、事件ID说明

1）如何查看Windows日志

• 方式1：在“开始”菜单上，依次指向“所有程序”、“管理工具”，然后单击“事件查看器”

• 方式2：按 "Window+R"，输入 ”eventvwr.msc“ 也可以直接进入“事件查看器”

  

2）部分事件说明

对于Windows事件日志分析，不同的EVENT ID代表了不同的意义，摘录一些常见的安全事件的说明：

每个成功登录的事件都会标记一个登录类型，不同登录类型代表不同的方式：

关于更多EVENT ID，可参考官方文档《附录 L：事件监视器》。

其他参考链接：

https://docs.microsoft.com/en-us/windows/security/threat-protection/auditing/event-4624

https://www.ultimatewindowssecurity.com/securitylog/encyclopedia/default.aspx?i=j

3、日志分析工具

1）Log Parser

• Win+R输入 eventvwr.msc。选择“Windows日志”
• 导出应用程序、系统和安全日志后，使用Log Parser

基本查询结构

Logparser.exe –i:EVT –o:DATAGRID "SELECT * FROM c:\xx.evtx"

举例

• 查询登录成功的事件

  # 所有登陆成功的事件
  LogParser.exe -i:EVT -o:DATAGRID  "SELECT *  FROM C:\Users\d4m1ts\Desktop\安全.evtx where EventID=4624"
  
  # 时间段内登陆成功的事件
  LogParser.exe -i:EVT -o:DATAGRID  "SELECT *  FROM C:\Users\d4m1ts\Desktop\安全.evtx where EventID=4624 and  TimeGenerated>'2020-09-22 01:34:10' and TimeGenerated<'2020-09-22 01:34:20'"
  

  

• 查询登陆失败的事件

  LogParser.exe -i:EVT -o:DATAGRID  "SELECT *  FROM C:\Users\d4m1ts\Desktop\安全.evtx where EventID=4625"
  

使用示例：https://mlichtenberg.wordpress.com/2011/02/03/log-parser-rocks-more-than-50-examples/

有思路可以直接让GPT帮忙写就行。

4、注意事项

• Windows Server 2008 R2 系统的审核功能在默认状态下并没有启用 ，建议开启审核策略，若日后系统出现故障、安全事故则可以查看系统的日志文件，排除故障，追查入侵者的信息等。审核策略与事件查看器