伺服器日誌清理實務：系統/安全/應用程式/FTP/IIS 日誌清除工具與技巧

日誌預設路徑速查

核心難點

• 系統/安全性/應用程式日誌由 Event Log 服務 獨佔寫入，**無法停止服務** 直接刪除檔案。
• FTP/IIS 日誌可先停止 MSFTPSVC / W3SVC 服務再刪除檔案，但頻繁操作影響服務可用性。
• 入侵者常修改日誌掩飾蹤跡，防禦方需建立**日誌集中轉送/不可變存儲** (Syslog/SIEM/Windows Event Forwarding)。

工具法：CL (Command Line Log Cleaner)

支援清理 IIS、FTP、排程工作、系統、服務日誌，可遠端執行 (需建立 IPC$ 管理連線)。

常用指令

# 本機清理所有服務日誌 (自動停服務→刪日誌→重啟服務)
cl -logfiles 127.0.0.1

# 本機清理所有事件日誌 (安全/系統/應用程式)
cl -eventlog all

# 遠端清理 (先建立 IPC$)
net use \\TargetIP\ipc$ "Password" /user:"Administrator"
cl -logfiles TargetIP

工具法：CleanIISLog (針對 IIS 日誌精準清除特定 IP)

適用場景：滲透測試/入侵後僅需抹除自身 IP 痕跡，保留其他訪客記錄不引起管理員懷疑。

用法

# 本機清除 IIS 日誌中所有含 192.168.1.100 的記錄
CleanIISLog 192.168.1.100

# 指定非預設 IIS 日誌路徑
CleanIISLog "D:\IISLogs\W3SVC2" 192.168.1.100

特性：執行後自動清除自身在系統日誌的執行記錄；需本機管理員權限執行；不支援遠端。

防禦視角建議 (藍隊/運維)

1. 日誌集中化：配置 Windows Event Forwarding (WEF) 將所有伺服器日誌轉送至專用收集器 (SIEM/Log Server)，源端日誌設為「覆寫舊事件」但收集端完整保存。
2. 日誌不可竄改：收集端儲存於 WORM 儲存/區塊鏈/唯讀檔案系統；定期驗證雜湊值。
3. 即時告警：Event ID 1102 (日誌被清除)、4624/4625 (登入成功/失敗)、4688 (進程建立)、5156 (防火牆連線) 等關鍵事件觸發告警。
4. 保留原始 IIS 日誌：啟用「本機時間」+「UTC 時間」雙欄位、完整欄位 (cs-uri-stem, cs-uri-query, cs(User-Agent), cs(Referer), sc-status, sc-bytes, time-taken) 便於事後溯源。

法律與合規提醒

未經授權清除伺服器日誌屬違法行為 (竄改電腦資料/妨害電腦使用)；企業內部應建立「日誌保留與銷毀政策」，經審核授權後執行並留存操作紀錄。