1102 日志被清除事件
Windows 安全日志被清空时会留下一条 1102 事件，系统日志被清空对应 104，日志服务被关闭则是 1100。这条记录的意义在于：它证明日志被人为清理过，同时也意味着清空之前的记录已经丢失。看到这类事件不能直接下结论说「是攻击者干的」——运维清理、磁盘空间不足同样会触发；必须核实发起者账号、时间点，并与变更单、上游日志平台对照。
基本信息
| 1102 | 安全日志被清除，记录中包含执行清除的账号与域 |
|---|---|
| 104 | 系统日志被清除，与 1102 属同类操作 |
| 1100 | 日志服务被关闭，常见于人为停止服务或异常崩溃 |
| 4719 | 系统审计策略被修改，可能被用来降低记录粒度 |
| 查看配置 | wevtutil gl Security 显示日志大小上限与保留方式 |
| 补救手段 | 上游日志平台、转发到 SIEM 的副本、System 通道与文件系统时间戳 |
典型使用场景
- 排查期间发现日志出现时间空白，需要确认是否被清理
- 判断某项运维操作是否走了正常流程
- 评估日志保留策略是否需要调整（转发与容量）
- 为取证报告说明证据缺口及其原因
- 核对审计策略是否被改动以降低记录粒度
查询与核对
查询与核对
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=1102} -MaxEvents 5 -ErrorAction SilentlyContinue | Select-Object TimeCreated, Message | Format-List
Get-WinEvent -FilterHashtable @{LogName='System'; Id=104,1100} -MaxEvents 5 -ErrorAction SilentlyContinue | Select-Object TimeCreated, Id, Message | Format-List
wevtutil gl Security # 看日志大小与保留配置
wevtutil qe Security /c:5 /rd:true /f:text # 看当前最早与最新的记录
Get-WinEvent -ListLog Security | Select-Object LogName,MaximumSizeInBytes,RecordCount,IsEnabled相关事件读法
| 事件号 | 含义 | 排查要点 |
|---|---|---|
| 1102 | 安全日志被清除 | 查发起者账号与时间，核对是否存在清理授权 |
| 104 | 系统日志被清除 | 常与 1102 同时出现，属同一批操作 |
| 1100 | 日志服务被关闭 | 可能是人为停止服务，也可能是系统异常 |
| 4719 | 审计策略被修改 | 降低记录粒度同样是掩盖行为的手段 |
| 日志容量配置 | 日志大小与覆盖方式 | 容量过小会导致旧记录被覆盖，看起来像被清理 |
日志被清后，事件发生之前的记录已经无法从本机恢复：必须转向上游日志平台、集中采集系统、System 通道与文件系统时间戳去补齐时间线，并在报告里明确标注证据缺口。
只看安全日志不够：系统日志的 104 与日志服务的 1100 往往同时出现，三者对照才能还原「谁在什么时候动了日志」。同时核对是本机操作还是通过远程手段执行。