Windows 2000 系統日誌完整解析與安全清除實戰：應用程式/安全/系統/FTP/WWW/排程日誌位置、註冊表對應與清除技術

Windows 2000 系統日誌記錄了所有安全事件、系統錯誤、應用程式行為與網路服務存取軌跡。滲透測試、事後鑑識、日常稽核都高度依賴這些日誌。本文系統整理六大日誌類型的預設路徑、檔案格式、註冊表對應鍵值、內容解讀範例，並提供命令列與圖形介面的清除技術 (含受保護日誌的處理策略)。

一、六大核心日誌類型與預設路徑

二、FTP/WWW 日誌格式解讀實戰

FTP 日誌 (ex001023.log 範例)

#Software: Microsoft Internet Information Services 5.0
#Version: 1.0
#Date: 20001023 0315
#Fields: time c-ip cs-method cs-uri-stem sc-status
0315 127.0.0.1 USER administrator 331
0318 127.0.0.1 PASS - 530
0322 127.0.0.1 USER administrator 331
0324 127.0.0.1 PASS - 230
0325 127.0.0.1 QUIT - 221

• 331 = 需要密碼；530 = 登入失敗；230 = 登入成功；221 = 登出。
• 管理員可快速識別：來源 IP、嘗試帳號、成功/失敗時間點、暴力破解模式。

WWW 日誌 (W3C Extended 格式)

#Fields: date time c-ip cs-username s-ip s-port cs-method cs-uri-stem cs-uri-query sc-status cs(User-Agent)
20001023 03091 192.168.1.26 - 192.168.1.37 80 GET /iisstart.asp - 200 Mozilla/4.0+(compatible;+MSIE+5.0;+Windows+98)
20001023 03094 192.168.1.26 - 192.168.1.37 80 GET /pagerror.gif - 200 Mozilla/4.0+(compatible;+MSIE+5.0;+Windows+98)

• 關鍵欄位：c-ip (客戶端 IP)、cs-uri-stem (請求資源)、sc-status (HTTP 狀態碼)、cs(User-Agent) (瀏覽器指紋)。
• 結合安全性日誌 (4624/4625 登入事件) 可完整重現攻擊鏈。

三、日誌清除技術與限制

1. 可直接刪除的日誌 (停止服務後)

注意：停止 W3SVC 會同時停止相依服務 (如 IIS Admin)，需謹慎操作生產環境。

2. 受系統保護無法直接刪除的日誌

• 應用程式/安全性/系統/DNS 日誌：由 EventLog 服務獨佔鎖定，net stop EventLog 會被拒絕 (關鍵服務不可停止)。
• 檔案位於 %SystemRoot%\System32\Config\，同時受註冊表與檔案系統雙重保護。

3. 圖形介面清除受保護日誌 (標準管理員方式)

1. 本機或遠端 (MMC) 開啟 eventvwr.msc (事件檢視器)。
2. 右鍵目標日誌 (如「安全性日誌」) → 屬性 → 清除日誌。
3. 選擇「不備份直接清除」或「備份後清除」 (建議備份至 .evt 檔留存)。
4. 同法清除系統日誌、應用程式日誌。

遠端清除：事件檢視器 → 右鍵根節點 → 連線到另一台電腦 → 輸入目標 IP/主機名 → 需目標開啟 Remote Registry 服務、防火牆開放 RPC/DCOM 連接埠、具備管理員權限。網路延遲高時操作極慢，建議本機登入清除。

4. 命令列清除受保護日誌 (第三方工具/腳本)

• wevtutil cl Security (Vista/Server 2008+，Win2k 不支援)。
• dumpel -s target -l Security -c (Resource Kit 工具)。
• PowerShell (需 .NET 3.5+)：Clear-EventLog -LogName Security。

四、稽核原則建議配置 (對應日誌產出)

五、日誌保留與歸檔策略

• 日誌大小調大：安全性日誌 ≥ 100 MB、系統/應用程式 ≥ 50 MB。
• 覆寫策略：覆寫超過 30 天的事件 (合規常要求 90~365 天)。
• 自動歸檔腳本 (每日排程)：
  copy %SystemRoot%\System32\Config\SecEvent.Evt D:\LogArchive\SecEvent_%DATE%.evt
  配合 wevtutil epl (新版) 匯出為 EVTX 格式。
• 異地備份：將歸檔日誌推送至 SIEM/日誌中心 (Splunk/ELK/Graylog/Azure Sentinel)。

法律風險提醒： 惡意清除安全性日誌以掩蓋入侵痕跡，可能構成 妨害司法/破壞電腦資料罪 (各地法規不同)。合法運維清除需留存授權記錄、備份檔案、變更管理簽核單。