【精选】Windows日志分析(上)

在我们Blue Team，针对Windows日志分析的场景占绝大多数，Windows 事件日志记录提供了源、用户名、计算机、事件类型和级别等详细信息，并显示应用程序和系统消息的日志，包括错误、信息消息和警告。 多年来，微软不断提高其审计设施的效率和有效性。 现代 Windows 系统可以以最小的系统影响记录大量信息。 一般来说企业会选择一种工具来获取日志，这个工具叫做Security information and event management(SIEM)即安全，信息和事件管理。 在 Windows 系统上配置足够的日志记录，并在理想情况下将这些日志聚合到 SIEM 或其他日志聚合器中，能够确保我们在SIEM中的搜索语句找到自己想要的日志。

现代 Windows 系统默认以二进制 XML Windows 事件日志格式将日志存储在 %SystemRoot%\System32\winevt\logs 目录中，后缀名为.evtx 。也可以使用日志订阅远程存储日志。 事件可以记录在不同地方的日志当中，例如：安全、系统和应用程序事件，它们也可能出现在其他几个日志文件中。 安装程序事件日志记录安装 Windows 期间发生的活动。