【愚公系列】2023年06月 网络安全高级班 027.应急响应溯源分析（Windows⽇志分析）

前言

Windows日志是Windows操作系统在运行时用于记录事件和错误的记录。这些日志包括应用程序、系统、安全和硬件事件日志，它们都包含有关计算机上发生的事件的详细信息。这些日志对于系统管理员来说是非常有用的，因为它们可以用于帮助找出系统故障并进行故障排除。

一、Windows⽇志分析

1.Windows事件⽇志简介

Windows系统⽇志是记录系统中硬件、软件和系统问题的信息，同时还可以监视系统中发⽣的事件。⽤户可以通过它来检查错误发⽣的原因，或者寻找受到攻击时攻击者留下的痕迹。

Windows主要有以下三类⽇志记录系统事件：应⽤程序⽇志、系统⽇志和安全⽇志。

1.1 系统⽇志

记录操作系统组件产⽣的事件，主要包括驱动程序、系统组件和应⽤软件的崩溃以及数据丢失错误等。系统⽇志中记录的时间类型由Windows NT/2000操作系统预先定义。

默认位置： %SystemRoot%\System32\Winevt\Logs\System.evtx

1.2 应⽤程序⽇志

包含由应⽤程序或系统程序记录的事件，主要记录程序运⾏⽅⾯的事件，例如数据库程序可以在应⽤程序⽇志中记录⽂件错误，程序开发⼈员可以⾃⾏决定