完全全解讀Windows日志文件

[重要通告]如您遇疑難雜癥,本站支持知識付費業(yè)務(wù),掃右邊二維碼加博主微信,可節(jié)省您寶貴時間哦!

日志文件，它記錄著Windows系統(tǒng)及其各種服務(wù)運行的每個細節(jié)，對增強Windows的穩(wěn)定和安全性，起著非常重要的作用。但許多用戶不注意對它保護，一些“不速之客”很輕易就將日志文件清空，給系統(tǒng)帶來嚴重的安全隱患。

一、什么是日志文件

　　日志文件是Windows系統(tǒng)中一個比較特殊的文件，它記錄著Windows系統(tǒng)中所發(fā)生的一切，如各種系統(tǒng)服務(wù)的啟動、運行、關(guān)閉等信息。 Windows日志包括應(yīng)用程序、安全、系統(tǒng)等幾個部分，它的存放路徑是“%systemroot%system32config”，應(yīng)用程序日志、安全日志和系統(tǒng)日志對應(yīng)的文件名為AppEvent.evt、SecEvent.evt和SysEvent.evt。這些文件受到“Event Log（事件記錄）”服務(wù)的保護不能被刪除，但可以被清空。

二、如何查看日志文件
　　在Windows系統(tǒng)中查看日志文件很簡單。點擊“開始→設(shè)置→控制面板→管理工具→事件查看器”，在事件查看器窗口左欄中列出本機包含的日志類型，如應(yīng)用程序、安全、系統(tǒng)等。查看某個日志記錄也很簡單，在左欄中選中某個類型的日志，如應(yīng)用程序，接著在右欄中列出該類型日志的所有記錄，雙擊其中某個記錄，彈出“事件屬性”對話框，顯示出該記錄的詳細信息，這樣我們就能準確的掌握系統(tǒng)中到底發(fā)生了什么事情，是否影響Windows的正常運行，一旦出現(xiàn)問題，即時查找排除。

三、Windows日志文件的保護

　　日志文件對我們?nèi)绱酥匾?，因此不能忽視對它的保護，防止發(fā)生某些“不法之徒”將日志文件清洗一空的情況。

　　1． 修改日志文件存放目錄

　　Windows日志文件默認路徑是“%systemroot%system32config”，我們可以通過修改注冊表來改變它的存儲目錄，來增強對日志的保護。
　　點擊“開始→運行”，在對話框中輸入“Regedit”，回車后彈出注冊表編輯器，依次展開 “HKEY_LOCAL_MACHINE/SYSTEM/CurrentControlSet/Services/Eventlog”后，下面的 Application、Security、System幾個子項分別對應(yīng)應(yīng)用程序日志、安全日志、系統(tǒng)日志。
　　筆者以應(yīng)用程序日志為例，將其轉(zhuǎn)移到“d:\cce”目錄下。選中Application子項,在右欄中找到File鍵，其鍵值為應(yīng)用程序日志文件的路徑“%SystemRoot%system32configAppEvent.Evt”，將它修改為“d:cceAppEvent.Evt”。接著在D 盤新建“CCE”目錄，將“AppEvent.Evt”拷貝到該目錄下，重新啟動系統(tǒng)，完成應(yīng)用程序日志文件存放目錄的修改。其它類型日志文件路徑修改方法相同，只是在不同的子項下操作。
　　2． 設(shè)置文件訪問權(quán)限

　　修改了日志文件的存放目錄后，日志還是可以被清空的，下面通過修改日志文件訪問權(quán)限，防止這種事情發(fā)生，前提是Windows系統(tǒng)要采用NTFS文件系統(tǒng)格式。

　　右鍵點擊D盤的CCE目錄，選擇“屬性”，切換到“安全”標簽頁后，首先取消“允許將來自父系的可繼承權(quán)限傳播給該對象”選項勾選。接著在賬號列表框中選中“Everyone”賬號，只給它賦予“讀取”權(quán)限；然后點擊“添加”按鈕，將“System”賬號添加到賬號列表框中，賦予除“完全控制”和“修改”以外的所有權(quán)限，最后點擊“確定”按鈕。這樣當用戶清除Windows日志時，就會彈出錯誤對話框。

　四、Windows日志實例分析

　　在Windows日志中記錄了很多操作事件，為了方便用戶對它們的管理，每種類型的事件都賦予了一個惟一的編號，這就是事件ID。

1． 查看正常開關(guān)機記錄

　　在Windows系統(tǒng)中，我們可以通過事件查看器的系統(tǒng)日志查看計算機的開、關(guān)機記錄，這是因為日志服務(wù)會隨計算機一起啟動或關(guān)閉，并在日志中留下記錄。這里我們要介紹兩個事件ID“6006和6005”。6005表示事件日志服務(wù)已啟動，如果在事件查看器中發(fā)現(xiàn)某日的事件ID號為6005的事件，就說明在這天正常啟動了Windows系統(tǒng)。6006表示事件日志服務(wù)已停止，如果沒有在事件查看器中發(fā)現(xiàn)某日的事件ID號為6006的事件，就表示計算機在這天沒有正常關(guān)機，可能是因為系統(tǒng)原因或者直接切斷電源導致沒有執(zhí)行正常的關(guān)機操作。
　　2． 查看DHCP配置警告信息

　　在規(guī)模較大的網(wǎng)絡(luò)中，一般都是采用DHCP服務(wù)器配置客戶端IP地址信息，如果客戶機無法找到DHCP服務(wù)器，就會自動使用一個內(nèi)部的IP地址配置客戶端，并且在Windows日志中產(chǎn)生一個事件ID號為1007的事件。如果用戶在日志中發(fā)現(xiàn)該編號事件，說明該機器無法從DHCP服務(wù)器獲得信息，就要查看是該機器網(wǎng)絡(luò)故障還是DHCP服務(wù)器問題。

問題未解決？付費解決問題加Q或微信 2589053300 (即Q號又微信號)右上方掃一掃可加博主微信

所寫所說，是心之所感，思之所悟，行之所得；文當無敷衍，落筆求簡潔。 以所舍，求所獲；有所依，方所成！