駭客入侵後慣用「清除日誌」或「偽造日誌」銷毀證據。將事件日誌預設路徑 (`C:\Winnt\System32\Config\*.evt`) 遷移至深層隱蔽目錄，大幅增加駭客尋找/清除難度，爭取鑑識黃金時間。

操作步驟 (Windows 2000/XP/2003)

1. 確認預設路徑

控制台 → 管理工具 → 電腦管理 → 事件檢視器 → 應用程式/安全性/系統 → 右鍵「內容」 → 「日誌名稱」欄位可見路徑：
`C:\Winnt\System32\Config\AppEvent.evt` / `SecEvent.evt` / `SysEvent.evt`

2. 建立隱蔽目標目錄

在 D 槽建立多層無意義目錄：
`D:\01\02\03\04\05\06\07\` (命名原則：越不起眼越好，避免 `Log`、`Backup` 等敏感字眼)

3. 修改登錄檔指向新路徑

1. `regedit` → `HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Eventlog`
2. 三個子機碼：`Application`、`Security`、`System`，各有一 `File` 字串值。
3. 雙擊修改：
   `Application\File` → `D:\01\02\03\04\05\06\07\AppEvent.evt`
   `Security\File` → `D:\01\02\03\04\05\06\07\SecEvent.evt`
   `System\File` → `D:\01\02\03\04\05\06\07\SysEvent.evt`
4. 按 `F5` 整理，關閉編輯器。

4. 遷移既有日誌檔

將 `C:\Winnt\System32\Config\` 下三個 `.evt` 檔 **複製** 至新目錄 (保留原檔備份)。

5. 重開機驗證

重啟後進入事件檢視器查看屬性，路徑已更新為新隱蔽目錄。

進階補強

• **日誌轉發/集中化**：配置 `wecutil` / `winrm` 將日誌即時轉發至專用 SIEM/日誌伺服器，駭客即使清除本機日誌，中央端仍保留完整證據鏈。
• **日誌完整性保護**：啟用系統檔案保護 (SFP)、部署檔案完整性監控 (FIM/Tripwire/Aide)，偵測日誌被竄改/刪除。
• **審計原則微調**：啟用「稽核物件存取」、「稽核程序追蹤」等細項，記錄關鍵操作 (登錄讀寫、檔案存取、程式執行)。

局限性提醒

路徑遷移屬「安全性模糊化」手段，**無法阻止具備系統權限的駭客枚舉登錄檔找到新路徑**。必須搭配上述進階措施與最小權限原則，構建完整日誌防護體系。