为什么要先固定证据
事件调查与交接前，第一件事是把日志固定下来：导出 evtx 文件、计算哈希、记录导出时间与操作人。源日志会随滚动覆盖而变化，取证顺序一旦颠倒，后续所有结论都无法举证。wevtutil 是 Windows 上完成这一步的基础工具。
基本信息
| 适用平台 | Windows（需管理员权限） |
|---|---|
| 导出命令 | wevtutil epl <日志名> <目标文件> |
| 校验方式 | 对导出文件计算 SHA256 并记录 |
| 基线 | 关键日志可导出、可校验、可复核 |
典型使用场景
- 安全事件响应：把 Security 与 System 日志导出后分析，不在源机上反复操作
- 交接与留档：把日志与哈希一起归档，便于第三方复核
- 集中分析：导出后在分析机上处理，避免占用生产机资源
- 合规取证：日志导出记录是审计举证链条的组成部分
导出与校验
导出与校验
# 建立取证目录
New-Item -ItemType Directory -Force C:\evidence | Out-Null
# 导出关键日志（epl 导出，cl 是清空，切勿混淆）
wevtutil epl Security C:\evidence\Security.evtx
wevtutil epl System C:\evidence\System.evtx
wevtutil epl Application C:\evidence\Application.evtx
# 计算哈希并记录
Get-FileHash C:\evidence\Security.evtx -Algorithm SHA256
# 从导出文件读取，验证可用
Get-WinEvent -Path C:\evidence\Security.evtx -MaxEvents 5常见操作对照
| 子命令 | 作用 | 风险 |
|---|---|---|
| epl | 导出日志到文件 | 安全，取证首选 |
| el | 列出日志与配置 | 安全，用于确认日志名称与路径 |
| cl | 清空指定日志 | 销毁证据，务必避免误用 |
| gli / qe | 查询事件内容 | 建议在导出文件上做，减少源机写入 |
导出前记录操作时间与操作人；不要清理源日志，也尽量避免在源机上做过多写操作，以免改变易失性证据的状态。
Security 日志可能很大：导出前先确认目标磁盘余量，必要时按时间范围筛选后再导出。
导出后建议在分析机上处理：源机资源优先留给业务，同时避免分析操作产生的写入影响后续取证的可信度。
日志容量要提前配：事件日志大小默认偏小，滚动覆盖速度很快，事后能查到多久完全取决于这项设置。