Windows XP 事件查看器入門：打開方法、三大日誌類型與安全審計實戰

打開方式（三種）

1. 控制面板 → 性能和維護 → 管理工具 → 計算機管理 → 系統工具 → 事件查看器。
2. 運行 → eventvwr.msc 回車（最快）。
3. 命令行 → eventvwr。

三大核心日誌

實戰：開啟安全審計捕捉入侵痕跡

1. 運行 secpol.msc → 本地策略 → 審核策略。
2. 全部 9 項（審核帳戶登錄事件、審核帳戶管理、審核目錄服務訪問、審核登錄事件、審核對象訪問、審核策略變更、審核特權使用、審核進程跟蹤、審核系統事件）均勾選「成功、失敗」。
3. 安全日誌將記錄：
   Event ID 4624 登錄成功、4625 登錄失敗、4720 創建用戶、4726 刪除用戶、4672 特權登錄等關鍵事件。

日誌導出與遠程收集

• 右鍵日誌 → 「另存為」→ .evt/.evtx 格式。
• 企業環境建議部署 Windows Event Forwarding (WEF) 或 Sysmon + Splunk/ELK 實現集中化分析。

適用版本

XP / 2003 / Vista / 7 / 8 / 10 / 11 / Server 系列邏輯一致，界面逐代演進。