日誌架構基礎

Windows 2000/XP/2003 核心日誌檔位於 %SystemRoot%\system32\config\：

• SecEvent.Evt — 安全性日誌
• SysEvent.Evt — 系統日誌
• AppEvent.Evt — 應用程式日誌
• DnsEvent.Evt — DNS 伺服器日誌

預設大小 512 KB，滿即停止記錄。登錄路徑：HKLM\System\CurrentControlSet\Services\Eventlog 下各子鍵含 MaxSize、File 等設定。

管理員防護篇

1. 擴大日誌容量與保留策略

建議調整為 25 MB 並啟用 14 天覆寫。提供 WMI 腳本自動化配置全系統日誌：

strComputer = "."
Set objWMI = GetObject("winmgmts:{impersonationLevel=impersonate}!\\" & strComputer & "\root\cimv2")
For Each objLog In objWMI.ExecQuery("Select * from Win32_NTEventLogFile")
    Set objLogEx = GetObject("winmgmts:{impersonationLevel=impersonate}!\\.\root\cimv2:Win32_NTEventLogFile.Name='" & objLog.Name & "'")
    objLogEx.MaxFileSize = 25000000      ' 25 MB
    objLogEx.OverwriteOutdated = 14      ' 14 天
    objLogEx.Put_
Next

另可用 dumpel.exe (Resource Kit) 定期匯出遠端日誌：

dumpel \\server -l system -f backupsystem.log

2. 日誌異地備份與列印歸檔

條件允許時，設定排程任務將日誌轉存至獨立日誌伺服器或直接列印歸檔，防止本機日誌被竄改/刪除。

3. 限制日誌存取權限

安全日誌 ACL 僅保留 SYSTEM、Administrators 完整控制，移除 Users、Everyone 讀取權限。

攻擊者視角：日誌偽造與清除手法

• wevtutil cl Security / clearlog 快速清空
• 修改登錄 MaxSize=1 導致新事件無法寫入
• 替換系統時間後植入偽造事件混淆視聽
• Rootkit 掛鉤 EventLog API 過濾特定事件不寫入

偵測與應對

1. 監控 EventLog 服務停止/啟動事件 (Event ID 6005/6006)
2. 稽核日誌檔案大小異常驟減
3. 部署 Sysmon 記錄進程建立/網路連線，交叉比對缺失事件
4. 啟用「安全性日誌保護」群組策略（Vista+）防止非授權清除