Windows Server 2003 記憶體釋放工具 Empty.exe 與安全性事件 ID 完整對照表

Windows Server 2003 內建 Empty.exe 可精準釋放特定程序佔用的工作集記憶體，避免第三方記憶體優化工具強制修剪導致磁碟 I/O 暴增。同時，安全性事件 ID 672-683 詳細記錄 Kerberos 驗證、登入/登出、終端服務會話狀態，是稽核與入侵偵測關鍵依據。本文提供 Empty.exe 使用語法與事件 ID 完整對照表。

Empty.exe - 精準記憶體釋放工具

位置： Windows Server 2003 Resource Kit Tools 或支援工具安裝後 (通常在 C:\Program Files\Windows Resource Kits\Tools\)。

特點： 僅釋放指定程序的可修剪工作集，不強制系統全域修剪，減少分頁檔 I/O 沖擊。

語法

Empty.exe           # 依程序 ID 釋放
Empty.exe <程序名稱>      # 依映像檔名稱釋放 (如 notepad.exe)

使用範例

tasklist | findstr "sqlservr.exe"
# 假設 PID=1234
Empty.exe 1234

# 或直接依名稱
Empty.exe sqlservr.exe

限制： 僅適用 Windows Server 2003；Windows 2000/XP 無此工具。現代版本 (Server 2008+) 建議使用 EmptyWorkingSet API 或 PowerShell (Get-Process name).WorkingSet = 0 技巧。

Windows Server 2003 安全性事件 ID 對照表 (672-683)

來源：稽核帳號登入事件 (Audit Account Logon Events)。

實務應用建議

• 事件 675/681 監控：短時內大量出現 → 可能遭遇密碼噴灑/暴力破解攻擊，觸發告警封鎖來源 IP。
• 事件 683 追蹤：特定使用者頻繁 683 → 需教育正確登出流程，或配合 設定中斷會話逾時自動登出。
• 定期匯出/轉存：安全性日誌預設 16-20 MB 易覆寫，建議設定較大容量或使用 WEC/Log Parser 2.2 集中收集分析。
• 結合 Empty.exe：偵測到特定服務程序 (如 sqlservr.exe、w3wp.exe) 記憶體異常暴增時，可排程執行 Empty.exe 程序名 緩解壓力，但根本解決仍需修正程式碼記憶體洩漏。

掌握 Empty.exe 精準釋放技巧與安全性事件 ID 語意，能讓 Windows Server 2003 在記憶體管理與安全稽核雙軌並行，提升系統可靠度與可見度。