入侵者入侵後習慣清除/偽造事件日誌 (擦腳印)。默認日誌路徑 %SystemRoot%\System32\Config\*.evt (XP/2003) 或 *.evtx (Vista+) 為公共已知路徑。本文演示通過修改註冊表 + 遷移文件 + 重啟，將三大日誌 (Application、Security、System) 遷移至深層隱蔽目錄，增加攻擊者查找/清除成本，配合防火牆/殺毒/蜜罐構建立體防禦。

一、查看默認路徑

1. 控制面板 → 管理工具 → 計算機管理 → 事件查看器
2. 右鍵「應用程序/安全性/系統」→ 屬性 → 「日誌路徑」
   默認：C:\Windows\System32\winevt\Logs\Application.evtx (現代版本)
   舊版：C:\WINNT\System32\Config\AppEvent.evt

二、準備新隱蔽目錄

建議路徑：D:\01\02\03\04\05\06\07\ (層級深、名稱無意義、非系統盤)
原則：越不起眼、越深、越非標準路徑越好

三、修改註冊表 (核心步驟)

1. Win+R → regedit
2. 定位：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Eventlog
3. 展開三個子鍵：Application、Security、System
4. 每個子鍵下找到 File 字符串值 (REG_SZ)
5. 雙擊修改為新路徑：
   Application → D:\01\02\03\04\05\06\07\Application.evtx
Security → D:\01\02\03\04\05\06\07\Security.evtx
System → D:\01\02\03\04\05\06\07\System.evtx
6. F5 刷新註冊表

四、遷移現有日誌文件

copy C:\Windows\System32\winevt\Logs\Application.evtx D:\01\02\03\04\05\06\07\
copy C:\Windows\System32\winevt\Logs\Security.evtx D:\01\02\03\04\05\06\07\
copy C:\Windows\System32\winevt\Logs\System.evtx D:\01\02\03\04\05\06\07\

(舊版對應 C:\WINNT\System32\Config\*.evt)

五、重啟驗證

1. 重啟電腦
2. 再次打開事件查看器 → 右鍵日誌 → 屬性 → 確認路徑已變更為新隱蔽路徑
3. 產生測試事件 (如登錄/注銷) 驗證寫入正常

六、局限性與配套加固 (日誌搬家 ≠ 絕對安全)

局限	補充對策
攻擊者可通過 wevtutil gl / Get-WinEvent / 註冊表枚舉發現新路徑	啟用 日誌轉發 (Event Log Forwarding / Syslog / SIEM) 實時推送至獨立日誌審計服務器，本地日誌僅作備份
高權限攻擊者可直接停止 EventLog 服務/刪除文件	配置日誌服務恢復動作 (失敗重啟) + 文件完整性監控 (FIM/Tripwire/OSSEC) 告警
偽造日誌	啟用 Windows 事件日誌簽名/鏈式哈希 (需企業版/配置策略)
單機視野盲區	部署 EDR/XDR 進行跨主機關聯分析

七、一鍵驗證腳本 (PowerShell)

# 檢查三大日誌當前路徑
Get-ItemProperty HKLM:\SYSTEM\CurrentControlSet\Services\Eventlog\* | Select-Object PSChildName, File
# 應輸出新隱蔽路徑