4. Windows事件日志：Event Viewer使用、Windows事件ID详解、PowerShell日志查询
说到Windows安全运维，事件日志绝对是个绕不开的话题。我刚开始做安全那会儿，总觉得Event Viewer就是个记录系统报错的地方，直到有一次排查入侵事件，才发现这玩意儿简直就是宝藏。嗯，今天咱们就把它彻底聊透。
4.1 Event Viewer的基本使用
Event Viewer，说白了就是Windows系统的「黑匣子」。你想想看，系统里发生的每一件大事小事——谁登录了、谁删了文件、哪个服务挂了——它都记得清清楚楚。
打开方式很简单：Win + R，输入eventvwr.msc，回车。我个人习惯把它固定到任务栏，因为用得实在太频繁了。
进去之后你会看到三大类日志：
- Windows日志：系统、安全、应用程序、Setup、Forwarded Events
- 应用程序和服务日志：各种微软服务的专属日志
- 订阅：集中收集多台机器的日志
我最常用的是「安全」日志，里面全是审计相关的记录。比如用户登录、权限变更、对象访问这些。有一次客户说服务器被黑了，我打开安全日志一看，好家伙，凌晨3点有个账号连续尝试了2000多次登录失败——这还用查吗？
4.2 Windows事件ID详解
事件ID是啥？就是每条日志的身份证号。每个ID代表一种特定的事件类型。你不需要背下所有ID，但常用的那几个必须烂熟于心。
我整理了一份「安全运维必知事件ID表」，你直接拿去用：
| 事件ID | 描述 | 我的备注 |
|---|---|---|
| 4624 | 账户成功登录 | 最常用的登录成功记录 |
| 4625 | 账户登录失败 | 暴力破解的「铁证」 |
| 4634 | 账户注销 | 配合4624看会话时长 |
| 4648 | 使用显式凭据登录 | 横向移动的典型特征 |
| 4672 | 管理员登录 | 特权账号必须监控 |
| 4688 | 进程创建 | 谁启动了啥程序，一清二楚 |
| 4698 | 计划任务创建 | 持久化攻击的常见手法 |
| 4720 | 用户账户创建 | 后门账户的「出生证明」 |
| 4732 | 用户加入安全组 | 权限提升的预警信号 |
| 5140 | 文件共享访问 | 数据泄露的监控点 |
为什么会特别关注4648？我在一次红蓝对抗中遇到过，攻击者用普通账号登录后，又用管理员凭据执行了命令。普通日志里只看到4624，但4648直接暴露了「二次认证」的行为。说白了，这就是横向移动的典型特征。
4.3 PowerShell日志查询
Event Viewer虽然直观，但真要分析海量日志，还得靠PowerShell。我平时写自动化脚本，90%的日志查询都用PowerShell搞定。
先看几个最常用的命令：
# 查询最近24小时的安全日志
Get-WinEvent -FilterHashtable @{LogName='Security'; StartTime=(Get-Date).AddDays(-1)}
# 查询特定事件ID
Get-WinEvent -FilterHashtable @{LogName='Security'; ID=4624,4625}
# 查询特定用户的登录记录
Get-WinEvent -FilterHashtable @{LogName='Security'; ID=4624} |
Where-Object {$_.Properties[5].Value -eq 'Administrator'}
# 导出为CSV方便分析
Get-WinEvent -FilterHashtable @{LogName='Security'; ID=4625} |
Export-Csv -Path 'C:\Logs\failed_logins.csv' -NoTypeInformation这里有个坑，我曾经踩过。PowerShell查询大量日志时，默认会返回所有属性，速度很慢。解决办法是只提取你需要的字段：
# 只提取关键字段，速度提升10倍
Get-WinEvent -FilterHashtable @{LogName='Security'; ID=4624} |
Select-Object TimeCreated, Id, LevelDisplayName,
@{Name='User'; Expression={$_.Properties[5].Value}},
@{Name='SourceIP'; Expression={$_.Properties[18].Value}}你想想看，如果服务器每天产生几十万条日志，不加筛选直接查，那得等到猴年马月？
4.4 实战：快速定位暴力破解
讲个真实案例。有一次半夜接到告警，说域控服务器CPU飙到100%。我远程连上去一看，安全日志里全是4625（登录失败）。用PowerShell一查：
# 统计登录失败次数最多的IP
Get-WinEvent -FilterHashtable @{LogName='Security'; ID=4625} |
Group-Object {$_.Properties[18].Value} |
Sort-Object Count -Descending |
Select-Object Count, Name -First 10结果出来，一个IP在10分钟内尝试了8000多次登录。我直接把这个IP加到防火墙黑名单，CPU瞬间就下来了。嗯，有时候解决问题就是这么简单。
4.5 日志收集的进阶思路
单机查日志终究不是长久之计。企业环境里，我建议用Windows事件转发（WEF）或者直接上SIEM。但不管用啥方案，核心思路都一样：
- 集中收集：所有服务器的日志汇总到一台日志服务器
- 实时告警：关键事件ID出现时立刻通知
- 定期归档：日志至少保留90天，合规要求可能更长
- 权限隔离：日志只能追加，不能删除或修改
我曾经见过一个客户，日志保留期只有7天。结果出了安全事件，想查一周前的记录，发现已经被覆盖了。你说这得多尴尬？
好了，Windows事件日志这块儿，核心就是三个字：看得懂、查得快、存得住。Event Viewer是入门，PowerShell是进阶，事件ID是灵魂。把这三点吃透了，Windows安全运维你就掌握了七成。