守護 Windows 黑盒子：事件日誌遷移、權限鎖定與實戰分析全指南

前言：日誌是系統的「黑盒子」

飛機有黑盒子記錄飛行參數，Windows 有 事件日誌 記錄系統服務啟停、登入登出、錯誤警告等關鍵軌跡。但預設日誌儲存在 %SystemRoot%\System32\Config\，且僅受「事件記錄」服務保護防刪除，卻可被任意管理員清空。一旦入侵者清洗日誌，鑑識線索盡失。本文示範三重防護：路徑遷移、NTFS 權限鎖定、關鍵事件 ID 實戰解讀。

一、認識三大核心日誌

二、遷移日誌儲存路徑（登錄法）

1. Win+R → regedit
2. 定位 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Eventlog
3. 展開 Application / Security / System 三個子機碼。
4. 以 Application 為例：修改右側 File 數值資料從 %SystemRoot%\System32\Config\AppEvent.Evt → D:\CCE\AppEvent.Evt。
5. 在 D 槽建立 CCE 資料夾，複製原 AppEvent.Evt 至新路徑。
6. 重啟電腦生效。Security、System 同法操作。

三、NTFS 權限鎖定：只讀給 Everyone，寫入給 System

前提：磁碟必須為 NTFS 格式。

1. 右鍵 D:\CCE → 內容 → 安全性 分頁。
2. 取消勾選「允許繼承自父物件的權限傳播」。
3. 移除 Everyone；新增 Everyone → 僅授予 讀取。
4. 新增 SYSTEM → 授予除「完全控制」「修改」外所有權限（讀取、寫入、列出資料夾、執行）。
5. 確定套用。

測試：嘗試在事件檢視器右鍵「清除所有事件」 → 彈出「存取被拒絕」，保護生效。

四、關鍵事件 ID 實戰速查表

1. 開關機追蹤（系統日誌）

若某日有 6005 無 6006，即代表當天未正常關機。

2. DHCP 租約失敗（系統日誌）

• Event ID 1007：用戶端找不到 DHCP 伺服器，自動使用 APIPA (169.254.x.x)。
• 排查方向：用戶端網路線/網卡 → DHCP 伺服器服務/授權/範圍耗盡 → 中間交換器/防火牆封鎖 UDP 67/68。

3. 登入稽核（安全性日誌）

• 4624：成功登入（登入類型 2=互動式, 3=網路, 10=遠端桌面）。
• 4625：登入失敗（子狀態碼 0xC000006A=密碼錯誤, 0xC0000064=帳號不存在, 0xC0000234=帳號鎖定）。
• 4634：登出。
• 4720/4722/4725/4726：帳號建立/啟用/停用/刪除。

五、進階建議：日誌集中化與自動化分析

• 部署 Windows Event Forwarding (WEF) 或 Syslog 轉發器 (NXLog, Winlogbeat) 將日誌集中至 SIEM（Splunk、ELK、Graylog）。
• 建立關聯規則：同一 IP 5 分鐘內 10 次 4625 → 觸發封鎖/告警。
• 定期匯出備份至離線儲存，滿足合規留存需求。

結語

「日誌不遷移、權限不鎖定、ID 不認識，等於沒裝黑盒子。」完成路徑遷移與 NTFS 鎖定後，再配合關鍵 Event ID 解讀與集中化分析，才能真正掌握系統脈動，在事發第一時間還原真相。