事件檢視器：作業系統的「健康檢查報告」
所有硬體/軟體/系統異常的蛛絲馬跡均記錄於此。合格管理員應建立定期巡檢機制：每日檢視應用程式/安全性/系統日誌，重點排查非法登入、非正常關機、程式錯誤等事件。
三種開啟方式
控制台 → 管理工具 → 事件檢視器- 執行
%SystemRoot%\system32\eventvwr.msc /s
- 執行
eventvwr 或 eventvwr.msc（最快）
三大日誌類型與核心用途
| 日誌類型 | 記錄來源 | 典型事件 | 權限 |
|---|
| 應用程式 | 應用程式/系統程式 | 資料庫檔案錯誤、程式當機、自訂事件 | 所有使用者可讀 |
| 安全性 | 系統稽核子系統 | 登入成功/失敗、檔案/物件存取、原則變更 | 僅管理員可讀（預設關閉，需透過群組原則/登錄啟用） |
| 系統 | Windows 系統元件 | 驅動程式載入失敗、服務啟動錯誤、硬體錯誤 | 所有使用者可讀 |
五種事件等級圖示與含義
| 圖示 | 等級 | 定義 | 範例 |
|---|
| ❌ 紅色錯誤 | 錯誤 | 嚴重問題：資料遺失、功能喪失 | 服務啟動失敗 |
| ⚠ 黃色警告 | 警告 | 潛在問題，不一定立即嚴重 | 磁碟空間不足 |
| ℹ 藍色資訊 | 資訊 | 成功操作記錄 | 網路驅動程式載入成功 |
| ✅ 綠色成功稽核 | 成功稽核 | 通過驗證的安全存取 | 使用者成功登入 |
| ❌ 紅色失敗稽核 | 失敗稽核 | 被拒絕的安全存取 | 存取網路磁碟機失敗 |
實戰解讀場景（下篇將配合截圖詳細示範）
- 暴力破解偵測：安全性日誌大量 Event ID 4625 (失敗登入) + 同一來源 IP → 封鎖 IP、啟用帳號鎖定原則
- 非正常關機追查：系統日誌 Event ID 6008 (上次關機非預期) + 6005/6006 (事件記錄服務啟動/停止) → 關聯硬體錯誤 (WHEA)、藍畫面記憶體傾印
- 應用程式當機分析：應用程式日誌 Event ID 1000/1001 (Application Error/Windows Error Reporting) → 模組名稱、例外碼 (0xC0000005 存取違規等) → 開發廠商回報
- 服務啟動失敗：系統日誌 Event ID 7000/7009/7023 → 服務名稱、錯誤碼 → 依賴服務檢查、路徑/權限驗證
進階技巧
- 自訂檢視：右鍵「建立自訂檢視」→ XML 查詢精確篩選（如：近 24 小時 Event ID 4625 且 TargetUserName=Administrator）
- 事件轉送：
wecutil / 群組原則配置「事件收集轉送」→ 集中式日誌伺服器 (SIEM 前置)
- 日誌保留與大小：屬性 → 最大記錄大小 (建議 100-500 MB) → 「覆寫舊事件」或「手動清除」
- PowerShell 查詢：
Get-WinEvent -FilterHashtable @{LogName='Security'; ID=4625; StartTime=(Get-Date).AddHours(-24)}
