前言

飛機的「黑匣子」忠實記錄飛行參數，事故發生時可查明原因。Windows 系統也有自己的「黑匣子」——日誌檔案，它記錄系統與服務運行的每個細節，對穩定性與安全性至關重要。然而許多用戶忽視保護，導致日誌被惡意清空，留下嚴重安全隱患。本文將詳細說明日誌檔案的查看、保護與實例分析。

一、什麼是日誌檔案

日誌檔案記錄 Windows 系統發生的一切事件：服務啟動、運行、關閉等。主要包含三大類：

• 應用程式日誌
• 安全性日誌
• 系統日誌

預設儲存路徑：%systemroot%\system32\config
對應檔案名：AppEvent.evt、SecEvent.evt、SysEvent.evt

這些檔案受「事件記錄」服務保護，無法刪除，但可被清空。

二、如何查看日誌檔案

1. 點擊「開始 → 設定 → 控制台 → 管理工具 → 事件檢視器」。
2. 左欄列出日誌類型（應用程式、安全性、系統等）。
3. 選中某類型，右欄顯示所有記錄。雙擊任一記錄彈出「事件屬性」對話框，查看詳細資訊。

透過日誌可精準掌握系統狀態，及時發現並排除問題。

三、Windows 日誌檔案的保護

1. 修改日誌檔案儲存目錄

預設路徑易被攻擊者定位，可透過修改登錄表變更儲存位置增強保護。

1. 執行 Regedit 開啟登錄表編輯器。
2. 展開 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Eventlog，下方有 Application、Security、System 子項，分別對應三類日誌。
3. 以應用程式日誌為例：選中 Application，右側找到 File 鍵值（預設 %SystemRoot%\system32\config\AppEvent.Evt），修改為新路徑（如 d:\cce\AppEvent.Evt）。
4. 在 D 槽建立 CCE 目錄，將原 AppEvent.Evt 複製過去，重啟系統生效。其他日誌同理操作。

2. 設置檔案存取權限（需 NTFS 格式）

修改目錄後仍可被清空，需進一步限制權限：

1. 右鍵新目錄（如 D:\CCE）選「屬性」→「安全性」標籤。
2. 取消「允許將來自父系的可繼承權限傳播給該對象」勾選。
3. 選中「Everyone」帳號，僅授予「讀取」權限。
4. 點「新增」加入「System」帳號，授予除「完全控制」與「修改」外的所有權限。
5. 確定後，使用者嘗試清除日誌將彈出錯誤提示。

四、Windows 日誌實例分析

每類事件有唯一事件 ID，便於管理。

1. 查看正常開關機記錄

• 事件 ID 6005：事件日誌服務已啟動 → 表示該日正常啟動 Windows。
• 事件 ID 6006：事件日誌服務已停止 → 若某日無此事件，表示未正常關機（可能系統故障或直接斷電）。

2. 查看 DHCP 配置警告

大型網路常用 DHCP 伺服器分配 IP。若客戶端找不到 DHCP 伺服器，會自動使用內部 IP 並在日誌產生 事件 ID 1007。發現此事件意味著該機器無法從 DHCP 取得資訊，需排查網路或伺服器故障。