| 事件 | Security 1102 日志被清除 |
|---|---|
| System 侧 | 104 日志被清除 |
| 关键字段 | SubjectUserName / SubjectDomainName |
| 动作 | 保全邻近日志、追操作者、检查上游平台 |
检查日志清除记录
检查日志清除记录
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=1102; StartTime=(Get-Date).AddDays(-30)} -ErrorAction SilentlyContinue | Select-Object TimeCreated, Message | Format-List
Get-WinEvent -FilterHashtable @{LogName='System'; Id=104} -MaxEvents 5 -ErrorAction SilentlyContinue | Format-List
wevtutil gl Security日志被清后事件之前的记录已丢失；用上游日志平台、System 通道与文件系统时间戳补齐时间线。