| 加固项 | 日志完整性监控 |
|---|---|
| 适用平台 | Windows |
| 风险等级 | 高 |
| 基线 | 日志清除动作一定会被记录并告警 |
查询与审计开关
查询与审计开关
Get-WinEvent -FilterHashtable @{LogName='Security';Id=1102} -MaxEvents 20
Get-WinEvent -FilterHashtable @{LogName='System';Id=104} -MaxEvents 20
auditpol /get /subcategory:"Log Clear"
# 未开启时：
auditpol /set /subcategory:"Log Clear" /success:enable /failure:enable1102 出现先固定现场（导出 + 哈希）再排查：清日志前后必有登录与进程活动，顺着时间线查。