windows事件id大全_windows系统安全日志取证

0x01 关于日志

Windows安全事件日志中详细记录了是谁在什么时候通过什么手段登录到系统或者注销了登录，通过分析该日志可以详细了解服务器的安全情况以及必要时的取证工作。

0x02 查看日志

传统的查看Windows安全日志方法是通过系统自带的“事件查看器”。

操作方法如下：1、右键“我的电脑”，选择管理，打开“事件查看器”；或者按下Windows键+R的组合键，在运行窗口中输入“eventvwr.msc”直接打开“事件查看器”。

使用该工具可以看到系统日志被分为了两大类：Windows日志和应用程序和服务日志。早期版本中Windows日志只有，应用程序，安全，系统和Setup，新的版本中增加了设置及转发事件日志(默认禁用)。 

系统内置的三个核心日志文件(System，Security和Application)默认大小均为20480KB(20MB)，记录事件数据超过20MB时，默认系统将优先覆盖过期的日志记录。其它应用程序及服务日志默认最大为1024KB，超过最大限制也优先覆盖过期的日志记录。 

0x03 日志分类

Windows事件日志中共有五种事件类型，所有的事件必须拥有五种事件类型中的一种，且只可以有一种。五种事件类型分为：

1.     信息(Information)

    信息事件指应用程序、驱动程序或服务的成功操作的事件。

2.     警告(Warning)

    警告事件指不是直接的、主要的，但是会导致将来问题发生的问题。例如，当磁盘空间不足或未找到打印机时，都会记录一个“警告”事件。

3.     错误(Error)

    错误事件指用户应该知道的重要的问题。错误事件通常指功能和数据的丢失。例如,如果一个服务不能作为系统引导被加载，那么它会产生一个错误事件。

4.     成功审核(Success audit)

    成功的审核安全访问尝试，主要是指安全性日志，这里记录着用户登录/注销、对象访问、特权使用、账户管理、策略更改、详细跟踪、目录服务访问、账户登录等事件，例如所有的成功登录系统都会被记录为“ 成功审核”事件。

5.     失败审核(Failure audit)

    失败的审核安全登录尝试，例如用户试图访问网络驱动器失败，则该尝试会被作为失败审核事件记录下来。

事件日志文件存储位置(Vista/Win7/Win8/Win10/Server2008/Server 2012及之后的版本)

表 事件日志存储位置

提示：%SystemRoot%为系统环境变量，默认值为C:\WINDOWS。

地址:%SystemRoot%\System32\winevt\Logs

使用事件查看器工具可以将这些EVTX事件日志文件导出为evtx，xml，txt和csv格式的文件。

常见的Windows事件ID说明：

    Windows事件日志中记录的信息中，关键的要素包含事件级别、记录时间、事件来源、事件ID、事件描述、涉及的用户、计算机、操作代码及任务类别等。其中事件的ID与操作系统的版本有关，以下列举出的事件ID的操纵系统为Vista/Win7/Win8/Win10/Server2008/Server 2012及之后的版本：

表 常见Windows账户及相关事件对照表

五种事件类型中，最为重要的是成功审核(Success Audit)，所有系统登录成功都会被标记成为成功审核。每个成功登录的事件都会标记一个登录类型：

表 登录类型

0x04 Windows 事件日志格式

系统事件日志主要保存的类型为：*.evtx，*.xml，*.txt，*.csv。对于后三种文件格式已经比较了解，现在分析下evtx后缀额格式。事件日志(evtx)文件是一种二进制格式的文件。

使用Linux下的file命令 ，来识别文件类型或者编码类型(查看头部信息来获取文件类型)。