Windows 日志通道清点
Windows 事件日志按通道组织，取证第一步是清点存在哪些通道、是否启用、记录数有多少，而不是直接翻内容。默认通道远远不够：Sysmon、PowerShell 操作日志、计划任务与远程桌面相关通道才承载最关键的行为记录。
基本信息
| 枚举命令 | wevtutil el、Get-WinEvent -ListLog |
|---|---|
| 重点通道 | Sysmon/Operational、PowerShell/Operational、TaskScheduler/Operational、TerminalServices 系列 |
| 关注属性 | LogName、IsEnabled、RecordCount、MaximumSizeInBytes |
| 解析工具 | EvtxECmd、wevtutil、Get-WinEvent |
| 权限要求 | 读取安全日志需要管理员权限 |
| 输出用途 | 通道清单写入报告的数据覆盖说明 |
典型使用场景
- 确认主机开启了哪些审计通道
- 判断关键通道是否被清空，看记录数是否异常
- 评估可用于时间线分析的数据范围
- 分析远程桌面登录与会话连接行为
- 核对实际审计策略是否与预期一致
最小示例
最小示例
# PowerShell：列出通道并筛选关键项
wevtutil el | Select-String 'Sysmon|PowerShell|TaskScheduler|TerminalServices'
Get-WinEvent -ListLog 'Microsoft-Windows-PowerShell/Operational' | Select-Object LogName, IsEnabled, RecordCount
# 导出关键通道供离线分析
wevtutil epl Security C:\evidence\Security.evtx
wevtutil epl Microsoft-Windows-Sysmon/Operational C:\evidence\Sysmon.evtx
# 清点导出文件的哈希
Get-FileHash C:\evidence\*.evtx -Algorithm SHA256通道与取证价值
| 通道 | 承载内容 | 解读要点 |
|---|---|---|
| Security | 登录、进程创建、对象访问 | 需先开启对应审计策略 |
| Sysmon Operational | 进程、网络、镜像加载 | 需单独安装并配置规则 |
| PowerShell Operational | 脚本块日志与模块日志 | 脚本块记录需单独开启 |
| TaskScheduler Operational | 计划任务创建与运行 | 持久化排查的重点通道 |
| TerminalServices 系列 | 远程桌面登录与会话 | 用于区分本地与远程操作 |
通道存在但未启用、或记录数为 0，本身就是重要事实，应写进数据覆盖说明，而不是略过不提。
事件日志是二进制 evtx 格式，导出后可用通用解析工具转成 CSV 或时间线，比在系统上分页浏览更可靠也更省时。
用 wevtutil cl 清空通道会永久丢失记录，同时会在安全日志中留下清除事件；任何清理操作都要先获得授权并完整记录。