Windows 系統日誌分析完整指南：日誌保護、事件 ID 解讀、開關機記錄、DHCP 警告

Windows 日誌記錄系統關鍵事件，保護日誌完整性並善用事件 ID 可追蹤異常。本文說明：修改日誌儲存路徑、設定 NTFS 權限防竄改、分析事件 ID 6005/6006 追蹤正常開關機、事件 ID 1007 偵測 DHCP 配置失敗。

一、日誌檔案保護

1. 修改儲存目錄

regedit → HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Eventlog 下的 Application、Security、System 子項，修改 File 鍵值指向隱蔽路徑（如 D:\CCE\AppEvent.Evt），複製原日誌檔至新目錄，重開機生效。

2. 設定 NTFS 權限

新目錄右鍵「內容」→「安全性」→ 取消繼承 → Everyone 僅給「讀取」 → 新增 SYSTEM 給予除「完全控制」「修改」外所有權限，防止一般用戶清除日誌。

二、實例分析

1. 開關機記錄 (Event ID 6005/6006)

• 6005：事件日誌服務啟動 = 正常開機。
• 6006：事件日誌服務停止 = 正常關機。缺少 6006 表示非正常關機（斷電、死機、強制關機）。

2. DHCP 配置警告 (Event ID 1007)

• 用戶端找不到 DHCP 伺服器，自動使用內部 IP（APIPA 169.254.x.x），日誌記錄事件 ID 1007。發現此事件需檢查網路線路、DHCP 伺服器服務狀態。

善用事件檢視器篩選事件 ID，快速定位系統異常根因。