Windows Server 2003 內建 Empty.exe 可安全釋放進程殘留記憶體，無需第三方優化工具。同時整理安全性事件 ID 對照表，協助快速解讀稽核日誌。

Empty.exe 安全釋放記憶體

不同於第三方工具強制全系統 TrimWorkingSet，Empty.exe 僅針對指定進程釋放不再使用的記憶體頁面，不增加磁碟 I/O 壓力，生產環境相對安全。

使用語法

Empty.exe            # 依進程 ID 釋放
Empty.exe <進程名稱>       # 依進程映像名稱釋放 (如 notepad.exe)

取得 PID/名稱方法

tasklist | findstr "進程名稱"
# 或使用「工作管理員」→「檢視」→「選擇欄位」→ 勾選「PID」

限制與注意

• 僅存在於 Windows Server 2003 (及 XP/2000 Resource Kit)，Vista/2008 後移除
• 無法釋放核心模式/鎖定頁面/大頁面記憶體
• 頻繁執行可能導致進程效能暫時下降 (需重新載入頁面)
• 現代 Windows 建議依賴記憶體管理器自動平衡，極少需手動介入

Windows Server 2003 安全性事件 ID 核心對照表 (帳戶登入類)

事件 ID	事件描述	觸發條件/備註
672	成功簽發/驗證 AS 票證 (Kerberos 初始驗證)	用戶成功取得 TGT
673	TGS 服務票證已授權	用戶取得服務票證 (存取資源)
674	安全主體更新 AS/TGS 票證	票證續約
675	預先驗證失敗	密碼錯誤 (KDC 產生)，最常見的登入失敗事件
676	驗證票證請求失敗 (舊版)	WinXP/Win2003 不產生
677	TGS 票證未授權 (舊版)	WinXP/Win2003 不產生
678	帳戶成功對應至網域帳戶	跨網域/信任關係登入
681	登入失敗 (舊版 SAM/NTLM)	WinXP/Win2003 不產生
682	用戶重新連線至中斷的終端服務會話	RDP 會話恢復
683	用戶未登出即中斷終端服務會話	直接關閉 RDP 視窗

延伸事件類別

• 帳戶管理 (630-644)： 用戶/群組建立、刪除、密碼變更、權限異動
• 目錄服務存取 (660-668)： AD 物件存取稽核
• 物件存取 (560-567)： 檔案/登錄檔/核心物件存取
• 程序追蹤 (592-596)： 程式啟動/終止、間接物件存取
• 系統事件 (512-519)： 系統啟動/關機、時間變更、安全性日誌清除

實務建議

1. 啟用「稽核登入事件」 (成功/失敗) 並設定日誌大小 ≥ 64MB
2. 部署集中式日誌收集 (Syslog/SIEM) 進行關聯分析
3. 重點監控 675 (密碼錯誤暴力破解)、682/683 (RDP 會話異常)
4. 定期匯出/備份安全性日誌符合合規保存要求

掌握 Empty.exe 與事件 ID 對照表，讓記憶體管理與安全稽核都有據可依。