1102 是什么信号
1102 表示审计日志被清除：有人（或某个程序）执行了清空安全日志的动作。清空日志会抹掉此前的安全记录，是最典型的「掩盖痕迹」行为，因此在安全运营里它本身就是需要调查的事件，而不是一条普通运维日志。它记录在执行清空的机器上，字段里带着执行者账户与登录会话，是追溯的第一手信息。
基本信息
| 适用平台 | Windows 客户端与服务器，记录在安全日志 |
|---|---|
| 触发动作 | 图形界面清除日志、wevtutil cl Security 等清空操作 |
| 关键字段 | SubjectUserName 与 SubjectDomainName（执行者）、SubjectLogonId（登录会话） |
| 关联事件 | 其它日志通道被清空记录在系统日志的 104；安全日志写入失败或满时另有相关提示 |
| 权限要求 | 清空安全日志需要「管理审核和安全日志」特权，通常为管理员 |
| 检测地位 | 清空动作会在新的安全日志中留下 1102，成为可靠的检测点 |
典型使用场景
- 安全告警处置：收到 1102 告警后立即确认执行者与来源
- 合规审计：检查是否存在违规清空日志的操作记录
- 事件溯源：判断攻击时间窗是否被刻意抹除，评估影响范围
- 巡检基线：把 1102 与相关事件配置为高优先级告警项
- 取证配合：从集中收集侧补齐被本地清除的日志
- 变更核查：确认例行维护中是否有人顺手清理了安全日志
常用示例
常用示例
# 最近的安全日志清除记录
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=1102} -MaxEvents 10 |
Select-Object TimeCreated, @{n='By';e={$_.Properties[1].Value}}, @{n='Domain';e={$_.Properties[2].Value}}, Message | Format-List
# 其它通道被清空（记录在系统日志）
Get-WinEvent -FilterHashtable @{LogName='System'; Id=104} -MaxEvents 10 | Select-Object TimeCreated, Message
# 事件日志服务重启与日志被清空的相邻记录，帮助还原时间线
Get-WinEvent -LogName System -MaxEvents 50 | Where-Object Id -in 104,1100,6005,6006,1074 | Select-Object TimeCreated, Id, Message
# 从集中收集侧查询同一时间段（若已配置日志转发）
# Get-WinEvent -ComputerName collector01 -FilterHashtable @{LogName='Security'; Id=1102}相关事件对照
| 事件 | 含义 | 处置方向 |
|---|---|---|
| 1102 | 安全日志被清除 | 按安全事件处理：确认执行者、来源与前后动作 |
| 104 | 其它日志通道被清除 | 判断是否存在批量清理痕迹的行为 |
| 1100 | 事件日志服务关闭 | 常与关机或被强制停止服务相关 |
| 4719 | 审核策略被修改 | 降低审核级别同样是掩盖痕迹的手段 |
| 日志已满提示 | 容量不足导致覆盖或写入失败 | 调整日志大小与保留策略，避免历史记录被动丢失 |
清空后 1102 会作为新日志中的一条被写入，因此本地仍能看到「发生过清空」这一事实；但被清掉的这段时间的历史记录无法在本地找回，完整时间线只能依赖集中收集（日志转发）侧的副本。
日志被清在合规环境里属于明确违规，应配置为高优先级告警，并纳入值班处置流程：先保全证据（导出当前 evtx、记录执行者与时间），再决定是否上报与联系相关方。
预防与留证
预防与留证
# 核对安全日志容量与保留模式，避免被动覆盖
Get-WinEvent -ListLog Security | Select-Object LogName, MaximumSizeInBytes, LogMode, IsEnabled
# 调整容量（属持久变更，走变更流程）
# wevtutil sl Security /ms:1073741824
# 导出当前安全日志留档（取证优先导出，而不是清空）
wevtutil epl Security D:\evidence\security_20261013.evtx
# 校验导出文件完整性
Get-Item D:\evidence\security_20261013.evtx | Select-Object FullName, Length, LastWriteTime发现 1102 后不要在原机上反复操作或清空其它日志「先恢复现场」：这会进一步破坏证据。正确顺序是先导出留档、记录时间线与执行者，再按事件响应流程决定是否隔离主机。