2024年4月29日发(作者:)
Windows日志文件完全解读
日志文件,它记录着Windows系统及其各种服务运行的每个细节,对增强Windows
的稳定和安全性,起着非常重要的作用。但许多用户不注意对它保护,一些“不速之客”
很轻易就将日志文件清空,给系统带来严重的安全隐患。
一、什么是日志文件
日志文件是Windows系统中一个比较特殊的文件,它记录着Windows系统中所发
生的一切,如各种系统服务的启动、运行、关闭等信息。Windows日志包括应用程序、
安全、系统等几个部分,它的存放路径是“%systemroot%system32config”,应用程序
日志、安全日志和系统日志对应的文件名为、和。
这些文件受到“Event Log(事件记录)”服务的保护不能被删除,但可以被清空。
二、如何查看日志文件
在Windows系统中查看日志文件很简单。点击“开始→设置→控制面板→管理工具
→事件查看器”,在事件查看器窗口左栏中列出本机包含的日志类型,如应用程序、安全、
系统等。查看某个日志记录也很简单,在左栏中选中某个类型的日志,如应用程序,接着
在右栏中列出该类型日志的所有记录,双击其中某个记录,弹出“事件属性”对话框,显
示出该记录的详细信息,这样我们就能准确的掌握系统中到底发生了什么事情,是否影响
Windows的正常运行,一旦出现问题,即时查找排除。
三、Windows日志文件的保护
日志文件对我们如此重要,因此不能忽视对它的保护,防止发生某些“不法之徒”将
日志文件清洗一空的情况。
1. 修改日志文件存放目录
Windows日志文件默认路径是“%systemroot%system32config”,我们可以通过
修改注册表来改变它的存储目录,来增强对日志的保护。
点击“开始→运行”,在对话框中输入“Regedit”,回车后弹出注册表编辑器,依次
展开“HKEY_LOCAL_MACHINE/SYSTEM/CurrentControlSet/Services/Eventlog”后,
下面的Application、Security、System几个子项分别对应应用程序日志、安全日志、系
统日志。
笔者以应用程序日志为例,将其转移到“d:cce”目录下。选中Application子项,在右
栏中找到File键,其键值为应用程序日志文件的路径
“%SystemRoot%”,将它修改为“d:”。
接着在D盘新建“CCE”目录,将“”拷贝到该目录下,重新启动系统,完
成应用程序日志文件存放目录的修改。其它类型日志文件路径修改方法相同,只是在不同
的子项下操作。
2. 设置文件访问权限
修改了日志文件的存放目录后,日志还是可以被清空的,下面通过修改日志文件访问
权限,防止这种事情发生,前提是Windows系统要采用NTFS文件系统格式。
发布评论