日志记录了Windows系统及其各种服务的每一个细节，对于增强Windows的稳定性和安全性有着非常重要的作用。但很多用户并不重视对它的保护，一些‘不速之客’很容易清空日志文件，给系统带来严重的安全隐患。
1.什么是日志文件？
日志是Windows系统中的一个特殊文件，记录了Windows系统中发生的一切，如各种系统服务的启动、运行、关闭等信息。Windows日志包括应用程序，安全和系统，其存储路径为' %systemroot%system32config '应用程序日志、安全日志和系统日志对应的文件名是AppEvent.evt、SecEvent.evt和SysEvent.evt这些文件受“事件日志”服务保护，不能删除，但可以清空。
二、如何查看日志文件
在Windows系统中查看日志文件非常简单。单击“开始设置控制面板管理工具事件查看器”，该机器中包含的日志类型，如应用程序、安全和系统，将在事件查看器窗口的左栏中列出。查看某个日志记录也很简单。在左栏中选择某一类型的日志，比如某个应用程序，然后在右栏中列出该类型日志的所有记录。双击其中一条记录，会弹出‘事件属性’对话框，显示该条记录的详细信息，以便我们准确掌握系统中发生了什么，是否影响了Windows的正常运行。一旦出现问题，我们可以立即发现并消除它。
三。Windows日志文件的保护
日志文件对我们如此重要，我们不能忽视它的保护，以防止一些'不法分子'清理日志文件。
1.修改日志文件存储目录。
Windows日志文件的默认路径是“%systemroot%system32config”。我们可以通过修改注册表来改变它的存储目录，以增强对日志的保护。
点击‘开始运行’，在对话框中输入‘Regedit’，回车弹出注册表编辑器。依次展开“HKEY _本地_机器/系统/当前控制集/服务/事件日志”后，下面的应用、安全和系统子项分别对应应用日志、安全日志和系统日志。
以应用程序日志为例，将其转移到‘d:\ CCE’目录。选择Application子键，在右栏中找到File键，其键值是应用程序日志文件“% systemroot % system32 configupevent . evt”的路径，将其修改为“d: cceapvent.evt”。然后，在驱动器D中创建一个新的“CCE”目录，复制“AppEvent”。Evt '到这个目录，重启系统，完成对应用日志文件存储目录的修改。其他类型的日志文件路径也以同样的方式修改，但只是在不同的子项下。
2.设置文件访问权限
修改日志文件的存储目录后，日志仍然可以清空。下面是通过修改日志文件的访问权限来防止这种情况的发生，前提是Windows系统采用NTFS文件系统格式。
右键单击驱动器D中的CCE目录，选择“属性”，切换到“安全”选项卡后，首先取消选中“允许将来自父对象的可继承权限传送到这个对象”选项。然后在帐户列表框中选择‘every one’帐户，只给它‘read’权限；然后单击“添加”按钮将“系统”帐户添加到帐户列表框中，授予除“完全控制”和“修改”之外的所有权限，最后单击“确定”按钮。这样，当用户清除Windows日志时，就会弹出一个错误对话框。
四。Windows日志实例分析
Windows日志中记录了许多操作事件。为了便于用户管理，每种类型的事件都有一个唯一的编号，这就是事件ID。
1.检查正常的启动和关闭记录。
在Windows系统中，我们可以通过事件查看器的系统日志来查看电脑的开机和关机记录。这是因为日志服务将随计算机一起启动或关闭，并在日志中留下记录。这里我们将介绍两个事件ids ' 6006和6005 '6005表示事件日志服务已经启动。如果在事件查看器中发现某一天事件ID号为6005的事件，说明Windows系统在当天正常启动。6006表示事件日志服务已经停止。如果在事件查看器中没有找到某一天事件ID号为6006的事件，则说明当天电脑没有正常关机。可能由于系统原因或直接断电，没有执行正常的关机操作。
2.检查DHCP配置警告信息
在大型网络中，客户端IP地址信息一般由DHCP服务器配置。如果客户端找不到DHCP服务器，它将自动为客户端配置一个内部IP地址，并在Windows日志中生成一个事件ID号为1007的事件。如果用户在日志中发现这个数字事件，说明机器无法从DHCP服务器获取信息，需要检查机器网络是否宕机，或者DHCP服务器是否宕机。
