windows无法检索有关这台计算机上的磁盘信息_安全蓝队系列 : windows日志检索和分析...

前言

在运维工作过程中，如若windows服务器被入侵，往往需要检索和分析相应的安全日志。除了安全设备，系统自带的日志就是取证的关键材料，但是此类日志数量庞大，需要高效分析windows安全日志，提取出我们想要的有用信息，就显得尤为关键。

本文将介绍windows的日志类型、存放位置、检索方案以及方便检索的工具使用方法。

---

Windows日志

在windows系统的运行过程中会不断记录日志信息，根据种类可以分为事件日志、IIS日志、FTP日志，数据库日志，邮件服务日志等。

事件日志

Windows事件日志文件实际上是以特定的数据结构的方式存储内容，其中包括有关系统，安全，应用程序的记录。每个记录事件的数据结构中包含了9个元素(可以理解成数据库中的字段)：日期/时间、事件类型、用户、计算机、事件ID、来源、类别、描述、数据等信息。运维人员可以根据日志取证，了解计算机所发生的具体行为。

开始-运行，输入 eventvwr.msc 打开事件查看器，查看日志

可以看到，事件查看器将日志分成了2大类，windows日志、应用程序和服务日志，windows日志中又有应用程序、安全、setup、系统、forwarded event这几种事件类型。以下将分别介绍：

事件类型

•应用程序日志

包含由应用程序或系统程序记录的事件，主要记录程序运行方面的事件，例如数据库程序可以在应用程序日志中记录文件错误，程序开发人员可以自行决定监视哪些事件。如果某个应用程序出现崩溃情况，那么我们可以从程序事件日志中找到相应的记录，也许会有助于问题的解决。

默认位置: %SystemRoot%\System32\Winevt\Logs\Application.evtx

•系统日志

记录操作系统组件产生的事件，主要包括驱动程序、系