System DaquanはWindowsシステムログを分析することを教えています

まず、Windowsログファイルの保護

ログファイルは私達にとって非常に重要なので、我々はそれを確実に無視することはできません。;ログファイルがクリーンアップされた場合。

1。ログファイルの保存先ディレクトリを変更する

Windowsログファイルのデフォルトパスは'％systemroot％system32config'です。ログの保護を強化するためにレジストリを変更して保存先ディレクトリを変更できます。

[スタート]をクリックして[ファイル名を指定して実行]をクリックし、ダイアログボックスに「Regedit」と入力してEnterキーを押し、レジストリエディタを表示して[HKEY_LOCAL_MACHINE /SYSTEM /CurrentControlSet /Services /Eventlog]を展開します。次の[アプリケーション]、[セキュリティ]、[システム]の各項目は、アプリケーションログ、セキュリティログ、およびシステムログに対応しています。

作成者はアプリケーションログを例にとり、それを“ d：\\ cce”のディレクトリに転送します。 （表示されているように）[Application]サブアイテムを選択し、右側の列で[File]キーを見つけますキーの値は、アプリケーションログファイルのパス<;％SystemRoot％system32configAppEvent.Evt< '"に変更します。次に、Dドライブの「CCE」ディレクトリに新しいディレクトリを作成し、そのディレクトリに「AppEvent.Evt」をコピーしてシステムを再起動し、アプリケーションログファイル格納ディレクトリの変更を完了します。他の種類のログファイルパスの変更方法も同じですが、さまざまなサブ項目の下で動作するか、新しいログファイルを格納する一連の深いディレクトリを作成します。たとえば、D：\\ 01 \\ 02 \\ 03 \\ 04 \\ 05 \\ 06 \\ 07のようになります。原則は、「見た目を少なくし、見栄えを良くする」ことです。

2。ファイルアクセス権の設定

ログファイルの保存先を変更しても、ログファイルのアクセス権を変更することでこれを防ぐことができますWindowsシステムはNTFSファイルシステムフォーマットを採用する必要があります。 。

DドライブのCCEディレクトリを右クリックして[プロパティ]を選択し、[セキュリティ]タブページに切り替えます最初に、[親からの継承可能なアクセス許可をオブジェクトに伝達することを許可する]をキャンセルします。オプションチェック次に、アカウントリストボックスで[Everyone]アカウントを選択し、[読み取り]権限を付与してから[追加]ボタンをクリックして、アカウントリストボックスに[システム]アカウントを追加し、&'に例外を与えます。フルコントロール'と'を除くすべての権限を変更し、最後に[OK]ボタンをクリックします。ユーザーがWindowsのログを消去すると、エラーダイアログが表示されます。

次に、Windowsログインスタンスの分析

Windowsログには多数の操作上のイベントが記録されていますが、ユーザーがそれらを管理しやすいように、イベントの種類ごとに一意の番号が付けられています。イベントIDです。

1。通常の切り替え履歴を表示する

Windowsシステムでは、イベントビューアのシステムログを使用してコンピュータのオープンおよびシャットダウンレコードを表示できますこれは、ログサービスがコンピュータとともに開始またはシャットダウンされ、ログに記録されるためです。記録を残しなさい。ここでは、2つのイベントID <6006と6005を紹介します。 6005はイベントログサービスが開始されたことを示し、イベントビューアでイベントID番号6005が見つかった場合は、この日にWindowsシステムが正常に開始されたことを示します。 6006はイベントログサービスが停止したことを示し、イベントビューアにイベントID番号6006が見つからない場合は、システムが原因でシステムがシャットダウンされなかったか、直接電源が切断された可能性があります。シャットダウン操作

2。 DHCP設定の警告メッセージを表示する

大規模ネットワークでは、DHCPサーバーを使用してクライアントのIPアドレス情報を設定し、クライアントがDHCPサーバーを見つけられない場合は、自動的に内部IPアドレス設定を使用します。クライアントは、WindowsログにイベントID番号1007のイベントを生成します。ユーザがログ内でnumberイベントを見つけた場合は、マシンがDHCPサーバから情報を取得できないことを示しており、マシンが故障しているのかDHCPサーバが故障しているのかを確認する必要があります。